Sin dalle sue origini, la posta elettronica ha unito tutti i suoi indiscussi vantaggi a un annoso problema: quello della sicurezza.
Le e-mail vengono usate dai cyber criminali come veicolo di malware, puntando soprattutto agli utilizzatori meno esperti. E, in ambito lavorativo, incorrere in un virus può comportare un gravissimo danno all’azienda.
Inoltre la Posta Elettronica Ordinaria (PEO) deve far fronte a un altro punto debole: la facilità con cui poterla manomettere. La normale mail, infatti, non viene sempre considerata una prova attendibile in tribunale, proprio perché la data e l’ora, sotto la mano di esperti, possono essere modificate.
Per arginare gli attacchi i provider di ogni nazione hanno aggiornato sempre più le tecnologie, e l’Italia è emersa tra le migliori e in anticipo rispetto gli altri Paesi europei grazie al sistema di Posta Elettronica Certificata→.
Conoscere il pericolo nelle e-mail: spoofing, malware e come si comportano
I malware, contrazione di malicious software, sono programmi malevoli i cui danni vanno dal blocco del dispositivo o account fino al furto di dati personali ivi contenuti, passando per la spia delle attività e il reindirizzamento del traffico. Esistono molte tipologie di malware, tra i quali vi è anche il virus.
Veniamo ora al tema specifico delle e-mail, e ai metodi più diffusi tra i cyber-criminali per colpire questo sistema, che possiamo suddividere in:
- allegati maligni, che l’utente è spinto a scaricare e aprire per qualche motivo, e che in realtà sono essi stessi il virus. Questo è il modo più diretto per installare malware molto potenti e in grado di rubare dati e bloccare dispositivi (come i ransomware), ma si rivela anche il più facilmente individuabile ed evitabile.
- phishing, cioè la pesca di dati sensibili. Consiste di solito nel fingere che il mittente dell’e-mail sia un’entità conosciuta e affidabile, come una banca, un conto online, un sito di e-commerce, una catena di negozi o un ente statale. Mira a convincere l’utente che la posta provenga da quel mittente, inducendolo tramite un testo sensazionalistico (vittoria di un premio) o allarmistico (problemi a un account) a cliccare su link costruiti appositamente. Di solito portano a siti-specchio, quasi identici agli originali, ma in realtà fasulli e pronti a rubare qualunque dato vi sia immesso. È il metodo più comune di tutti.
- spoofing, ossia la dissimulazione dell’identità tramite contraffazione di dati come gli indirizzi IP, per aggirare le regole di autenticazione: ad esempio un’e-mail che appare inviata da indirizzo conosciuto e affidabile, ma in realtà non lo è. Di recente la definizione si è allargata a più simulazioni di identità, anche quelle solo apparenti, usate nel phishing.
Sicurezza contro i malware: dai sistemi di protezione al comportamento
La conoscenza è il primo passo verso la sicurezza, perché aiuta ad attuare comportamenti corretti, anche (e soprattutto) in ambito aziendale. È fondamentale assumere un atteggiamento di diffidenza verso tutti gli elementi sospetti:
- mai scaricare un allegato se non si ha la certezza assoluta che sia affidabile e provenga da un mittente sincero;
- verificare sempre il mittente in calce alla posta e gli avvisi dati dalla casella postale;
- diffidare completamente delle e-mail con toni allarmistici o sensazionalistici, specie se ci invitano a effettuare un’azione nell’immediato (come il click su un link da loro fornito);
- diffidare di qualunque mail con errori grammaticali (i truffatori usano dei semplici traduttori automatici) o grafica strana o sbagliata, e quindi dei loro link o allegati;
- in caso di dubbio, contattare personalmente il mittente originale o accedere al sito web originale (del conto, della banca o del negozio), evitando accuratamente di passare per qualunque link contenuto nella mail.
I provider forniscono anche strumenti anti-spam e anti-malware, alcuni preinseriti e altri (come i filtri) attivabili a scelta. Ma a volte non basta a proteggere i navigatori, rendendo necessario un sensibile aumento del livello di sicurezza.
Come in Italia, dove per arginare gli attacchi alle caselle certificate aziendali, l’AgID ha avviato un percorso di miglioramento della protezione.
Posta Elettronica Certificata: la reazione italiana fa da esempio
In Italia è obbligatorio per aziende e Pubbliche Amministrazioni dotarsi di una casella PEC (Posta Elettronica Certificata)→, ma la PEC è consigliata a tutto proprio a fronte della sua maggiore sicurezza. Il sistema, infatti, passando attraverso due controlli (da parte del gestore del mittente e da quello del destinatario), è predisposto per individuare la presenza di virus o contenuti sospetti.
CERT-AgID ha poi avviato nel 2020 un percorso collaborativo a stretto contatto coi gestori di posta elettronica, per renderla ancora più sicura. Il risultato è stata una diminuzione del 90% delle campagne di malspam rispetto al precedente anno: tra settembre e dicembre 2020 è stata ravvisata una sola campagna di e-mail maligne, peraltro prontamente arginata a poco tempo dal suo avvio.
In questo modo l’Italia si classifica tra i paesi più sicuri, anche in ambito europeo→, tanto da diventare un modello per gli altri Paesi membri, che presto (a quanto pare) si doteranno di sistemi simili.
La PEC, in sostanza, si rivela un sistema protetto contro gli attacchi informatici via e-mail, ideale per le aziende anche grandi ma anche per privati.
