(in) Sicuro è una rubrica settimanale che approfondisce il tema in rapida espansione della sicurezza informatica.
Contenuti
- Il problema
- Tutto riconduce al phishing
Come per la sicurezza domestica, le persone spesso preferiscono non pensare alla sicurezza informatica una volta che hanno pagato per averla. Preferiscono pagare e pregare.
Ma come fai a sapere quando il software di una società di sicurezza funziona? Con tutti i miliardi di dollari investiti nella protezione di noi stessi e delle nostre attività online, perché gli attacchi hacker sembrano aumentare in termini di regolarità e danni?
Abbiamo parlato con Oren J. Falkowitz, un ex dipendente di livello senior presso la NSA e il Cyber Command degli Stati Uniti, che ha un'idea radicale su come le aziende di sicurezza informatica dovrebbero guadagnare i loro soldi.
Il problema
Il nostro moderno fiasco nella sicurezza informatica ha molte cause. Forse è una mancanza di finanziamenti e di regolamentazione da parte del governo. Forse sono le grandi aziende tecnologiche a non preoccuparsi abbastanza della privacy. Forse è solo questione di educare il pubblico e spiegare in termini semplici qual è la posta in gioco.
“Le aziende spendono circa 93 miliardi di dollari in sicurezza informatica, senza alcuna fine in vista…”
Falkowitz ha una visione diversa. Crede che il vero problema sia che i profitti della sicurezza informatica non sono legati alle prestazioni. “Per noi significa sicurezza informatica basata sulle prestazioni e pagamento per i risultati, non per un fallimento”, ha dichiarato a Digital Trends. “Le aziende dovrebbero pagare per la sicurezza informatica solo quando e se funziona come previsto”.
Non è così che funziona oggi. Esperti di sicurezza informatica, aziende e software antivirus vengono presentati e acquistati come un piano assicurativo. Paghi mensilmente e speri che non succeda nulla di brutto. In tal caso, ti aiuteranno a raccogliere i pezzi e magari cercheranno di offrirti maggiore sicurezza.
Area 1 Sicurezza, la società di sicurezza informatica di Falkowitz, adotta l’approccio opposto. L’Area 1 sottolinea il fatto che le persone “si impegnano a stipulare contratti di sicurezza che durano da tre a cinque anni, spendendo sei o sette cifre. Ma continuano a non ottenere ciò per cui pagano”. Falkowitz ritiene che i clienti dovrebbero pagare solo per i tentativi di reato che vengono fermati. È un’idea simile ai programmi bug bounty, che incoraggiano gli hacker a trovare – e quindi rivelare – le vulnerabilità.
È sempre phishing
“Le aziende spendono circa 93 miliardi di dollari in sicurezza informatica, senza alcuna fine in vista e, quel che è peggio, senza fine alla gravità o alla frequenza degli attacchi informatici”, ha affermato Falkowitz. “Una sicurezza informatica responsabile e basata sulle prestazioni garantirà che i risultati siano ciò che guida le innovazioni future e i risultati positivi nei modelli di business”.
Ci si potrebbe chiedere come potrebbe un’azienda restare in attività se dovesse costantemente dimostrare ai clienti che gli attacchi vengono fermati. Area 1 Security lo fa funzionare concentrando i propri sforzi su un aspetto particolare della sicurezza informatica: il phishing.
Tutto riconduce al phishing
"Il phishing è l'attacco che dà inizio all'attacco, è la causa principale di un sorprendente 95% di tutti i danni", ha affermato Falkowitz. “La chiave per una sicurezza informatica basata sulle prestazioni è fermare il phishing.”
"Il phishing è un attacco di ingegneria sociale che si basa sull'autenticità per eludere il rilevamento."
Il phishing è diventato la rovina dell’esistenza di Internet. Dal malware ai dati rubati, il phishing è spesso il punto di ingresso dei peggiori attacchi informatici che abbiamo mai visto. Di solito assume la forma di un'e-mail fraudolenta, inviata a una vittima ignara sotto le spoglie di un'azienda o organizzazione ufficiale.
L’e-mail chiederà quindi al lettore di fare clic su un collegamento e, una volta fatto, verrà attivata la trappola dell’aggressore. Sebbene semplice, gli hacker hanno utilizzato il phishing per qualsiasi cosa, da Il disastro delle email della campagna Clinton al devastante Attacco ransomware WannaCry del 2017.
"Il phishing è un attacco di ingegneria sociale che si basa sull'autenticità per eludere il rilevamento", ha spiegato Falkowitz. “È progettato per non essere catturato da nessuno! Ecco perché funziona così bene. Oltre ad essere efficace, è anche incredibilmente economico. Questo è uno dei motivi per cui dal punto di vista economico è così vantaggioso essere un cattivo ragazzo su Internet. Se sei un attaccante e hai qualcosa che funziona, da cui la maggior parte delle aziende non può difendersi, perché non continuare a usarlo?”
Il sistema di Area 1 Security afferma di bloccare il 99,99% di tutti gli attacchi di phishing, consentendo loro di tenere un registro degli attacchi che stanno prevenendo. La sua filosofia non è quella di dare la caccia ai criminali su Internet, ma piuttosto di fermare coloro che già bussano alle nostre porte.
“Fino a quando non toglieremo il phishing come arma dalle mani degli aggressori, continueremo su questa strada sempre più pericolosa e costosa”.
Forse è ora che iniziamo a chiedere di più alle aziende che pretendono di proteggerci. Dopotutto, disarmare i cattivi sembra un piano molto migliore che aspettare che attacchino.
Migliora il tuo stile di vitaDigital Trends aiuta i lettori a tenere d'occhio il frenetico mondo della tecnologia con tutte le ultime notizie, divertenti recensioni di prodotti, editoriali approfonditi e anteprime uniche nel loro genere.
