Il vero zero-day non è una nuova e grave CVE: è banalmente smettere di imparare

Ci sono frasi che sembrano appartenere a un’altra epoca e che invece, lette oggi, fanno quasi paura per quanto siano attuali. Oggi vi faccio tornare per un attimo bambini. Ne “La Spada nella Roccia”, Merlino dice ad Artù:

“La cosa migliore da fare quando si è tristi è imparare qualcosa. È l’unica cosa che non fallisce mai.”

Ogni volta che rileggo questo mi chiedo una cosa: e se non stesse parlando solo della vita? E se fosse anche il consiglio che si possa dare a chi, come noi, lavora nella cybersecurity?

La tecnologia invecchia. La curiosità no.

Ci saranno sempre i “firewall più sofisticati”, gli antivirus “più intelligenti di sempre”… ma la verità è che passano pochi mesi e arriva qualcuno che trova il modo di aggirarli. È inutile prenderci in giro, succede sempre. L’abbiamo visto con i castelli, con le casseforti, con le automobili e oggi lo vediamo con il digitale. L’unica cosa che per noi continua ad avere valore è la capacità di capire come funziona tutto ciò che abbiamo davanti. Perché posso cambiare gli strumenti ma le logiche, meno.

L’hacker che non immagini

Riflettiamoci un attimo. Prima ancora di essere un esperto di informatica, un buon attaccante è un eccellente osservatore. Studia, e studia tantissimo. Non codici sofisticati o chissà quali cose astruse. Studia l’azienda che vuole colpire, ne analizza il sito web, legge i comunicati stampa, esplora i profili LinkedIn dei dipendenti, scorre le pagine Facebook e Instagram, cerca interviste, fotografie, annunci di lavoro e qualsiasi dettaglio possa raccontargli come è organizzata quella realtà.

Studia gli organigrammi di quella realtà, individua chi si occupa dell’amministrazione, chi gestisce gli acquisti, chi parla con i clienti e chi ha accesso ai sistemi più sensibili. Osserva le relazioni tra colleghi, i fornitori abituali, gli orari di lavoro, il linguaggio utilizzato nelle comunicazioni e persino il tono con cui vengono scritte le e-mail. Ogni piccolo dettaglio è un tassello di un puzzle. E quel puzzle, pezzo dopo pezzo, gli permette di costruire un attacco sempre più credibile.

La parte più sorprendente sai qual è? Molte di queste informazioni non vengono mica rubate. Gliele consegniamo noi, spontaneamente, ogni giorno. Oggi pubblichiamo una foto dell’ufficio, raccontiamo di essere in trasferta, festeggiamo una nuova collaborazione o condividiamo con entusiasmo il nome di un software appena adottato? Bene! Sono tutte informazioni che serviamo su un piatto d’argento a “chiunque” voglia colpirci.

Praticamente facciamo intelligence al contrario: raccogliamo dati su noi stessi e li consegniamo al nemico. Con grande spirito di collaborazione. Un hacker preferisce sicuramente fare lo psicologo che il programmatore: è molto più semplice convincerti ad aprire la porta che imparare a sfondarla. Vive di conoscenza, pazienza e capacità di osservazione. E spesso, il primo sistema che viene violato non è un server ma la fiducia delle persone.

L’ignoranza è il vero zero-day

Nel nostro settore si parla continuamente di vulnerabilità, di software non aggiornati, di sistemi operativi obsoleti, porte aperte e tanto altro. Ma esiste una vulnerabilità che non compare in nessun bollettino CVE. È la convinzione di sapere già abbastanza. È quella frase che abbiamo sentito almeno una volta nella vita, o forse molte molte di più: “Questo lo conosco.” “Ho fatto il corso l’anno scorso.” E nel frattempo quello che pensi di ricordare è già superato da un pezzo. Ed è proprio quella convinzione che ci fa smettere di imparare. Il problema è che gli attaccanti non fanno la stessa scelta, anzi, loro continuano a evolversi. Continuano a studiare.

Vale anche fuori dall’IT

Ma questa riflessione che ho fatto non riguarda mica solo chi lavora nell’informatica. Vale per chi gestisce un hotel, per chi si occupa di amministrazione e per qualsiasi altro settore. Anche per chi usa una mail aziendale soltanto cinque minuti al giorno. Oggi, chiunque utilizzi uno smartphone o un pc è parte della superficie di attacco di qualcuno. Pensarsi estranei al problema è come uscire sotto un temporale senza ombrello e convincersi che la pioggia abbia di meglio da fare che bagnare proprio te.

La formazione non è un costo. È manutenzione.

Per me c’è una differenza enorme tra acquistare sicurezza e costruire sicurezza. La prima si compra e la vendono in tanti. La seconda si coltiva ogni giorno, a piccoli passi. Con il tempo, con la curiosità, con la voglia di fare domande, con l’umiltà di dire: “Questa cosa non la conosco, me la spieghi?” In fondo, è proprio questo che Merlino voleva dirci in quelle scene d’altri tempi. Imparare non serve soltanto ad accumulare nozioni, serve a non rimanere immobili mentre tutto il resto cambia.

E se c’è una disciplina che cambia alla velocità della luce, quella è proprio la cybersecurity. Per questo, forse, il miglior investimento che un’azienda possa fare non è il dispositivo più costoso sul mercato. È creare persone che abbiano ancora voglia di imparare e crescere. Perché il giorno in cui smettiamo di farlo non diventiamo meno intelligenti. Diventiamo soltanto più prevedibili. E gli hacker adorano le persone prevedibili.

Merlino aveva ragione: imparare è una delle poche cose che nessuno potrà mai rubarti. La domanda, però, è un’altra. Tu, oggi, cosa hai imparato?

Erminia Minieri

Professionista in Marketing & Communication con esperienza nel settore ICT e soluzioni tech per l’hospitality. Attualmente in MEGINET, coordino attività di comunicazione strategica, gestione progetti e iniziative formative su cybersecurity per il turismo alberghiero.

Aree di competenza: Marketing & Communication, Cyber Security, Graphic Design, Web Design