Passa ai contenuti principali

Fattore umano e cybersecurity




Come ben evidenziato dal rapporto di Europol "How COVID-19-related crime infected Europe during 2020", la pandemia e la situazione emergenziale che ne è derivata è stata una grossa opportunità per il crimine informatico con un forte aumento delle attività fraudolente già a partire dai primi mesi del 2020. Possiamo così affermare che la pandemia non è stata solo un rischio per la salute ma anche per la sicurezza informatica. Tra i fattori che hanno portato a questo aumento vi è la rottura del consueto perimetro di cybersecurity aziendale che si è frammentato in un perimetro allargato, ubiquo, che ci ha visto lavorare da casa in una situazione di precarietà tecnologica e psicologica. L'ecosistema domestico è infatti assai più fragile dal punto di vista infrastrutturale di quello aziendale ma sono state soprattutto le vulnerabilità insite nel fattore umano ad essere sfruttate come vie di accesso dalle attività dei criminali informatici. Facendo leva sull'ansia provocata dalla pandemia siamo stati più facilmente manipolabili attraverso le tecniche della persuasione.

Tra i più grandi psicoterapeuti del Novecento, padre ispiratore della PNL (neuro programmazione linguistica), Milton Erickson ha avuto il merito di aver tolto all'ipnosi quell'aura di magico rituale che si portava dietro dal passato per riportarla ad uno stato normale della nostra quotidianità. "L'ipnosi non esiste, tutto è ipnosi" è una sua celebre frase che rende bene questo concetto. Infatti ognuno di noi va naturalmente in trance spontaneamente molte volte al giorno anche senza rendersene conto. La cosiddetta trance di tutti i giorni è quella situazione nella quale diminuisce la tendenza al controllo della nostra attività psichica ed è proprio in questi momenti che siamo più vulnerabili e potenzialmente manipolabili dagli altri.

Milton Erickson induceva questi stati di trance nella sua attività psicoterapeutica per guarire problematiche anche gravi quali la depressione e le dipendenze, le sue sedute sono entrate a fare parte della storia della psicoterapia. Ma tali situazioni possono essere sfruttate da persone che hanno interesse a farci perdere fette della nostra capacità di controllo per manipolarci, come per esempio nel linguaggio pubblicitario. Anche i criminali informatici vogliono raggiungere lo stesso scopo: farci abbassare la guardia, avere accesso al nostro stato di trance per indurci a fare cose che se fossimo perfettamente consapevoli non faremmo mai.

Il disagio psicologico è diventato quindi uno dei principali vettori di attacco. Imparare a capire come reagisce la nostra mente agli stimoli delle tecniche della persuasione ci aiuta a costruire quel firewall mentale che purtroppo nessuna tecnologia informatica per quanto avanzata potrà mai offrirci. 

Nelle attività criminali compiute su internet un ruolo molto importante è dato dalla persuasione. Come ci insegna Robert B. Cialdini nel suo best seller sulla psicologia sociale: Le armi della persuasione, anche una persona assolutamente equilibrata in certe occasioni e sotto certi stimoli può cedere ai principi della persuasione, questo è nella natura umana, i criminali informatici lo sanno molto bene e proveranno a convincervi a fare delle cose sfruttando questi principi. E noi ci caschiamo e ci cascheremo perché c’è sempre un momento in cui si abbassa la guardia.

Se non esiste ancora una patch per le vulnerabilità insite nel nostro modo di pensare allora dobbiamo provvedere a svilupparne una per conto nostro. E questo può essere fatto soltanto attraverso la formazione per migliorare la nostra consapevolezza del rischio informatico e imparare a reagire nel modo corretto agli stimoli delle tecniche di manipolazione sviluppando il nostro modello di consapevolezza del rischio (threat modeling). 

Spesso facciamo threat modeling anche senza saperlo in modo inconscio per mettere in sicurezza molti aspetti della nostra vita. Purtroppo oggi non siamo ancora abituati a fare threat modeling per la nostra vita digitale. Eppure imparare a farlo aiuta molto di più della solita lista di consigli, che finiscono con l’essere indicazioni generiche e inascoltate. Il threat modeling invece è alla base di una cultura della sicurezza, anche individuale.

Nella mia attività ormai quasi trentennale di sistemista informatico, network engineer e di DPO negli ultimi quattro anni, mi sono reso conto di come la maggior parte degli incidenti informatici derivi proprio da problematiche relative al fattore umano ed in effetti anche una recente ricerca condotta IBM Cyber Security Intelligence Index identifica nel fattore umano il 95% degli attacchi informatici che hanno avuto successo.

Per aiutare privati ed imprese a migliorare la propria capacità di reazione alle tecniche della persuasione, tengo, anche in modalità remota (Teams, G-meet, etc.), corsi di formazione sulla cybersecurity, fattore umano e consapevolezza del rischio informatico. Per qualsiasi informazione potete contattarmi alla mail dpo@bigazzi.it.




Commenti

Post popolari in questo blog

Cancellazione sicura: la sanificazione dei dati informatici

La sanificazione è un punto importante del ciclo di vita del dato: quando il dato giunge al termine del suo ciclo vitale ovvero quando è diventato inutile, obsoleto o ridondante è essenziale poterlo dismettere in modo sicuro facendo in modo che non sia possibile per nessuno poterlo ricostruire in alcun modo. Formattare i dischi da smaltire non basta, è come buttare nel cassonetto un libro strappando solo la pagina dell'indice, il primo che passa potrebbe recuperarlo e leggerlo. I vostri dati sono tutti al loro posto pronti per essere ripristinati. Secondo un'indagine condotta da uno dei maggiori produttori mondiali di HD sulla vendita online di supporti di memorizzazione usati è stato possibile recuperare integralmente il contenuto di questi hard disk ben 7 volte su 10. Molti dati personali vengono recuperati da supporti digitali smaltiti in modo superficiale. In cosa consiste la sanificazione dei dati? Si definisce sanificazione dei dati quel processo attraverso il qua

L'arte del camuffamento: come ingannare gli algoritmi di riconoscimento facciale

La società nella quale viviamo è purtroppo diventata anche una società del controllo e della sorveglianza. Per proteggere la nostra privacy è opportuno adottare un modello di autodifesa digitale (privacy threat model) adeguato al nostro profilo di rischio. Se sei arrivato su questa pagina e stai leggendo questo blog allora hai già fatto il primo passo: puoi far parte anche tu del nostro gruppo di #gentesicura . Per sviluppare un modello di autodifesa digitale occorre farsi alcune domande: che tipo di informazioni voglio proteggere? Da chi le voglio nascondere? Quale sarebbe l'impatto sulla mia vita se queste informazioni venissero scoperte? Oggi una delle minacce più gravi è certamente rappresentata dai sistemi di videosorveglianza e dai loro algoritmi di riconoscimento facciale. Probabilmente in qualche banca dati digitale è già presente una vostra foto collegata al vostro nome e cognome. Anche se non è detto che questo database sia pubblico, è sempre buona norma fare una ricerca

Chiamate vocali a prova di intercettazione con Signal

Di tanto in tanto mi capita di scorrere la lista di coloro tra  miei contatti che sono iscritti a Signal, l'applicazione voip gratuita e open source basata sulla crittografia end-to-end lanciata nel 2014 dall'organizzazione no profit Open Whisper Systems, e mi dolgo davvero di quanto pochi essi siano soprattutto se paragonati con quelli iscritti alla più popolare app di messagistica di Meta, ovvero la maggior parte di loro. Anarchico, hacker, crittografo, maestro d'ascia, skipper, Moxie Marlinspike, il fondatore del servizio Signal, è convinto che il progresso tecnologico debba andare di pari passo con la sicurezza degli utenti. Così intorno alla sua "creatura" è nata una community di persone che mettono la privacy al primo posto. Tra questi anche Edward Snowden il whistleblower ex consulente dell'NSA, l'agenzia per la sicurezza nazionale degli Stati Uniti, che nella primavera del 2013 divulgò una serie di informazioni classificate sui piani di sorveglian