Anche la Pec, Posta elettronica certificata, è a rischio di cyber attacchi. Si può essere attaccati da un ransomware attraverso la Pec, come accade per i client che ricevono e spediscono messaggi cifrati, quelli VOIP su canale cifrato, o ancora quelli che gestiscono le proprie password in modalità sicura.
In tutti questi casi, non si può dire che la tecnologia utilizzata non sia sicura. Quello che non è più sicuro è l’endpoint: le tecnologie disponibili agli attaccanti e nel dark web sono talmente avanzate ed a basso costo che si è ormai in grado di infettare le postazioni fisse e mobili delle proprie vittime con grande facilità e senza essere rilevati. Una volta compromesso il dispositivo della vittima, il criminale è, di fatto, virtualmente in possesso del sistema e lo può gestire a proprio piacimento. Può trafugare dati importanti, o rubare l’identità e le credenziali ivi memorizzate, o ancora installare un keylogger per l’ascolto dei tasti digitati sulla tastiera dall’ignaro utilizzatore.
Anche la Pec è esposta
Cosa potrebbe fare ancora? Acquisire i dati, i messaggi, le comunicazioni e le password che transitano dal dispositivo prima che vengano gestite dai suddetti client e dalla loro cifratura.
Nel caso della Pec, come ci spiega Maurizio Tondi, General Manager Technology di Axitea, tutta la sicurezza progettata e realizzata per la posta elettronica certificata è resa vana dal principale punto debole dell’informatica: il dispositivo con il suo utilizzatore. Basta recuperare, quindi, la password della casella PEC della vittima per poter entrare al suo posto nel sistema e spedire mail autenticate e sicure, esattamente come inviare una raccomandata simulando di essere un’altra persona. Un’altra modalità è quella di compromettere il dispositivo vittima, gestendolo da remoto e guidando le sue attività in base agli scopi che ci si è prefissati.
Dieci azioni per la sicurezza della Pec
Come si combatte questa minaccia? Per Tondi, lo si fa cercando di sensibilizzare gli addetti ai lavori sulla necessità di potenziare la sicurezza della PEC (ad esempio supportando la firma digitale di mittente e destinatario), ma ancor di più educando le persone sull’utilizzo sicuro ed affidabile del proprio dispositivo. Ecco un elenco di utili pratiche da attuare.
- Affidare la sicurezza del proprio dispositivo a un client anti-malware in grado di rilevare anche le minacce di ultima generazione, come APT e ransomware.
- Affidarsi a specialisti per la scelta della tecnologia di protezione adeguata che sono in grado di gestirla attraverso un I-SOC (Integrated Security Operation Center).
- Utilizzare la stessa tecnologia anche per i dispositivi mobili (smartphone e tablet) e tenerla aggiornata.
- Evitare di memorizzare le proprie credenziali sul dispositivo o all’interno dei browser.
- Controllare sempre URL e certificato del canale https quando si naviga.
- Aprire allegati di posta o di messaggi social solo se si è certi della provenienza.
- Evitare di utilizzare il cloud o il file sharing per le informazioni riservate.
- Evitare di cadere in tranelli in merito a facili guadagni, fatture non saldate o pacchi postali non ricevuti.
- Dubitare dei messaggi che allertano circa la presunta presenza di virus pericolosi sul proprio dispositivo.
- Dubitare sempre di chi richiede informazioni personali, anche se il mittente sembra essere un ente governativo.
