La sicurezza informatica da Swisscom
Gli hacker buoni
Stephan Rickauer, insieme al suo team, scova le falle nella sicurezza di reti, servizi e applicazioni di Swisscom e per portare a termine il loro incarico i collaboratori del reparto Security adottano un metodo alternativo: si trasformano in cybercriminali.
Testo: Felix Raymann , Immagini: Markus Lamprecht , 23. Agosto 2016
«I normali controlli di sicurezza svolti nelle aziende garantiscono una buona protezione dagli attacchi, ma non consentono di eliminare preventivamente tutte le vulnerabilità», afferma Stephan Rickauer, IT Security Analyst di Swisscom. Per questo all’interno del reparto CSIRT (Computer Security Incident Response Team) è stata creata la squadra speciale Team «Red».
Uno dei compiti di Stephan Rickauer è superare le misure di sicurezza adottate dai suoi colleghi.
La gara contro i cybercriminali
L’obiettivo è anticipare potenziali attacchi informatici e individuare eventuali falle nella sicurezza, prima che siano altri a trovarle. «Il Red Team è una truppa speciale di Swisscom, in grado di fare concorrenza ai team di qualsiasi altra azienda svizzera», dichiara Rickauer. «L’idea è semplice: si dice che i criminali siano sempre un passo avanti, quindi abbiamo deciso di metterci nei loro panni e di imparare a pensare come loro.»
«Le ricompense vanno da 150 franchi per le piccole vulnerabilità fino a 10'000 franchi per i bug maggiori.»
Lorenz Inglin, Head of Swisscom CSIRT
Gli hacker di Swisscom lavorano proprio come dei cybercriminali, ma analizzano solo l’infrastruttura di Swisscom e documentano tutte le operazioni che svolgono. Un rigido «Code of Ethics» impone ai membri del team di non eseguire azioni distruttive e di non carpire i dati dei clienti intenzionalmente.
Bug Bounty: il programma di ricompense per gli hacker
Oltre agli «hacker» interni, Swisscom permette anche a persone esterne di individuare le vulnerabilità del sistema: con il programma bug bounty Swisscom mette in palio varie ricompense per tutti coloro che individuano delle falle nella sicurezza dei suoi prodotti. «Le ricompense vanno da 150 franchi per le piccole vulnerabilità fino a 10'000 franchi per i bug maggiori», spiega Lorenz Inglin, Head of Swisscom CSIRT.
Swisscom è una delle prime aziende in Svizzera ad adottare questa insolita strategia. Programmi simili sono attuati da aziende quali Google, Microsoft o Facebook. Mozilla ha creato il suo primo programma bug bounty già nel 2004. Nel frattempo, sul mercato, aziende come HackerOne si sono specializzate nell’intermediazione di questi cosiddetti «hacker eticamente corretti» trasformandosi in vere «agenzie di collocamento di hacker buoni».
«Siamo i vigili del fuoco digitali che rispondono in caso di emergenza. Nel nostro lavoro esistono tempi di pace e tempi di guerra.»
Stephan Rickauer, IT Security Analyst di Swisscom
Swisscom porta avanti un proprio programma bug bounty.
Laptop infetti, attacchi di grandi dimensioni alle aziende
I risultati degli attacchi effettuati sono trasmessi al reparto CSIRT, il quale avvia le misure necessarie per risolvere la vulnerabilità. «I collaboratori del CSIRT sono come dei vigili del fuoco digitali che intervengono ad esempio quando il sito web di un cliente aziendale viene deturpato da un attacco degli hacker, i computer di un’azienda sono infettati da un malware o i notebook di Swisscom ‹si perdono› nei cestin», afferma Rickauer.
In generale il compito del CSIRT è quello di proteggere l’infrastruttura Swisscom. Nella pratica possono trovarsi a difendersi da attacchi di phishing, ma anche ad attuare misure di sicurezza preventive quando un router di un cliente privato viene manipolato o un’azienda viene ricattata da cybercriminali. Agli inizi di marzo, ad esempio, dei cybercriminali hanno minacciato di bloccare i siti web di alcune banche clienti di Swisscom se non avessero pagato circa 10'000 franchi.
«Guerra e pace»
Il lavoro del team di sicurezza dipende molto da quello che accade, dai cosiddetti incident. Come ci spiega Rickauer, a volte capita di dover intervenire anche di notte per analizzare un disco rigido sequestrato o per difendersi da un attacco. «Ci sono tempi di pace e tempi di guerra, come li chiamiamo noi: nei tempi di guerra molliamo tutto e ci occupiamo dell’emergenza, nei tempi di pace ognuno lavora ai propri progetti.»
5 pericoli ir rete all'apparenza innocui
Stephan Rickauer ci svela cinque falsi miti a cui molti utenti privati credono.
1. «I test e i quiz divertenti su Facebook non nascondono alcun rischio»
All’apparenza i giochi interattivi sui social media sono solo un modo per divertirsi. In realtà, però, generano dati sull’utente di grande valore che possono essere utilizzati per pubblicità mirate e, soprattutto, per attività di phishing. In questi test vengono richieste molte informazioni personali, quindi l’autore del gioco ottiene numerose informazioni rilevanti e l’accesso all’elenco dei propri amici.
2. «A nessuno interessano i miei dati»:
La frase classica che ripete sempre chi non pone particolare attenzione alla tutela dei propri dati è: “Non ho niente da nascondere.” Spesso, però, dimentichiamo che gli hacker non sono interessati soltanto ai dati. Il loro vero obiettivo è riuscire a mascherarsi e arrivare così al denaro. Grazie alle password rubate possono acquisire interamente le identità degli utenti e abusare dei loro computer per lanciare degli attacchi o inviare e-mail di spam.
3. «È troppo difficile utilizzare password sicure»:
Invece di utilizzare sempre le stesse semplici password, si dovrebbe variare e utilizzare codici il più complessi possibile. Ma nessuno è in grado di ricordare a memoria decine di password complesse. Per questo possono venirci in aiuto i programmi di gestione delle password che memorizzano i login, generano password efficaci e le sincronizzano tramite cifratura su diversi dispositivi.
4. «Le e-mail di phishing sono poco curate e facili da riconoscere»:
Non tutte le e-mail dei truffatori sono scritte in un italiano o un inglese sgrammaticati e pieni di errori di ortografia. Bisogna fare sempre attenzione alle e-mail che contengono una minaccia, ci spingono a fare un’azione e ci impongono tempi stretti. I servizi professionali non chiedono mai di rivelare i propri dati personali. Importante: gli allegati in formato PDF, Word ed Excel possono contenere software dannosi, quindi aprire soltanto i file provenienti da persone conosciute o chiedere maggiori informazioni anche quando si conosce il mittente.
5. «I computer Apple sono sicuri»:
Possedere un Mac non ci esonera dal preoccuparci della sicurezza del nostro computer. Da quando i sistemi operativi Apple sono sempre più diffusi, anche questi finiscono sempre più spesso nel mirino degli hacker.
Maggiori informazioni
