Spesso le aziende temono sofisticati attacchi informatici o intelligenze artificiali malevole, ignorando che le porte principali per i cybercriminali vengono lasciate spalancate per pura comodità.
🛡️ La tua azienda è protetta contro i cyber attacchi?
Richiedi un'analisi preliminare delle vulnerabilità per mettere al sicuro i tuoi dati operativi.
La cronaca di questa settimana ci porta nel cuore della filiera automotive italiana. Il recente attacco ransomware all’azienda Malvestiti ha fatto emergere un dettaglio tanto banale quanto allarmante durante le analisi forensi: gli attaccanti hanno trovato 50 password aziendali salvate in chiaro all’interno di un semplicissimo file di testo.
Un errore che non solo ha contribuito a paralizzare l’operatività dell’azienda, ma che rappresenta una clamorosa violazione del GDPR.
Oggi le aziende non sono isole isolate, ma nodi di una rete. L’attacco non si limita all’infrastruttura interna: minaccia di estendersi all’intera catena di fornitura (supply chain).
Quando gli hacker mettono le mani su un file “passwords.txt”, ottengono le chiavi di accesso a VPN, server di posta, gestionali aziendali e, potenzialmente, ai portali condivisi con fornitori, partner e clienti.
Come ben spiegato nell’articolo dedicato al caso Malvestiti e i rischi per la filiera, la debolezza delle difese di base vanifica in un istante qualsiasi investimento in firewall o software di protezione avanzata.
Salvare le credenziali in chiaro non è soltanto una prassi informatica rischiosa, è un illecito normativo a tutti gli effetti. L’Articolo 32 del Regolamento Europeo (GDPR) impone al Titolare del Trattamento di adottare “misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”.
In caso di ispezione del Garante Privacy a seguito di un Data Breach (la violazione dei dati causata dal ransomware), la scoperta di credenziali non crittografate viene considerata negligenza grave. Questo espone l’azienda a sanzioni pecuniarie che si vanno a sommare ai già pesanti danni legati al fermo aziendale e alla lesione della reputazione commerciale.
Evitare questo scenario catastrofico è sorprendentemente semplice e richiede strumenti ormai alla portata di qualsiasi PMI. Ecco cosa implementare da subito in azienda:
Niente più file Excel, post-it attaccati al monitor o documenti di testo sul desktop. L’azienda deve fornire a tutti i collaboratori un sistema di gestione delle password centralizzato (Password Manager). Questo strumento crea una “cassaforte” crittografata, permettendo al personale di ricordare una sola Master Password e all’azienda di condividere gli accessi in modo sicuro e tracciabile.
Anche qualora una password venisse sottratta tramite phishing o malware, l’hacker non potrà accedere al sistema senza il secondo passaggio (il codice generato sullo smartphone del dipendente o tramite un token fisico). L’MFA non è più un’opzione, ma un requisito minimo indispensabile.
Troppe password aziendali rimangono attive per mesi dopo che un dipendente ha lasciato l’azienda. Serve una procedura rigorosa, sostenuta da una chiara Policy IT, per revocare istantaneamente ogni accesso e ruotare le credenziali condivise al termine di un rapporto lavorativo.
La sicurezza informatica parte dalle basi. Vuoi verificare se le procedure della tua azienda sono a norma di legge e realmente a prova di attacco? Contattaci per un check-up tramite i nostri servizi di valutazione rischio e conformità GDPR.