Social media security: mai darla per scontata

Esiste un posto tanto spazioso da contenere tutti gli abitanti della Cina (1,4 miliardi), tutti gli abitanti dell’Africa (1,2 miliardi), l’intera popolazione europea (450 milioni), quella degli Stati Uniti d’America (330 milioni), brasiliani (210 milioni) e indonesiani (270 milioni).

Nel 2020 tutte queste persone hanno popolato questo spazio tutti i giorni con una media di quasi 3 ore al dì. Hai indovinato di quale contesto stiamo parlando?

Non esiste Stato più popoloso dei Social Network: 3,8 miliardi di persone utilizzano quotidianamente i social, con un aumento annuale del 9%.

Come la storia insegna e la cronaca attuale racconta, governare, imporre e far rispettare regole, definire priorità e tracciare i confini tra giusto e sbagliato è un compito arduo e mai completamente corretto.

I social media non rappresentano assolutamente un’eccezione, anzi, il display e la tastiera regalano spesso ai malintenzionati il vantaggio dell’anonimato.

Il Cybercrime sui social media è un pericolo concreto

A più riprese abbiamo raccontato di come il CyberCrime sia un fenomeno in rapida ascesa, che aumenta frequenza, potenza e “varietà”.

I social media rappresentano terreno fertile per il CyberCrime organizzato: “permettono di amplificare, persuadere e diffondere i malware più rapidamente di email o altri vettori di attacco” ammonisce Mike McGuire, docente di criminologia presso la Surrey university del Regno Unito

D’altronde, come abbiamo visto, non esiste un luogo più affollato dei Social Media, in cui gli utenti pensano (o forse pensavano?) di essere al sicuro, convinti di essere legati esclusivamente tramite relazioni vere e fidate.

Eppure i ricercatori stimano che attraverso malware, plug-in e condivisione di contenuti dannosi, il “settore” generi circa 3,25 miliardi di dollari all'anno, con una stima di 1,3 miliardi di vittime negli ultimi 5 anni.

Gli oltre 3 miliardi di dollari di fatturato provengono da queste fonti:

• 2 miliardi dalla vendita illegale di farmaci;
• Vendita di dati rubati per un valore di 630 milioni;
• Frodi finanziarie per un totale di 300 milioni;
• 250 milioni provenienti dalla generazione di cryptovalute;
• Truffe “romantiche” da 140 milioni.

Sicurezza e Cybercrime viaggiano a velocità differenti

La mancata consapevolezza e l’eccesso di fiducia rappresentano la base su cui si fonda la cybercrime: così facendo, gli utenti trascurano le informazioni riservate e le danno in pasto ai cybercriminali che violano la privacy.

La superficie di attacco esposta cresce più velocemente della capacità di proteggerla, così la vera questione non è “se” ma “quando” avverrà l’attacco informatico e quali saranno le conseguenze.

L’attacco vince contro la difesa non per un vantaggio tecnico, bensì economico, di facile lettura: per ogni euro investito in cybercrime (sviluppo nuovi malware, ricombinazione malware esistenti, ecc…) il costo supportato in cybersecurity ammonta a milioni di euro.

Strategie e metodi di attacco

Esistono 3 strategie che guidano la scelta degli strumenti e dei metodi di attacco:

• Spray-or-pray: questa strategia consiste nella pubblicazione da parte del cybercriminale del maggior numero possibile di link infetti, con l’obiettivo di ottenere anche un solo click. Si tratta di una tecnica che paradossalmente rispetta i Termini di servizio dei social network.
  
  
• Watering hole: le cosiddette pozze d’acqua dove i cacciatori si appostano prima di cacciare le proprie vittime. Consiste nella diffusione da parte del cybercriminale di un malware su un sito web fortemente frequentato da un determinato gruppo di persone (spesso dipendenti di una stessa organizzazione).
  

• Land-and-expand: con questo strategia il cybercriminale scegli gli utenti specifici da colpire che a loro volta infetteranno utenti con dati demografici simili. 
  

Scelta la strategia da perseguire, esistono differenti opzioni per le tecniche di attacco. Le più comuni sono le seguenti:

• Pubblicità ingannevoli: sono noti i casi di Ray-Ban e Nike, attraverso le cui pubblicità fake l’utente viene spinto a cliccare con conseguente infezione della macchina;
  
  
• Plug-in e App: il 60% delle infezioni su Facebook deriva da download di giochi e test di personalità come Faceapp.
  
  
• Post, foto e video: I cyber criminali sfruttano la logica della notifica e nascondono al loro interno malware diretti ai device delle vittime;
  
  
• Phishing: non solo mail, ma soprattutto social. Un esempio recente riguarda il boom di richieste su Facebook per proporre finanziamenti agevolati.

Cosa fare per ottenere la social media security

Non esiste una ricetta magica, tantomeno si conosce la formula segreta. E’ però bene elencare le best practices per alzare la barriera di difesa aziendale:

• Fare formazione ed aggiornamento a tutti i livelli;
• Definire regole chiare e condivise specifiche per l’utilizzo dei Social Media;
• Controllare e misurare il livello di adozione delle regole e la loro efficacia nel tempo in rapporto all’evoluzione delle minacce;
• Monitorare attivamente le minacce: fare prevenzione e reagire rapidamente è l'unica strategia possibile;
• Responsabilizzare gli utenti e le strutture aziendali coinvolti, a qualsiasi titolo, dall’uso dei Social Media.
  

Prevenire e mitigare il rischio rappresenta una strategia efficace. Implementare un insieme di processi di gestione del rischio, armonizzati e coordinati all’interno di un piano complessivo di Social Business Media Security è fondamentale. 

Il processo dovrebbe articolarsi in 5 fasi:

1. Prevenzione delle minacce tramite processi strutturati di Cyber Intelligence;
2. Analisi costante dei Cyber Risk;
3. Moderazione in real time delle conversazioni in ottica Security;
4. Definizione di policies e responsabilità per tutti gli attori coinvolti;
5. Tutela legale (proattiva e reattiva);
6. Gestione in real time degli incidenti e degli attacchi informatici.
   

La vera soluzione per combattere il Cybercrime è cambiare l’approccio aziendale

Inutile chiudere il recinto quando i buoi sono scappati: è fondamentale, prioritario rispetto a ogni azione, comprendere l’importanza della prevenzione.

Stimolare il necessario cambiamento a livello di Direzione e di Stakeholders e sostenerlo con argomentazioni scientifiche è alla base da cui partire, soprattutto in aziende strutturate.

Inutile nascondersi dietro un dito: occorre dedicare budget e risorse, nominare un responsabile che abbia visione globale di problemi e opportunità può rappresentare una scelta felice, senza delegare tutto esternamente.

Per concludere è necessario creare una struttura multidisciplinare per la gestione della Social Media Strategy che includa ed integri competenze di Marketing, Legali, di HR, di Risk Management e di Cyber Security.