La notizia di VFEmail.net, provider di posta elettronica con sede negli USA, che lo scorso 12 febbraio, a seguito di un attacco hacker, ha perso tutti i dati e i file di backup degli utenti, è destinata a costituire un importante precedente in tema di sicurezza informatica. Questa volta non è stato richiesto alcun riscatto, né prevista alcuna via di fuga: le mail degli utenti da un giorno all’altro sono state semplicemente, quanto inevitabilmente, cancellate.
Justien Fier, director of threat intelligence & analytics di Darktrace, è stato uno dei primi ad analizzare l’evento, dichiarando: “La tattica di cancellare tutti i contenuti da un server o una rete può essere un buon espediente per chi attacca e vuole cancellare le proprie tracce. Possiamo facilmente presumere che gli attaccanti siano riusciti a impossessarsi di quello che volevano e abbiano pensato che il modo migliore per ripulire tutto fosse distruggere qualsiasi prova. In passato questa tattica non era molto sfruttata perché ritenuta “troppo rumorosa”, dato che molti attaccanti vogliono essere il più furtivi possibile. Appare quindi evidente che siamo entrati in una nuova era per la sicurezza informatica”.
VFEmail è una società che fin dalla sua fondazione nel 2001 ha sempre affermato di puntare molto sulla sicurezza e sulla privacy nei servizi di posta elettronica, eppure l’attacco informatico scoperto lunedì scorso è stato in grado di mandare offline simultaneamente tutti i server.
I cyber-attacchi e le violazioni di dati personali sono diventati così frequenti da rendere difficile tenerne conto, eppure, le Pmi italiane e i fruitori del world wide web in generale ancora faticano a comprendere l’enorme portata del fenomeno.
In questa vicenda penso che valga anche la pena riconoscere che VFEmail è stata anche vittima dell’accaduto. Le azioni di hacking di questo tipo hanno reali conseguenze e dovrebbero costituire un importante reminder per le imprese che rischiano di fallire a causa di un singolo attacco informatico.
Le mail, così come la strumentazione informatica (hardware e software), che utilizziamo quotidianamente per ragioni lavorative e personali sono ormai diventate fondamentali per svolgere qualsiasi tipo di attività. Eppure, per ragioni che sono ancora oscure, capita – fin troppo spesso – di parlare con professionisti affermati che dedicano importanti energie per lo sviluppo del proprio core business relegando la sicurezza dei sistemi e la manutenzione delle macchine ai margini del proprio settore di competenza.
Pare inoltre importante sottolineare che, leggendo con attenzione i contratti relativi all’acquisto di licenze software, la responsabilità per “eventi catastrofici” di tale portata viene demandata all’utente in quanto qualsiasi fornitore di software avveduto riporterà nel contratto una clausola di esclusione o di limitazione di responsabilità come, a titolo d’esempio: “Il fornitore non risponde per un importo superiore al corrispettivo versato dal cliente per l’acquisto della licenza (…) resta espressamente escluso qualsiasi altro indennizzo o risarcimento al cliente per danni diretti o indiretti di qualsiasi natura e specie (…)”.
E’ proprio in questo contesto che il GDPR costituisce un baluardo contro i data breach, per cui ciò che è accaduto a VFEmail dovrebbe convincere una volta per tutte anche i più restii ad investire in misure di sicurezza informatica a dotarsi di un sistema di backup delle e-mail e, soprattutto, a scegliere un operatore che possieda delle credenziali tecniche di affidabilità del servizio (come la norma UNI CEI EN ISO/IEC 27001:2017).
© RIPRODUZIONE RISERVATA
