Cause ed effetti

Abbiamo già accennato alle principali cause dei data breach, ma approfondiamo il tema, riportando le sei principali fonti di violazioni di dati, secondo il report di Verizon “2018 Data Breach Investigations Report”.

1. Hacking. La causa principale è dovuta all’azione di una mano criminale. Gli hacker, secondo Verizon, provano spesso a rubare le credenziali di accesso ai sistemi delle aziende private, con diversi stratagemmi: le trovano sul dark web, le trovano scritte negli uffici (occhio alle fotografie che pubblichiamo sui social dall’ufficio) oppure usano dei software per la generazione automatica di password. Effettuato l’accesso, gli hacker possono poi raccogliere tutte le informazioni che vogliono e lanciare altri attacchi ai sistemi aziendali.

2. Malware. Strettamente legati alle attività dei cyber criminali, i malware possono essere utilizzati per numerose attività illecite. Un esempio di malware è il cosiddetto RAM Scraper, che scansiona la memoria dei dispositivi digitali per raccogliere informazioni sensibili. Sono sistemi usati, per esempio, per scandagliare i POS. Un’altra forma di software malevolo sono i cosiddetti ransomware, che bloccano i dispositivi elettronici: gli hacker li sbloccheranno solo dietro pagamento di un riscatto (dall’inglese ransom).

3. Errore umano. Come accennato, non è detto che debba esserci una mano criminale dietro un data breach. Anche l’errore di un impiegato può portare a una violazione delle informazioni. Banalmente, inviare la mail alla persona sbagliata, con i dati sensibili di un’altra. Per Verizon l’errore umano è la terza causa di data breach. 

4. Social engineering. Torniamo alle attività illecite. Il phishing è l’invio di email che sembrano all’apparenza identiche a quelle di aziende importanti (pensiamo alle Poste), che richiedono spesso agli utenti di ripristinare i dati del proprio account. In realtà i destinatari accedono a dei portali fasulli, inviando involontariamente le proprie informazioni. Attacchi molto pericolosi, soprattutto perché puntano spesso ad accedere a conti correnti e carte prepagate. Il pretexting è un’attività simile, ma condotta al telefono.

5. Accesso illecito dai dipendenti. Nelle aziende, spesso alcuni utenti hanno la possibilità di accedere ai dati dei propri colleghi e sottoposti, perché magari hanno un account con accesso privilegiato o superiore. Questo può risolversi in un data breach, in molti casi accidentale. 

6. Azioni fisiche. Ebbene sì, la violazione dei dati può avvenire anche offline. Secondo Verizon, il 10 per cento dei data breach avviene fuori dalla Rete. Un esempio è la clonazione della carta di credito che può avvenire in un bancomat.

​

Fin qui le cause. Ma quali possono essere le conseguenze di una violazione dei dati?

Per i privati, le conseguenze possono essere sia finanziarie che personali. Come abbiamo visto, molti hacker provano ad accedere in tutti i modi ai conti correnti e alle carte di credito delle persone, utilizzando diversi mezzi. Dal punto di vista personale, c’è il rischio di lasciare che degli sconosciuti violino la nostra intimità. Sui nostri smartphone abbiamo ormai di tutto: dagli scatti con le nostre famiglie, alla posta personale, fino ai messaggi privati. Non deve essere piacevole sapere che qualcuno ha avuto accesso a tutte queste informazioni senza il nostro consenso.

Per le aziende, secondo IBM, le conseguenze dei data breach sono almeno di due tipi. Innanzitutto finanziarie. 

Nel 2019, il costo medio per un’organizzazione colpita da una violazione dei dati è stata di 3.92 milioni di dollari. La cifra è enorme perché ovviamente i cyber-criminali puntano principalmente alle grosse aziende. Non mancano però le conseguenze per le imprese più piccole. Sempre IBM spiega che il costo medio di una violazione è pari a 204 dollari per impiegato, per aziende con almeno 25mila dipendenti. Per imprese tra i 500 e i mille impiegati, tale costo sale fino a 3.533 dollari.

C’è poi da considerare il costo reputazionale di un data breach. Quanto vi fidereste di un’azienda che permette la violazione delle vostre informazioni personali? Secondo IBM, le aziende colpite possono perdere in media 1.42 milioni di dollari per ogni attacco. Lo studio ha anche sottolineato un’anomala perdita di consumatori del 3,9 per cento in seguito alle violazioni della privacy. 

Bisogna infine considerare i tempi di recupero per i dati che possono essere andati persi o danneggiati in seguito a un attacco. IBM stima che le conseguenze deleterie dei data breach possono arrivare anche dopo più di due anni dalla violazione. 

 

Il data breach nel GDPR

Abbiamo parlato in molte occasioni del GDPR (per esempio qui) il nuovo Regolamento generale sulla protezione dei dati dell’Unione Europea, entrato in vigore lo scorso anno. La norma prevede delle indicazioni specifiche per i data breach, in particolare sul comportamento da mettere in campo da parte delle aziende colpite.

Nello specifico, il regolamento parla di data breach in caso di distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali trasmessi, conservati o comunque trattati. Quindi la definizione è in questo caso più ampia.

Cosa devono fare le aziende “colpite” dalla violazione o che comunque l’hanno provocato accidentalmente?

Innanzitutto devono inviare una notifica al Garante della Privacy, entro 72 ore dalla scoperta del breach. Quando la violazione comporta un rischio elevato per i diritti delle persone, allora l’obbligo di comunicazione si estende a tutti gli interessati.

In via preventiva, il Titolare del trattamento – l’azienda o professionista che per qualunque ragione raccoglie dati con il consenso degli interessati – deve poi adottare un preciso “Protocollo di risposta”. Si tratta di una procedura esatta da mettere in campo qualora si verificassero episodi di distruzione o perdita dei dati, mettendo insieme il lavoro dei dipartimenti aziendali coinvolti nel problema, ma anche le strutture pubbliche preposte, come i ministeri, le aziende sanitarie, il Garante della Privacy e così via.