Il vero costo di un cyber attacco -da: “Non ERA un libro per hacker”

Il seguente testo è un estratto del volume “Non ERA un libro per hacker”, di Stefano Fratepietro. Il volume è il primo della nuova collana Maggioli Editore; la collana editoriale Cyber, diretta da Gerardo Costabile, si propone come un punto di riferimento per tutti coloro che desiderano approfondire le tematiche legate alla cybersecurity, intelligenza artificiale, cyber threat intelligence, investigazioni e frodi tecnologiche.

1. Il vero costo di un cyber attacco

I protagonisti della disavventura di cui mi accingo a parlare li avevamo conosciuti grazie a un nostro business partner di canale e avevamo iniziato a lavorare insieme già da qualche anno facendo per loro piccole cose, da alcuni penetration test – le cui vulnerabilità non sapremo mai se furono risolte nel tempo, perché non comprarono mai il recheck – ad attività sistemistiche di cyber security di vario tipo, compresa una raccolta di log di sistema selettiva e non esaustiva di alcuni pezzi dell’azienda. A capo della struttura IT vi era una persona che chiameremo Alberto, un gran tecnicone nato lavorativamente parlando dentro quella realtà e cresciuto con essa. Alberto conosceva ogni singolo centimetro del suo datacenter, gestendolo con la diligenza del buon padre di famiglia, usando tutti gli strumenti che l’azienda gli metteva a disposizione senza lamentarsi più di tanto. Particolarità di Alberto è che non era a tutti gli effetti l’IT manager, perché vi era una struttura a mo’ di governo ombra, una sottospecie di CDA alternativo che, in alcuni casi, aveva più poteri dell’amministratore delegato in persona. In questo gruppo di dirigenti del governo ombra vi era un Soggetto (con la S maiuscola) che chiameremo Omar, (…)
I problemi nascono nel momento in cui l’ufficio acquisti inizia ad avere deliri di onnipotenza, pensando di essere in grado di gestire tutte le tematiche a 360 gradi, comprese l’Information Technology e la cyber security, senza avere un supporto adeguato alla comprensione degli argomenti complessi. La selezione tecnologica e le scelte strategiche non possono assolutamente passare per questi canali, perché non ne hanno la competenza e mai l’avranno. Il rischio è che, nel caso in cui si debba acquistare un servizio, ad esempio, un penetration test, per l’ufficio acquisti l’unico fattore che ne determini la scelta sia soltanto il prezzo, pertanto si ritrovano a scegliere un servizio venduto a 10.000 euro rispetto ad un altro offerto a 20.000 euro senza porsi la domanda: “Quale è la reale differenza tra i due?”. Trattano l’argomento come se dovessero comprare un chilo di limoni. Sempre limoni sono, pertanto compro quello che costa meno ed ho fatto anche oggi il mio dovere. Da qui il concetto di “lemon market”, condizioni di asimmetria informativa nel mercato, in particolare quando il venditore gode di una maggiore quantità e qualità d’informazioni sul bene proposto all’acquirente, ma l’acquirente non ne ha la più pallida idea. In molti casi, chi vende cyber si ritrova a discutere quotidianamente con soggetti di questo tipo. Se poi questi, come nel caso di Omar, pensano di saperne anche di tecnologia e di avere competenze tali da poter fare anche la selezione strategica a monte, allora l’azienda è in un mucchio di guai, e infatti…
È un “normalissimo” weekend di pandemia, eppure in pieno inverno le temperature sono a dir poco primaverili, non piove da mesi ma tutto è vano perché siamo letteralmente ricoperti di restrizioni ed è meglio stare a casa per evitare i contagi. Come nelle migliori settimane di cyber attacchi – che, ricordo, partono sempre nel weekend –, arrivò la telefonata con richiesta di aiuto urgente. L’azienda era completamente ferma. La totalità dei server erano bloccati, i dati erano cifrati e gli attaccanti avevano già inviato un file contenente tutte le istruzioni per essere contattati per “discutere” della loro situazione e di quanti soldi pagare per poter ripartire.

2. Volume fonte dell’estratto

Il libro è stato scritto con l’obiettivo di raccontare fatti realmente accaduti e storie avvincenti dove la sicurezza informatica e le indagini digitali vengono raccontate usando un linguaggio semplice e divulgativo. Stefano, in ogni storia, racconta un pezzo di sé e della sua pluriennale esperienza nel settore.
Attacchi informatici, indagini oltreoceano e virus sofisticati accompagneranno il lettore in una serie di avvincenti avventure i cui protagonisti sembrano a volte usciti da serie televisive e film campioni di incassi.

Vuoi ricevere aggiornamenti costanti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia.
Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!