Cerca
[A cura di: dott. Ivano Rossi – consulente privacy e CEO & Founder ROKLER Management & Consulting Srl]
Attenzione all’uso della posta elettronica
Si è parlato molto in questi mesi del rispetto del Regolamento UE 2016/679, conosciuto anche con l’acronimo inglese GDPR (General Data Protection Regulation) che regolamenta la protezione dei dati personali delle persone fisiche e la loro libera circolazione. Su molte riviste, portali web, blog, le maggiori attenzioni si sono concentrate nell’individuare all’interno del Condominio le diverse figure di titolare del trattamento e responsabile del trattamento, cercando di attribuire all’uno o all’altro le varie responsabilità con non poca confusione essendo intervenuti sull’argomento alcuni consulenti privacy che hanno interpretato, secondo le proprie particolari esigenze del momento, il Regolamento e i ruoli dell’amministratore e dei condòmini.
Si è anche discusso molto delle “nomine” quando in realtà non è presente questo termine all’interno del testo del Regolamento UE 2016/679 ed è stata utilizzata questa parola impropriamente importandola dall’ex art. 29 del D.Lgs 196/2003, in cui si parlava della “Nomina del responsabile interno”, figura non presente nel Regolamento, articolo abrogato dal D.Lgs 101/2018, senza spiegare che in realtà il Regolamento chiede che vengano disciplinati i trattamenti effettuati dal responsabile attraverso un contratto (ex art. 28 §3 Reg. UE 2016/679).
Altre pubblicazioni hanno richiamato genericamente le misure tecniche e organizzative da porre in atto per ridurre i rischi derivanti dai diversi trattamenti. All’interno di queste, quasi nessuno ha affrontato i rischi derivanti dall’utilizzo dell’email, strumento di posta elettronica che utilizziamo quotidianamente senza conoscerne l’origine e di come è in grado di rendere vulnerabile il nostro sistema informatico. Infatti la posta elettronica è diventato il mezzo principale attraverso il quale l’amministratore di condominio comunica con i condòmini, con i fornitori, con i vari consulenti trasmettendo spesso in allegato documenti riservati. Proviamo, seppur in pillole, a conoscere l’origine della email e i suoi punti deboli.
Come nasce la posta elettronica?
Dopo la nascita di internet alla fine degli anni ’60, quando si chiamava ARPAnet fino agli anni ’80 quando divenne rete pubblica denominata “Internet”, l’email venne utilizzata come una delle diverse modalità di utilizzo di internet. La sua invenzione risale al 1971, quando Ray Tomlison installò su ARPAnet un sistema in grado di scambiare messaggi tra i diversi nodi di ARPAnet. Grazie al contributo di Jon Postel, che ne definì il funzionamento, tutte le email spedite su internet vengono trasferite usando un unico protocollo in uscita: Simple Mail Transfer Protocol, conosciuto come SMTP. Non è altro che uno standard tecnologico attraverso il quale ogni server è in grado di inviare e ricevere posta elettronica da qualsiasi altro server SMTP su internet. Questo protocollo, ancora oggi utilizzato, è datato 1971 quando l’uso di questo strumento era agli albori e quando i problemi di sicurezza informatica non esistevano. Questo ci fa comprendere come l’email, di cui oggi sarebbe impossibile fare a meno, è uno strumento altamente vulnerabile dal punto di vista della sicurezza.
Gli attacchi via mail
Così come nella cassetta postale di casa può essere recapitata qualsiasi tipo di lettera dal contenuto sconosciuto, al pari, attraverso un indirizzo email, può essere inviata e recapitata qualsiasi comunicazione contenente informazioni utili al nostro lavoro ma anche notizie fraudolenti. Dal rapporto CLUSIT, l’email è lo strumento maggiormente utilizzato da soggetti male intenzionati che con l’utilizzo di diverse tecniche traggono in inganno i destinatari per ricevere vantaggi economici.
Tra le tecniche più note troviamo il “phishing”, attraverso il quale si cerca di indurre la vittima mediante una falsa comunicazione a collegarsi a un sito falso simile a quello originale per rilevare informazioni personali, quali username e password, dati bancari, numeri di carta di credito, ecc… Questo tipo di attacco può essere rivolto indistintamente a una infinità di indirizzi email, da qui l’espressione “pesca a strascico” o mirato ad una particolare organizzazione cercando di pescare un pesce grosso, da cui il termine “whaling” (whale = balena) inducendolo a fornire informazioni riservate o, come in realtà è successo, a spostare somme di denaro a favore dell’attaccante.
Tra i vari obiettivi vi è anche quello di veicolare “malware”, programmi maligni, attraverso allegati di posta o link con lo scopo di entrare nei sistemi informatici della vittima prendendone il controllo. Come avviene: generalmente si riceve una email con un invito a scaricare il file allegato o a cliccare su un link, con diverse motivazioni che fanno leva su vari aspetti psicologici come la curiosità, l’avidità, la colpa, il desiderio e così via (vengono chiamate tecniche di social engineering). Nel momento in cui il destinatario apre l’allegato o si collega al link, in automatico viene scarico sul pc della vittima il malware prendendone il possesso.
È importante saper che il computer viene infettato solo se si aprono gli allegati o si clicca il link, no se si apre solamente l’email. Naturalmente esistono diversi tipi di malware. Quello più noto è il “ransomware” che attraverso la criptazione dei file rende l’accesso impossibile ai dati dei computer e chiede il pagamento di un riscatto per poter ripristinare l’utilizzo.
Altra tecnica fraudolenta messa in opera attraverso lo strumento dell’email è la truffa “The Man in the Mail”. Questa avviene quando il malvivente viola la casella di posta del mittente o quella del destinatario inviando informazioni forvianti traendo in inganno la vittima spesso facendo eseguire pagamenti su conti correnti fittizi. A tale proposito lo “spoofing” è una tecnica di attacco informatico utilizzata per falsificare diverse informazioni, come ad esempio l’identità di un host all’interno di una rete o il mittente di un messaggio (spoof = identità). È una tecnica di truffa informatica sempre più utilizzata attraverso la quale viene tratta in inganno una vittima comunicando la variazione di coordinate bancarie e invitando a eseguire sul nuovo conto i successivi pagamenti. Questo risulta ancora più facile da quando gli istituti di credito non verificano più la corrispondenza tra nome del beneficiario e titolare del conto corrente ma si limitano a verificare unicamente l’esattezza del codice IBAN. Se dovessero rubare l’identità di un fornitore che ha come target di cliente l’amministratore di condomini, come ad esempio una società del gas o una ditta appaltatrice che ha diversi cantieri su una piazza, e inviassero attraverso le tecniche di phishing una email con la quale si comunica il cambio di IBAN e l’amministratore provvedesse a bonificare dal conto del condominio al fraudolento fornitore, chi sarebbe responsabile nei confronti dei condòmini della perdita economica? Purtroppo l’amministratore. Non potrà essere imputata alcuna responsabilità al vero fornitore, il quale rimarrebbe esonerato da qualsiasi addebito e creditore dell’intero importo. Quando vengono ricevute questo tipo di email contattare sempre il fornitore per avere certezza della comunicazione, naturalmente con mezzi diversi dall’email!
Come difendersi
La prima sicurezza è nell’utilizzo di una password robusta. Cosa si intende per “robusta”: deve essere composta da almeno 8 caratteri scelti tra lettere maiuscole e minuscole, numeri, caratteri speciali. Abbiamo a disposizione ben 95 diversi caratteri, vale a dire ben 958 = 6.634.204.312.890.625 combinazioni possibili. Evitare nomi di persone, date di nascita o di eventi, più in generale l’uso di qualsiasi parola anche se modificata con maiuscole e minuscole, caratteri speciali o numeri. Ad esempio T3l3v1s10n3 = televisione è una password molto debole.
Esistono, poi diversi strumenti informatici che riducono i rischi, andando ad analizzare preventivamente il contenuto delle email attraverso varie tipologie di controlli ad iniziare da quello semantico. Spesso i provider di posta elettronica forniscono dei controlli antispam. In questi casi occorre sempre verificarne la bontà e se possibile settarli in base alle proprie esigenze. Altrimenti è consigliabile acquistare la licenza di un prodotto valido facendo sempre attenzione a impostare i diversi filtri in modo tale da non essere eccessivamente restrittivi o viceversa troppo permissivi.
Dai diversi studi eseguiti a livello internazionale tutti hanno concluso che l’anello debole rimane il fattore umano. Capita alle volte che lo stesso titolare dello studio di amministrazioni condominiali non è adeguatamente formato così come i suoi collaboratori o non supportato da valido consulente privacy, da essere tratto in inganno da tecniche di social engineering sempre più sofisticate che fanno leva sulle debolezze psicologiche degli utenti.
Il miglior consiglio è sempre quello di non aprire file di email sospette, contattare il mittente chiedendo certezza dell’invio e del contenuto. Attenzione ai file con estensione .doc, .xls, .iso, .arj, .tar, .rar, .ace, .zip: dal rapporto CLUSIT 2019 sono i file maggiormente utilizzati per veicolare malware.
Evitare di cliccare su link contenuti all’interno di email o di file pdf se non si è assolutamente certi del mittente. Non fornire mai credenziali personali, verificare che il sito sul quale è stato fatto l’accesso sia sicuro attraverso la barra dell’indirizzo (https). Evitare di loggarsi a nuovi siti attraverso i “social login” che utilizzano informazioni personali presenti su profili Facebook, Google, Linkedin, Twitter.
Questi piccoli accorgimenti aumentano notevolmente il grado di protezione e diminuiscono il rischio di intromissioni malevole e danni ai dati personali dei vostri clienti e soprattutto alla vostra attività.
Alle volte bastano piccole attenzioni per salvarsi!
