Il colpevole silenzioso dietro la maggior parte delle esposizioni di dati

Quando si immagina una violazione di dati, di solito si pensa a un hacker incappucciato che sfonda i firewall o distribuisce ransomware contro una rete aziendale. Ma secondo recenti ricerche sulla sicurezza evidenziate da TechRadar, la principale fonte di dati personali esposti non è affatto un criminale sofisticato. È un database mal configurato, lasciato aperto su Internet dalla stessa organizzazione che dovrebbe proteggerlo.

La portata di questo problema non è nuova, ma rimane sbalorditiva. Alla fine del 2015, il ricercatore di sicurezza Chris Vickery scoprì un database contenente le informazioni personali di 191 milioni di elettori, un archivio di 300 GB pubblicamente accessibile senza password né autenticazione. Nessuno ha forzato l'accesso. Nessun malware è stato coinvolto. Qualcuno ha semplicemente configurato un database senza i controlli di accesso adeguati, ed è rimasto esposto per chiunque sapesse dove guardare.

Quell'incidente di un decennio fa illustra uno schema che, secondo i ricercatori di sicurezza, non è mai davvero scomparso: i database mal configurati restano la prima minaccia per la sicurezza dei dati, spesso superando gli attacchi informatici tradizionali in termini di volume puro di record esposti.

Perché la cattiva configurazione batte l'hacking come minaccia

Può sembrare controintuitivo che un semplice errore di configurazione possa esporre più dati di attacchi informatici deliberati, ma la logica diventa chiara quando si capisce come funziona l'infrastruttura dati moderna. Le aziende e le agenzie governative si affidano sempre più a database cloud e storage a oggetti per gestire enormi quantità di informazioni. Avviare un nuovo database richiede pochi minuti. Configurarlo correttamente, con autenticazione adeguata, restrizioni di rete e crittografia, richiede più tempo e competenze, ed è il passaggio che spesso viene saltato o eseguito male.

A differenza di un attacco mirato, che di solito richiede impegno, abilità tecniche e un piano per violare un obiettivo specifico, un database mal configurato spesso è semplicemente lì, indicizzato dai motori di ricerca o dagli strumenti di scansione, in attesa di essere scoperto. Ricercatori di sicurezza, giornalisti e, sì, attori malintenzionati, cercano abitualmente questi database aperti perché non devono aggirare alcuna difesa. La porta è stata lasciata spalancata.

Questo non significa che le violazioni tradizionali e gli attacchi ransomware non siano minacce serie. Incidenti come l'attacco ransomware Spirals a una società IT asiatica mostrano che attori determinati continuano a estorcere denaro alle organizzazioni tramite intrusioni mirate. E affermazioni come il presunto furto del codice sorgente di Accenture da parte dell'hacker '888' dimostrano che il furto deliberato di dati aziendali sensibili resta una preoccupazione concreta. Ma in termini di volume grezzo, l'esposizione silenziosa e accidentale causata da un database mal protetto spesso supera ciò che qualsiasi singola campagna di hacking può ottenere.

VPN e crittografia non sono una soluzione completa

Per i lettori che usano una VPN per proteggere la propria attività online, vale la pena capire una dura verità: una VPN protegge la connessione a Internet, non i database che le aziende usano per archiviare i dati dopo che li avete consegnati. Se un'azienda a cui affidate il vostro indirizzo email, il numero di telefono o i dati di pagamento configura male i propri sistemi di backend, nessuna crittografia personale dalla vostra parte potrà impedire che quei dati vengano esposti.

Ecco perché le violazioni che coinvolgono dati personali archiviati, come gli incidenti che hanno colpito i partecipanti di alto profilo del Tribeca Film Festival o la riemersa violazione di Suno che ha esposto 55 milioni di email e dati Stripe, sono così importanti. Questi episodi mostrano che una volta che i vostri dati lasciano il dispositivo ed entrano nel database di un'azienda, la vostra privacy dipende interamente dalle pratiche di sicurezza di quell'organizzazione, non dai vostri strumenti personali.

Cosa significa per voi

Come consumatori, non potete controllare personalmente le configurazioni dei database di ogni servizio che usate, ma potete fare scelte più informate. Cercate aziende trasparenti sulle loro pratiche di sicurezza, che abbiano una comprovata tempestività nella divulgazione delle violazioni e che utilizzino la crittografia per i dati a riposo, non solo per quelli in transito. Chiedetevi se un servizio riduce al minimo i dati personali che raccoglie. Meno informazioni sensibili un'azienda conserva, minori saranno i danni che un database mal configurato potrà causare se esposto.

Vale anche la pena ricordare che i database mal configurati colpiscono organizzazioni di ogni dimensione, dalle piccole startup ai database elettorali nazionali. Non è un problema limitato alle aziende con budget di sicurezza ridotti; è un problema sistemico legato alla rapidità con cui l'infrastruttura cloud viene distribuita rispetto alla cura con cui viene messa in sicurezza.

Consigli pratici

  • Usate password uniche e attivate l'autenticazione a più fattori ovunque possibile, così che un singolo database esposto non comprometta più account.
  • Monitorate le notifiche di violazione e considerate l'uso di servizi di tracciamento delle violazioni per sapere quando i vostri dati sono stati esposti.
  • Preferite servizi che pubblicano politiche chiare di conservazione e sicurezza dei dati, e che riducono al minimo le informazioni personali raccolte.
  • Ricordate che una VPN protegge il vostro traffico, non i database che contengono i vostri dati archiviati; la protezione dei dati richiede un approccio a più livelli.

Nel prevedibile futuro, i database mal configurati rimarranno probabilmente la prima causa di esposizione di dati su larga scala, semplicemente perché il ritmo dell'adozione del cloud continua a superare la configurazione attenta. Rimanere informati su come e dove vengono archiviati i vostri dati, e pretendere responsabilità dai servizi che utilizzate, resta uno dei modi più pratici per ridurre il rischio personale.