Ecco come un hacker entra in azienda

La simulazione: all’informatico sono bastati 10 minuti per accedere a tutti i dati

Accende il computer, preme pochi pulsanti e fa partire una mail. In realtà la mail è una trappola per una vittima spesso aziende ma anche privati - che vengono quotidianamente hackerati da informatici esperti in grado di estorcere password, database e, soprattutto, soldi. Ieri un hacker ha dimostrato di fronte a una platea di imprenditori ed esperti del settore cybersecurity quanto è facile scardinare le difese delle aziende venete: ci ha messo meno di 10 minuti.

Per fare scacco matto bastano tre mosse. E la seconda porta la firma (ovviamente involontaria) della vittima. Gli attacchi hacker che svuotano le aziende vanno a segno in una manciata di clic e di minuti: l’ultima dimostrazione (per fortuna concordata e quindi senza conseguenze) arriva dal convegno «Cybercrime, siamo tutti target», organizzato ieri al Castello del Catajo dalla società di consulenza Pwc e dall’azienda di cybersecurity Yarix con il patrocinio del Bo. L’obiettivo dell’evento era passare dalla teoria alla pratica per toccare con mano l’evoluzione delle minacce, anche alla luce del recente attacco informatico globale che ha messo in ginocchio ospedali e ferrovie. Così Stefano Meller, partner di Yarix, ha indossato la duplice veste di hacker e vittima per simulare un attacco con la tecnica del phishing, mostrando tutte le schermate alla platea in tempo reale. Per prima cosa Meller ha spedito una mail precompilata alla vittima designata, quindi è entrato nella casella del destinatario e l’ha aperta: «Qualcuno – si legge – ha appena usato il tuo account per accedere a Windows da Chrome». Il messaggio sembra credibile, tanto che la vittima apre il link consigliato, esegue il login e chiude la finestra pensando di aver risolto il problema. Tornando all’altra casella mail, invece, Meller dimostra che l’hacker ha già ricevuto la password appena inserita dalla vittima per autenticarsi. A questo punto il furto d’identità è un gioco da ragazzi. Aprendo Amazon, ad esempio, l’hacker scopre che la password è la stessa della mail: l’impostore quindi può aggiungere nuovi prodotti al carrello, modificare l’indirizzo di spedizione, confermare il numero della carta di credito e chiedere al sito di nascondere l’ordine. Stesso discorso per Paypal, Google Drive, Apple e via dicendo. «Le aziende colpite dagli attacchi perdono il 23% di clienti, il 29% di fatturato e il 23% in termini di business – commenta Diego Marson di Yarix -. Nel 2016 il 29% degli utenti italiani ha subito un attacco ransomware, con conseguente estorsione online; il 44% delle Pmi ha rilevato almeno un attacco informatico e il 90% delle aziende, non avendo uno strumento di backup, ha pagato il riscatto». Spesso la trappola scatta per curiosità, paura o fretta. I consigli? Dubitare delle mail con richieste immediate, di quelle impersonali o sgrammaticate e contare fino a dieci prima di aprire link e allegati.

Attacco simulato Hacker al lavoro