Firenze – Hacker e hackeraggi, ecco l’incubo irrisolto di tutti coloro che possiedono un pc e vis svolgono sopra attività di lavoro, ricerca o semplicemente di inttrattenimento e ludiche. Anche se contenuto nel profondo della propria coscienza, il tarlo del “sarò hackerato? ruberanno i dati della mia famiglia, le immagini dei figli, il numero della mia carta di credito? ” non risparmia nessuno. A questo proposito, abbiamo ripreso i nostri colloqui con l’ingegnere informatico Donato Apollonio, responsabile nazionale della gestione dati del Partito Democratico, cui abbiamo chiesto di llustrarci, in un sintetico vademecum, le azioni indispensabili per consentire di dormire sonni tranquilli…. o almeno, ragionevolmente tranquilli.
Di solito, nella mente della persona comune, il ragionamento è: “figurati a chi può interessare hackerare il mio computer, o il mio profilo, non ho nessun segreto da nascondere”. Perché questo ragionamento è sbagliato?
“Per comprendere bene perché è sbagliato minimizzare il problema, bisogna conoscere quali sono gli obiettivi di un hacker:
1) Rubare i nostri soldi
Molti di noi accedono alla propria banca via internet, hanno un conto paypal, fanno pagamenti online con la carta di credito e sono sempre di più quelli che hanno un wallet per bitcoin sul cellulare. Non ci rendiamo conto che anche piccole somme possono fare gola perché adesso le tecniche di intrusione sono spesso automatizzate e riescono a colpire in poco tempo un numero considerevole di vittime e allora succede che tante piccole somme messe insieme diventano milioni di dollari.
Per estorcerci del denaro adesso va tanto di moda il ransomware: ci cifrano con una password il disco del pc e poi chiedono dei soldi per la password. Anche se non abbiamo segreti, tanti di noi custodiscono sul proprio hard disk foto e documenti che possono avere un valore affettivo. Gli hacker sanno che nella stragrande maggioranza dei casi non facciamo backup e quindi ne approfittano per “sequestrare” l’unica copia delle nostre preziose cartelle.
2) Arruolare a nostra insaputa il nostro pc o il nostro smartphone in una cyber-guerra o comunque in una azione che richiede un numero considerevole di pc-zombie teleguidati. Una delle attività principali di un gruppo di hacker consiste nel creare le cosiddette botnet, vale a dire un insieme di dispositivi collegati a internet (pc, smartphone ma anche router, console di gioco, telecamere ip, smart tv, etc…) nei quali è stato inoculato un malware che permette di eseguire operazioni da remoto. Grazie a queste botnet gli hacker possono sferrare attacchi DDOS, mandare email di spam, condizionare mercati e fare tante altre brutte cose.
3) Usarci come testa di ponte per raggiungere un nostro amico o l’azienda in cui lavoriamo. Questo è il più subdolo degli obiettivi: l’hacker assume la nostra identità per guadagnare la fiducia di un nostro contatto. Quante volte ad esempio ci è successo di ricevere una email contenente un virus da parte di un nostro amico? Le tecniche sono tante, si parte da email o messaggi sui sociali confezionati in modo da sembrare verosimili e aventi lo scopo di aumentare la “viralità” di un malware fino ad arrivare a sofisticate tecniche di social engineering
4) Raccogliere dati personali e abitudini
Queste informazioni, raccolte per un gran numero di persone, hanno un valore se vendute nei giusti canali nel dark web. Le piattaforme per gestire e analizzare big data si nutrono di questi dati e non sempre hanno una origine legale. Una delle possibili applicazioni per l’uso di questi dati è per esempio la costruzione di fake news, tanto più credibili quanto più si conosce il target, da veicolare utilizzando i recapiti rubati”.
Come ci si accorge di essere stati hackerati?
“Bella domanda. Un bravo hacker cercherà di non destare sospetti in modo da sfruttare il più a lungo possibile la sua vittima. È maledettamente difficile capire anche per un esperto se siamo stati hackerati. E non basta certo fare una scansione antivirus, anche perché non è detto che la compromissione sia avvenuta sul pc. Un buon punto di partenza è verificare sul sito https://haveibeenpwned.
Quali sono gli accorgimenti immediati che si possono prendere?
“Sorvolo sugli accorgimenti scontati tipo usare antivirus aggiornati, non eseguire .exe non attendibili, non usare password semplici o non scriverle su post-it attaccati al monitor (Gesù vi vede che lo state facendo). Eccovi il mio personalissimo decalogo.
1) Non usate MAI la stessa password per servizi diversi. Se per esempio usate la password di Facebook anche per registrarvi sul sito della rivista “Cavalli e segugi”, può succedere che se quest’ultimo sito viene hackerato, la prima cosa che farà l’hacker è provare se la stessa password funziona sui social, sull’account di posta, sul sito dell’home banking. Succede gli hacker costruiscono siti verosimili (spesso siti per adulti) solo per raccogliere password da provare poi su altri account.
2) Usate SEMPRE l’autenticazione a due fattori. Diffidate di quei servizi che non offrono questa misura di sicurezza. L’autenticazione a due fattori (2FA) consiste nel richiedere dopo l’inserimento della password di un PIN inviato via sms oppure, meglio ancora, generato da app come Google Authenticator. In questo modo anche se l’hacker dovesse venire a conoscenza della vostra password, non riuscirebbe comunque ad entrare.
3) Installate sempre e subito gli aggiornamenti di sicurezza sui vostri dispositivi.
4) Separate in compartimenti stagni le vostre attività. Non usate per esempio lo stesso pc che usate per connettervi da remoto alla postazione di lavoro per scaricare anche la posta personale o navigare su siti dubbi. Se non avete due pc, installate una piattaforma di virtualizzazione come per esempio VitualBox e createvi una macchina virtuale con Linux da usare per le operazioni rischiose (non è difficile, su Youtube trovate mille tutorial che spiegano come fare). Createvi uno snapshot prima di utilizzarlo in modo da ripristinare la macchina ogni settimana alle condizioni iniziali. Se non ve la sentite di ricorrere ad un secondo pc o ad una macchina virtuale, usate almeno due browser distinti, per esempio Firefox per la posta e i social e Chrome per navigare (in questo modo tra l’altro fornirete ai social molte meno informazione sulle vostre abitudini di navigazione).
5) Se usate servizi di posta elettronica che non hanno dei buoni filtri antivirus, antispam e antiphishing, utilizzate il comodo servizio di Gmail che vi consente di leggere altri account di posta. Eliminerete il 99% delle rotture di scatole.
6) Usate servizi di DNS che inibiscono l’accesso a siti malevoli. Il DNS è il sistema che usiamo ogni giorno per tradurre in indirizzo numerico l’indirizzo simbolico presente nell’url (www.qualcosa). Un buon servizio di DNS eviterà di mandarvi verso l’indirizzo ip di un server ritenuto malevolo. Per esempio io uso i DNS di Google. Anche il servizio di OpenDNS è molto valido specie se volete inibire a scopo preventivo l’accesso a particolari categorie di indirizzi.
7) Usate uno di quei sistemi per inibire i banner pubblicitari. Oltre ad ottenere una navigazione più serena, sarete anche più protetti perché i link dei banner pubblicitari (spesso cliccati per errore) non sempre sono affidabili.
8) Nelle impostazioni di Chrome e Firefox attivate la protezione avanzata.
9) Non memorizzate le vostre password su dispositivi accessibili via internet. Il mio consiglio è di usare una vecchia agendina di carta da portare sempre con sé. Meglio ancora se usate qualche tecnica casereccia per offuscare le password tipo ad esempio se scrivete “A” significa “B”, in mondo da rendere difficile l’utilizzo delle password se l’agendina dovesse cadere in mani sbagliate.
10) Non installate Google Autenticator sullo stesso smartphone da cui accedete a servizi online. Il mio suggerimento? Prendete il vecchio smartphone che avete nel cassetto (che funziona anche senza SIM), agganciatelo un attimo al wi-fi per installarci Google Autenticator e poi mettetelo a vita in modalità aereo. Vederete che la batteria vi durerà mesi”.
Che valore hanno per gli hacker le informazioni che possono ricavare da noi?
“Le informazioni del singolo normalmente valgono molto poco. Acquistano valore se accorpate alle informazioni di altre migliaia o milioni di individui. Nel dark web per esempio non troverete mai un singolo numero di carta di credito in vendita, troverete invece pacchetti da 1000 numeri come minimo. Ovviamente se avete un cospicuo conto in banca, anche le informazioni del singolo contano. Evitate dunque di esibire sui social le vostre ricchezze…”.
E’ hackeraggio anche il furto d’identità? Com’è possibile difendersi?
“Certo, il furto di identità è uno dei metodi più utilizzati dagli hacker perché serve non solo a compromettere le proprie attività personali ma anche quelle de vostri contatti perché permette all’hacker di accreditarsi al posto vostro nei confronti dei vostri amici. Per difendervi cominciare con il seguire alla lettera il decalogo di cui sopra ;)”.
In copertina, l’ingegnere informatico Donato Apollonio
