Le pmi fanno sempre più gola ai criminal hacker

Il 2019 è stato un vero e proprio annus horribilis per gli attacchi informatici contro le grandi aziende, da Marie Tecnimont a Norsk Hydro, passando per Capital One. Abbiamo tutti letto i titoli a tutta pagina che parlavano delle campagne dei criminal hacker contro multinazionali ed enti governativi, con milioni di dati di carte di credito, dati personali sensibili e altre informazioni riservate sottratte e rivendute. Ma avete pensato a quali potrebbero essere le conseguenze di un attacco informatico contro la vostra piccola impresa o attività commerciale? Anche se il vostro negozio specializzato, hotel o agenzia di consulenza può non apparire come player decisivo sul mercato, è una delle oltre 5 milioni di pmi che – impiegando circa 15 milioni di lavoratori – creano le fondamenta dell'economia del nostro Paese. Nell’ultimo periodo il tessuto di piccole imprese, però, sta anche diventando uno dei principali obiettivi per i cybercriminali che cercano di creare il caos e sottrarre informazioni sensibili.

Perché proprio le pmi

Certo, è un dato di fatto che tutti i criminal hacker sognano di prendere il “pesce grosso”, ma questo richiede molto tempo, fatica, rischi e dispendio economico. Per i più, quindi, è molto più conveniente “lanciare la propria lenza” verso un bersaglio molto più facile, prendendo di mira le informazioni sensibili e i dati delle piccole imprese, fin troppo spesso inconsapevoli dei rischi a cui sono esposte e quindi non protette adeguatamente. Questa mancanza di know-how è fin troppo nota ai criminali informatici che sanno, come accennato, che la maggior parte delle piccole imprese non ha le risorse o, appunto, le conoscenze per salvaguardare i propri dati digitali sensibili e che molti imprenditori si affidano, piuttosto che alla Cyber Security, alla sicurezza posta in una falsa convinzione che la loro azienda sia semplicemente troppo piccola per essere un obiettivo papabile. È come lasciare la porta di casa spalancata prima di uscire per le due settimane di vacanza al mare perché si vive in un quartiere "sicuro": praticamente si invitano i ladri a entrare e a dare un'occhiata in giro. E non dobbiamo certo sperare che l’incremento dei Cyber attacchi sia solo un fenomeno passeggero e che presto si “appiattisca” per frequenza e severità.

Gli attacchi informatici stanno aumentando in modo generalizzato per le aziende di tutte le dimensioni, ma stanno crescendo a un ritmo particolarmente rapido per le piccole imprese. Prendendo come esempio gli Stati Uniti, il 67 per cento delle piccole e medie imprese è caduto vittima di un attacco informatico e il 58% ha subito una violazione dei dati nel solo 2018. E in maniera più preoccupante il 47 per cento di queste aziende prese di mira ha ammesso di non avere idea di come proteggersi dalle minacce informatiche. Fin troppe aziende, anche in Italia, non sono sufficientemente informate, ancora meno hanno a disposizione un piano di Incident Response in caso di attacco. Lo scenario che si sta configurando, continuando su questa strada, è tutt’altro che roseo.

Le conseguenze di un attacco

Anche se non conosciamo con precisione i dati precisi nel nostro Paese, è stato stimato che per una micro o piccola impresa il costo medio di un incidente informatico sia pari a circa 120mila euro, ma questa stima, visto l’aumentare di rischi e complessità degli attacchi potrebbe aumentare notevolmente nel breve periodo. Le aziende, infatti, non solo si devono preoccupare dei costi di ripristino della propria infrastruttura, ma devono anche fare i conti con possibili sanzioni o ripercussioni legali (GDPR docet) e da ultimo non va sottovalutato il possibile danno di immagine e conseguente perdita di business che ne potrebbe derivare. Se per le grandi imprese il costo degli attacchi da parte dei Criminal Hacker può essere considerato “scomodo” – anche se molto dannoso – per le pmi questo può essere paralizzante!

 A rischio è tutto il sistema-Paese

Se l’economia del G7 sembra dominata dalle “big corporation”, per l’Italia, caso sempre particolare, il tessuto della piccola impresa rappresenta la linfa vitale. Le pmi impiegano 15 milioni di persone, sono il 92 per cento delle imprese attive sul nostro territorio e producono un fatturato totale che supera i 2mila miliardi di euro. Insieme, questi piccoli negozi e imprese stimolano la spesa e creano le fondamenta necessarie affinché le banche e le grandi imprese possano prosperare.

La caduta di queste potrebbe avere un drastico effetto di "trickle-up" sulla nostra economia.

Certo, una piccola impresa che chiude i battenti non manderà un'ondata di panico in tutta la Penisola, ma immaginate gli effetti causati da migliaia di aziende che chiudono i battenti a causa di malware, perdite di dati e altri Cyber attacchi.

Come proteggersi

 “Bucare” l’infrastruttura digitale di una piccola impresa può essere facile, soprattutto perché molti imprenditori oramai si affidano sempre più alla comodità della comunicazione online, della gestione del lavoro automatizzata e dell'archiviazione dei dati in cloud o on premise senza armarsi contro i rischi che si celano dietro ogni click o battuta sulla tastiera. Molti criminal hacker si introducono nei sistemi bersaglio attraverso gli account dei dipendenti, le applicazioni cloud, le e-mail di phishing, i dispositivi non protetti e i sistemi di pagamento non sufficientemente protetti.

Ma ci sono già misure in grado di proteggere le pmi contro queste minacce:

• Uno dei fattori più vulnerabili di un’organizzazione è sicuramente quello umano. Servizi come il Phishing simulation attack sono fondamentali per diminuire sensibilmente il rischio che i dipendenti diventino vittime di e-mail di phishing attraverso una doppia azione di formazione e awerness training. Il phishing, infatti è ancora uno dei metodi principali per i Criminal Hacker per intrufolarsi nei sistemi presi di mira;
• Effettuare testi periodici per testare la resilienza dei propri sistemi come Penetration Test o Vulnerability Assessment permette all’azienda di scoprire quali sono le aree maggiormente esposte a possibili rischi e approntare prontamente attività di remediation;
• Approntare un piano di Incident Response per farsi trovare preparati nel caso un attacco Criminal Hacker riesca a superare le difese;
• Non sottovalutare l’apporto che Cyber Security Firm possono dare alla tua attività di difesa. La maggior parte delle PMI non ha un al suo interno una figura dedicato come un CISO per occuparsi di monitoraggio dell’infrastruttura e Cyber Security. Collaborare con dei player esperti del settore è la soluzione ideale per quelle PMI che non riescono a gestire queste problematiche dall’interno.

Per le pmi sottovalutare i rischi legati alla cyber security potrebbe significare diventare solo un’altra statica nel computo delle vittime degli attacchi informatici.