Ottobre è, dal 2012, il mese europeo della cybersicurezza (European Cybersecurity Month), promosso da ENISA insieme alla Commissione Europea. Ogni anno l’iniziativa punta su un tema diverso: quest’anno il focus è ancora una volta sul phishing, le e-mail e i messaggi ingannevoli pensati per rubare credenziali, dati o denaro, che restano il metodo più usato per violare account e sistemi.
In Italia, il 35% degli incidenti informatici parte da un errore umano come una password condivisa, un link cliccato senza pensarci o un allegato aperto di fretta. Non servono sempre attacchi tecnicamente sofisticati: spesso basta un momento di distrazione.
Chi si occupa di GDPR spesso pensa alla sicurezza informatica come a un tema separato, di competenza di qualcun altro – il reparto IT, un fornitore esterno. Ma la maggior parte dei data breach che un’azienda deve notificare non nasce da un attacco hollywoodiano: nasce da una e-mail di phishing aperta da un dipendente, da una password debole, da un documento inviato per errore al destinatario sbagliato.
La protezione dei dati personali e la sicurezza informatica condividono lo stesso punto debole: le persone. Un’azienda può avere il registro dei trattamenti perfetto e una policy antivirus aggiornata ma, se nessuno ha mai spiegato ai dipendenti come riconoscere un tentativo di phishing, il rischio resta aperto.
Il phishing si presenta oggi in forme diverse, non solo nella classica e-mail sospetta. C’è lo smishing, il phishing via SMS, spesso mascherato da avviso di consegna o comunicazione bancaria. C’è il vishing, la truffa telefonica in cui qualcuno si finge un collega, un fornitore o un tecnico per ottenere informazioni. E c’è il quishing, la versione più recente che sfrutta i codici QR per portare la vittima su siti falsi.
Riconoscere questi tentativi richiede poche abitudini semplici, non competenze tecniche. Verificare il mittente reale di una e-mail, non solo il nome visualizzato. Non cliccare mai su un link ricevuto in modo inatteso, anche se sembra provenire da un collega o da un fornitore conosciuto, meglio digitare l’indirizzo a mano o chiamare per verificare. Diffidare delle urgenze: i messaggi che chiedono un’azione immediata, con la minaccia di conseguenze gravi, sono quasi sempre un segnale d’allarme.
Un’altra abitudine spesso trascurata è la gestione delle password: usarne una diversa per ogni servizio, abbastanza lunga da non essere indovinata facilmente, e – dove possibile – attivare un secondo livello di verifica oltre alla sola password. È una misura tecnica semplice, ma riduce in modo significativo il rischio di accesso non autorizzato anche quando una credenziale viene comunque compromessa.
Il nostro lavoro su questo fronte parte dalla formazione delle persone, non solo dalla produzione di documenti. Un percorso formativo su privacy e sicurezza informatica costruito insieme.
Se non hai mai dedicato un momento formativo specifico su questi temi al tuo team, ottobre è un’occasione naturale per iniziare.
