Perché le piccole imprese sono un bersaglio

Modulo 1: Perché Lei è un bersaglio · Tempo di lettura: 9 minuti

Obiettivo della lezione: Al termine di questa lezione sarà in grado di spiegare come lavorano gli aggressori (in modo automatizzato, orientato al denaro, opportunistico) e perché l'idea "siamo troppo piccoli" non regge.
Concetti chiave: minaccia, vulnerabilità, rischio, attacco opportunistico, attacco mirato, cybercrime come servizio, superficie di attacco

"Cosa vogliono mai da noi?"

Questa domanda la si sente in quasi ogni piccola impresa. Una panetteria, uno studio di amministrazione con tre persone, una società sportiva: non ci sono pesci più grossi? L'idea di fondo è che un aggressore scelga prima un bersaglio e poi cerchi il modo di entrare. Per una piccola parte degli attacchi è davvero così. Per la grandissima maggioranza, però, funziona esattamente al contrario: l'aggressore cerca prima un punto debole, e gli importa poco di chi sia il proprietario.

Per capirlo bene, Le servono tre concetti che ricorreranno in tutto il corso.

• Una minaccia è qualcosa che può causare un danno: un truffatore che invia fatture false, un ransomware, un collega che per errore condivide il file sbagliato.
• Una vulnerabilità è un punto debole attraverso cui quella minaccia può colpire: una password che usa anche per un negozio online, un plugin che non riceve un aggiornamento da un anno, un processo di pagamento senza controlli.
• Un rischio è la combinazione delle due cose: quanto è probabile che una minaccia colpisca attraverso una vulnerabilità, e quanto sarebbe grave se succedesse? Spesso si scrive come rischio = probabilità x impatto.

Un'impresa senza vulnerabilità non esiste. L'obiettivo della sicurezza non è quindi "rischio zero", ma ridurre i rischi più grandi fino a un livello con cui si può convivere.

Opportunistico o mirato

Esistono grosso modo due tipi di attacchi.

In un attacco mirato l'aggressore sceglie una singola organizzazione. Scopre chi ci lavora, chi paga le fatture, quali fornitori ha, e adatta l'attacco di conseguenza. Questo richiede tempo, quindi deve valerne la pena. Pensi a un truffatore che sa che la Sua impresa questo mese deve saldare l'acquisto di un grande macchinario, e proprio in quel momento invia un "nuovo numero di conto" a nome del fornitore.

In un attacco opportunistico avviene il contrario. L'aggressore si concentra su un punto debole presente contemporaneamente in migliaia di organizzazioni, e prende quello che trova. Non c'è una scelta personale per la Sua impresa. Lei è semplicemente uno degli indirizzi sulla lista.

Le piccole imprese sono colpite soprattutto dal secondo tipo. Non è sfortuna, è matematica: se ripetere un attacco non costa nulla, conviene lanciarlo contro chiunque.

Come l'automazione rende l'attacco economico

Un aggressore non digita a mano indirizzi IP. Usa programmi che perlustrano internet giorno e notte. Uno di questi scanner interroga indirizzo dopo indirizzo: quale servizio gira qui, quale versione, c'è una pagina di accesso aperta? Nel giro di poche ore viene passata al setaccio una gran parte di internet.

Supponiamo che venga scoperta una falla in un plugin molto diffuso per negozi online. Il giorno dopo uno scanner cerca tutti i siti che usano quel plugin. Trova il negozio online di uno studio legale che non ha mai più controllato il proprio sito, il sito di un'associazione, e www.example.com della Panetteria Example. Lo scanner non sa cosa sia una panetteria e non gliene importa nulla. Vede solo: versione vecchia, quindi colpito.

La stessa cosa accade con gli accessi. Elenchi con milioni di combinazioni trapelate di indirizzo e-mail e password vengono provati automaticamente su e-mail, contabilità e social media (lezione 1.4). E le e-mail di phishing partono in grandi quantità; se anche solo una piccola parte dei destinatari clicca, la campagna è già redditizia.

A questo si aggiunge che non è più necessario essere un hacker per sferrare un attacco. È nato un vero e proprio mercato del cybercrime come servizio: qualcuno sviluppa il ransomware e lo affitta, qualcun altro vende credenziali rubate, un terzo vende l'accesso a reti aziendali già violate. Microsoft descrive nel proprio blog di sicurezza come i dati rubati vengano raggruppati, rivenduti e infine offerti come accesso alle imprese. La soglia d'ingresso è quindi bassa, e il numero di aggressori elevato.

Dove sta il denaro

Quasi tutti gli attacchi contro le piccole imprese ruotano attorno al denaro. Questo denaro arriva in alcuni modi tipici:

1. Pagamento diretto. Lei o un Suo collega trasferisce denaro sul conto sbagliato: una fattura falsa, una richiesta urgente "del direttore" (lezione 1.2).
2. Riscatto. I Suoi file vengono cifrati e deve pagare per riaverli, oppure per evitare che dati rubati vengano diffusi (lezione 1.3).
3. Rivendita. Credenziali di accesso, dati dei clienti o l'accesso ai Suoi sistemi vengono venduti a chi è interessato a usarli (lezione 1.4).
4. Uso dei Suoi sistemi. La Sua casella di posta invia spam, il Suo sito web diffonde malware, il Suo server genera criptovalute. Lei ne paga il conto sotto forma di una cattiva reputazione o di un indirizzo e-mail bloccato.
5. Attraverso di Lei verso un altro. Lei è fornitore di un'impresa più grande. Un aggressore che si impadronisce della Sua casella di posta può inviare fatture false ai Suoi clienti a Suo nome.

Le piccole imprese sono attraenti per due motivi. Hanno denaro sul conto e pagano le fatture, ma spesso non hanno un reparto IT, nessun controllo incrociato sui pagamenti e nessun backup ben tenuto. Questo aumenta le probabilità di successo per l'aggressore.

La Sua superficie di attacco

Tutto ciò che un aggressore può tentare dall'esterno si chiama superficie di attacco. Per una piccola impresa è più ampia di quanto si pensi:

• il Suo sito web, con il CMS, i plugin e la pagina di amministrazione;
• la Sua e-mail: le caselle di posta, ma anche il Suo dominio, che un truffatore può imitare se SPF, DKIM e DMARC non sono configurati correttamente (modulo 4);
• tutti gli account online: banca, contabilità, piattaforma del negozio online, social media, il registrar del Suo dominio;
• i dispositivi: laptop, telefoni, il router, il disco di rete, la stampante;
• le persone: chiunque legga la posta, paghi le fatture o risponda al telefono;
• i Suoi fornitori: il web designer con un account di amministrazione, l'azienda IT con accesso da remoto (modulo 7).

Ogni componente che non usa più ma che è ancora online è superficie aggiuntiva senza alcuna utilità. Un vecchio sito di prova su test.example.com, un account FTP dimenticato di un precedente web designer, un account presso un servizio disdetto tre anni fa: nessuno li controlla più, ed è lì che si annidano le vulnerabilità.

Trappole nel modo di pensare

"Non abbiamo nulla di valore."

Lei ha comunque un conto bancario, una casella di posta di cui i clienti si fidano e dati dei clienti. È già sufficiente.

"Abbiamo l'antivirus, quindi siamo al sicuro."

L'antivirus aiuta contro una parte del software dannoso. Non fa nulla contro un collega che paga una fattura dall'aspetto autentico ma con un numero di conto diverso, o contro una password trapelata da un altro sito.

"Ci pensa la nostra azienda IT."

Forse. Ma sa esattamente di cosa si occupano? Un'azienda IT spesso garantisce aggiornamenti e un antivirus, ma non la Sua procedura di pagamento, la Sua politica sulle password o l'accesso del Suo web designer. Chi fa cosa va concordato chiaramente (modulo 7).

"Non capiterà a noi, non è mai successo."

Spesso semplicemente non lo sa. Una casella di posta compromessa può essere letta di nascosto per mesi prima che qualcuno ne approfitti.

Nella pratica: ecco come si presenta

Un esempio, costruito a partire da situazioni che si verificano spesso. Uno piccolo studio di commercialisti (quattro persone) aveva un sito web su un CMS costruito dal precedente web designer. Nessuno vi accedeva più, quindi nessuno vedeva le notifiche sugli aggiornamenti. Un lunedì mattina è arrivata nella casella di posta una segnalazione del fornitore di hosting: dal sito venivano diffuse pagine di phishing. Dai log è emerso che uno scanner aveva trovato una falla nota in un vecchio plugin per moduli, lo stesso giorno in cui l'aveva trovata su centinaia di altri siti. Lo studio non era mai stato "scelto". Il ripristino ha richiesto una settimana, e il nome a dominio è rimasto per un periodo in una lista di blocco, per cui la posta dello studio finiva nello spam dei clienti.

La falla si sarebbe potuta evitare con un solo aggiornamento. È proprio di questo che tratta il resto del corso: non della sicurezza perfetta, ma delle basi che fermano gli attacchi economici e di massa.

Riepilogo

• Un rischio è la combinazione tra una minaccia e una vulnerabilità: probabilità x impatto.
• La maggior parte degli attacchi contro le piccole imprese è opportunistica: prima il punto debole, solo dopo la vittima.
• Automazione e cybercrime come servizio rendono gli attacchi economici, quindi conviene lanciarli contro chiunque.
• Quasi tutto ruota attorno al denaro: pagamenti falsi, riscatti, rivendita di dati o uso improprio dei Suoi sistemi.
• La Sua superficie di attacco comprende sito web, e-mail e dominio, account, dispositivi, persone e fornitori; i componenti dimenticati sono i più pericolosi.

Quiz

Esercizio

Esercizio A1.1: Minaccia, vulnerabilità e rischio. Le vengono presentate quattro brevi situazioni tratte da piccole imprese. Per ciascuna situazione indichi qual è la minaccia e quale la vulnerabilità, e stimi probabilità e impatto (basso, medio, alto). Metta poi le quattro situazioni in ordine dal rischio più grande al più piccolo. Il programma verifica le Sue risposte e spiega il motivo per ciascuna situazione.

Esercizio D1.1: Mappare la Sua superficie di attacco. Crei un elenco di tutto ciò che la Sua impresa ha online: siti web e sottodomini, account, dispositivi con una connessione verso l'esterno, e chi ha accesso dall'esterno. Indichi per ciascun elemento se lo usa ancora e chi ne è il proprietario.

Per approfondire

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Aiuto! Il mio sito è stato hackerato. Come posso risolvere o prevenire il problema?
• ACN, risorse per la cybersicurezza di liberi professionisti e PMI: https://www.acn.gov.it/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (in inglese): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/