Daniel A. dirige un'officina di lavorazione meccanica di precisione. Per anni ha pensato che la sua azienda fosse troppo discreta per interessare a qualcuno: «Non siamo una banca.» Poi, un lunedì mattina, Marc K., il suo responsabile informatico a metà tempo, gli mostra un elenco: centinaia di tentativi di accesso alla casella di posta aziendale, tutti lanciati durante la notte. Nessuno aveva preso di mira Daniel in particolare — ed è proprio qui che sta l'equivoco.
Perché gli hacker attaccano le PMI, davvero
L'idea di essere «presi di mira» è fuorviante. Immaginiamo un pirata con il cappuccio che studia la propria preda, sceglie un'azienda e prepara il colpo. Questa immagine è rassicurante — perché ci diciamo di essere troppo piccoli per valere questo sforzo. La realtà è più banale, e un po' più inquietante: la maggior parte degli attacchi non prende di mira nessuno in particolare.
Programmi automatizzati — dei bot software — perlustrano internet di continuo, giorno e notte, in cerca di porte lasciate aperte: una password debole, un software mai aggiornato, un indirizzo e-mail lasciato in giro. Quando una porta cede, l'attacco si innesca da solo. Spesso l'obiettivo è depositare un ransomware — un software che cifra (rende illeggibili) tutti i suoi file e poi chiede un riscatto per restituirle l'accesso. Per chi gestisce questi bot, tentare con una piccola azienda del Giura o con un gruppo internazionale costa più o meno lo stesso: quasi nulla. Così ci prova con tutti.
È il primo capovolgimento: la sua PMI non è «troppo piccola». Si trova semplicemente alla portata della stessa rete, gettata a caso su milioni di indirizzi insieme. La dimensione non protegge; il livello di protezione sì.
Camille, la nostra consulente cyber, lo riassume spesso così: «Immagini una via in cui un malintenzionato prova tutte le maniglie, una dopo l'altra, senza sapere in anticipo cosa c'è dietro. Non ce l'ha con lei di persona — entrerà semplicemente dove è aperto. Nel mondo cyber quel malintenzionato non deve nemmeno camminare: un programma prova migliaia di maniglie al secondo. L'unica cosa che conta è sapere se la sua è chiusa a chiave.» In quell'immagine c'è una buona notizia: non può impedire al malintenzionato di passare, ma può decidere che almeno la sua maniglia non giri.
L'anello debole di una catena
C'è una seconda ragione, questa più mirata. Un'officina come quella di Daniel A. non lavora da sola: è subfornitrice di committenti più grandi, nell'orologeria o nel medicale. Un attaccante che non riesce a entrare nel grande gruppo — meglio protetto — cerca un'altra via. Quella via è spesso un fornitore più modesto, collegato al cliente tramite e-mail, file scambiati, a volte un accesso condiviso a una piattaforma.
Si chiama attacco alla catena di fornitura (in inglese supply chain): non si assale la fortezza di fronte, si passa dal fornitore che ha una chiave. La PMI diventa la porta d'ingresso verso bersagli più grandi. Non è un'astrazione: è proprio per questo che sempre più committenti inviano ai loro subfornitori un questionario di sicurezza prima di rinnovare un contratto. Essere «l'anello debole» non è più solo un rischio tecnico — è diventato un rischio commerciale.
Dati che valgono qualcosa
Infine, al contrario di quanto si crede, una PMI industriale detiene cose ambite: disegni tecnici, cicli di lavorazione, la proprietà intellettuale dei suoi clienti, il portafoglio ordini. Molto valore, spesso dietro una protezione più leggera di quella di un grande gruppo. Per un attaccante è il miglior rapporto tra sforzo e guadagno. L'Ufficio federale della cibersicurezza (UFCS/NCSC), il riferimento pubblico in Svizzera, pubblica del resto regolarmente raccomandazioni pensate specificamente per le PMI — non per eccesso di zelo, ma perché sono concretamente interessate.
Cosa ricordare
- Non è preso di mira personalmente, ma è alla portata. Gli attacchi sono automatizzati e gettano una rete ampia: la domanda non è «sono un bersaglio interessante?», ma «è rimasta aperta una porta da me?».
- Essere piccoli non protegge — al contrario. Una protezione leggera fa di lei al tempo stesso un bersaglio facile e una comoda via d'ingresso verso i suoi clienti e committenti.
- La responsabilità è la sua. La nLPD (la legge svizzera sulla protezione dei dati) si aspetta che un'azienda adotti misure di sicurezza «adeguate» alla sensibilità di ciò che detiene. Non è una questione riservata ai grandi; è un'aspettativa che riguarda anche lei.
Le abitudini da adottare questa settimana
La buona notizia: le misure che bloccano la stragrande maggioranza di questi attacchi automatizzati sono semplici, e la maggior parte non richiede né budget né un informatico interno. Tre abitudini bastano per uscire dalla folla delle «porte aperte».
1. Attivare l'autenticazione a due fattori, cominciando dalla posta
L'autenticazione a due fattori (MFA) aggiunge, oltre alla password, una seconda prova d'identità: di solito un codice o una conferma sul suo telefono. Anche se un bot indovina la password, resta bloccato senza questo secondo fattore. Cominci dalla casella aziendale — è la porta più attaccata, e quella che apre la via a tutto il resto. La funzione esiste già nella maggior parte degli strumenti che usa; basta attivarla.
2. Fare l'elenco dei suoi accessi e delle sue connessioni
Si prenda trenta minuti per rispondere a due domande semplicissime: chi ha accesso a cosa nella sua azienda, e con chi è collegato all'esterno? Cerchi in particolare gli account di ex collaboratori ancora attivi, gli accessi condivisi che nessuno sorveglia più, e i legami digitali con i suoi clienti e fornitori. Si protegge bene solo ciò che prima si è reso visibile.
3. Verificare che il suo backup esista davvero — e che sia tenuto a parte
«Abbiamo dei backup» non basta. La vera domanda è: se domani mattina tutti i suoi file fossero cifrati, potrebbe ripartire da una copia recente, integra e separata dal resto? Verifichi che un backup giri davvero, che non sia collegato in permanenza alla rete (altrimenti un ransomware lo raggiunge anch'esso), e che un ripristino sia già stato testato almeno una volta. È la sua rete di sicurezza il giorno in cui tutto il resto cede — e, per un'officina la cui attività dipende da disegni e ordini, anche la differenza tra qualche ora di fermo e diversi giorni di produzione persi.
A che punto è davvero?
Queste tre abitudini riducono nettamente la sua esposizione. Ma non rispondono alla domanda di fondo che si pongono Daniel A. e Marc K.: su tutta la nostra organizzazione, dove sono le vere debolezze, e da dove cominciare? Capire perché gli hacker attaccano le PMI è un primo passo; sapere con precisione a che punto è, è un altro.
Cyber Passport non certifica nulla e non la dichiara «in regola»: l'aiuta a svolgere un'autovalutazione strutturata e onesta, che può condividere con un cliente o un revisore che gliela chieda. Vede finalmente la sua postura in chiaro, priorità dopo priorità, invece di un vago senso di insicurezza.
Per trasformare questa consapevolezza in un piano d'azione concreto, scopra il nostro blueprint dedicato alla postura cyber delle PMI.
