Una persona in ufficio digita sulla tastiera. Sovraimpressi, i loghi di più email e di uno scudo.

Documenti protetti da password spediti via email: una violazione nuova e silenziosa

ott 2024
Blog Casa

Ci fidiamo molto delle email

Al giorno d'oggi, tutti inviano email, per questioni personali o lavorative. La pandemia di COVID ha portato le aziende a preferire le riunioni virtuali rispetto a quelle di persona. Di conseguenza, i dipendenti dell'azienda si trovano a dover condividere un maggior numero di file con colleghi, clienti, utenti finali o altri soggetti terzi (ad esempio, fornitori di servizi, appaltatori, partner finanziari, legali, tecnici, ecc.). Oggi più che mai è essenziale potersi sentire sicuri quando si inviano email con allegati file sensibili: tale sicurezza sussiste certamente quando i nostri dati sensibili vengono affidati a provider di posta elettronica che crittografano correttamente i nostri messaggi, end-to-end.

Ma molti si spingono oltre. Esistono applicazioni come Word, Excel®, Adobe® Acrobat® e molte altre che consentono agli utenti di proteggere i file tramite l'uso di password. Con questo tipo di crittografia integrata si vuole aumentare il senso di sicurezza che i dati all'interno saranno protetti, risultando accessibili solo ai destinatari che conoscono la password corretta.

Tuttavia, potrebbe trattarsi di una fiducia mal riposta. Le email in uscita non vengono controllate con regolarità dai reparti IT a cui leggi e regolamenti danno il compito di vigilare su eventuali violazioni dei dati protetti in storage interni o nei server cloud. Nella maggior parte dei casi, il destinatario di una violazione in un email potrebbe non segnalarla ai propri partner.

Quindi, quanto è sicuro spedire allegati via email?

Partiamo dal presupposto che i server di posta elettronica nostri, dei provider Internet e dei nostri clienti/partner siano adeguatamente protetti. Sentiamo continuamente notizie di violazioni di dati in aziende o nel cloud, ma raramente vengono segnalate violazioni di email.

Eppure, a luglio 2023, gli hacker sono entrati negli account email governativi degli Stati Uniti. A gennaio 2024, Microsoft® ha rivelato di essere stata oggetto di un attacco alle email durato due mesi in cui sono stati sottratti i messaggi interni della dirigenza e i relativi allegati.

È ancora possibile considerare al sicuro i dati sensibili? Pensiamo ai professionisti che gestiscono dati preziosi come avvocati, consulenti finanziari, commercialisti, compagnie assicurative e altri. Proteggere i file con l'uso di una password, così da poterli crittografare, aumenta certamente il senso di sicurezza, ma non può più essere considerata una garanzia di sicurezza.

File protetti tramite password usando la crittografia software

Una persona seduta alla scrivania che usa una tastiera e un mouse. In sovrimpressione, l'immagine di un documento protetto da password.

La protezione mediante password dei fogli di calcolo di Microsoft Excel contenenti informazioni sui clienti o dei PDF Acrobat criptati contenenti prove legali può offrire un senso di maggior tranquillità; ma cosa accade se gli hacker entrano in possesso di questi documenti? File di questo tipo vengono crittografati tramite software all'interno del computer, con l'aggiunta di una password che funge da porta di accesso ai dati. Inserendo una password errata, il file vieta l'accesso e resta inaccessibile.

Sfortunatamente, questi file non sono protetti contro gli attacchi "Brute Force", noti anche come attacchi "Dictionary", consistenti nel tentativo di indovinare tutte le possibili combinazioni di caratteri che formano la password.

Pensiamo ad esempio a una password sicura e complessa che imponga l'uso di almeno tre dei quattro set di caratteri, ovvero maiuscole, minuscole, numeri e simboli. Parliamo quindi del tipo di password considerato best practice e come tale tipicamente previsto nelle policy sulla sicurezza IT. Nella maggior parte dei casi, le password complesse sono composte da 8 caratteri.

In teoria, un computer dovrebbe impiegare anni a indovinare password di questo tipo. I file protetti da password non hanno difese contro gli attacchi descritti sopra, ad eccezione della casualità (o entropia) della password scelta.

Computer e strumenti moderni

I computer moderni riescono a formulare più di 1 miliardo di tentativi di password al secondo. Parliamo di un'evoluzione epocale rispetto a quando sono stati creati i primi file protetti da password.

In che modo i pirati informatici riescono a entrare nei file protetti da password?

In Internet si trovano molti strumenti gratuiti in grado di rimuovere una password da file Excel o Acrobat. Per i file protetti da una particolare crittografia di sicurezza è possibile usare strumenti a pagamento che prendono di mira il file, potendo sfruttare la potenza di un singolo computer come anche di migliaia di computer collegati in rete (nel caso di aggressori determinati che puntano a dati di elevato valore). Alcuni di questi potenti sistemi sono destinati alle forze dell'ordine che li utilizzano come strumenti forensi, ma sono facilmente accessibili, tanto da poter essere acquistati e scaricati con una carta di credito.

Come riportato da Home Security Heroes, uno strumento di decrittazione delle password basato sull'intelligenza artificiale può riuscire a violare le comuni password complesse di 8 caratteri in pochi minuti o al massimo in sette ore. Collegando i computer in rete, un attacco Brute Force su un singolo file protetto da password potrebbe richiedere anche meno tempo.

Come proteggere i dati mobili

Un drive USB Kingston IronKey Vault Privacy 50 inserito in un hub multi-porta su una scrivania collegato a un computer da ufficio.

Da quanto detto fin qui risulta chiaro che qualsiasi trasmissione di dati sensibili per via elettronica è esposta al rischio di violazione, nel caso di intercettazione del file o di intromissione nel file o nei server che conservano il file inviato come allegato. Ciò vale anche per i file crittografati archiviati in un cloud, qualsiasi cloud, che deve utilizzare la crittografia software. Se qualcuno si impossessa del file protetto da password, può sottoporlo ad attacchi Brute Force utilizzando un software specifico per il tipo di file.

Per mitigare questo rischio, bisogna tenere i dati fuori dalla rete o, come si suol dire, "air-gapped". A questo scopo è possibile tenere i dati in un computer non collegato a Internet o in un dispositivo in grado di resistere agli attacchi di password Brute Force che consente anche di spostare i dati. Può risultare macchinoso, ma si tratta di una forma di mitigazione correlata al valore dei dati: ci sono violazioni che possono arrivare a costare milioni di dollari, senza contare le spese legali e i risarcimenti elevati, a seconda dei dati persi. Ad esempio, per un'azienda potrebbe risultare estremamente dannosa la sottrazione di un foglio di calcolo contenente i dati dei conti dei propri clienti con i relativi dettagli. I dati IP di un cliente utilizzati in un procedimento giudiziario possono causare gravi danni a un'azienda nel caso in cui venissero sottratti e venduti nel dark Web.

Proprio per prevenire questi danni relativi ai dati mobili esiste una soluzione economica: i drive USB o SSD dotati di crittografia hardware. Questi strumenti dispongono di un ecosistema di sicurezza autonomo, di tipo hardware, che protegge dagli attacchi basati su password e utilizza la crittografia AES-256 bit sempre attiva che, di per sé, non risulta essere stata compromessa. È importante acquistare tali dispositivi di storage da produttori affermati e autorevoli, tenuto conto che quelli di fascia economica che si trovano online potrebbero non garantire la corretta applicazione della crittografia o della protezione alle password.

I drive esterni USB o SSD dotati di crittografia hardware, come i drive IronKey di Kingston, sono diversi dai normali drive USB o SSD. Si tratta di dispositivi progettati appositamente per proteggere i dati – in cui sono impiegati controller speciali concepiti per garantire la sicurezza. Questi drive sono in grado di offrire una sicurezza di livello aziendale e militare, che comprende una certificazione FIPS 140-3 di livello 3 riconosciuta dal NIST, l'agenzia governativa statunitense che definisce la crittografia AES-256 bit e cura gli standard per le agenzie governative statunitensi. Da oltre 20 anni Kingston progetta e produce drive dotati di crittografia hardware per aziende e enti governativi di tutto il mondo.

Protezione efficace dagli attacchi Brute Force

Ogni singolo accesso a un drive IronKey passa tramite il microprocessore di sicurezza. Per consentire l'accesso ai dati, il microprocessore sicuro pretende l'immissione di una password valida o un PIN, nel caso dei dispositivi dotati di tastiera. Il microprocessore sicuro tiene il conto dei tentativi di password non validi (chi ha sperimentato il reset del proprio cellulare sa bene di cosa si tratta). I drive IronKey prevedono la possibilità di usare diversi tipi di password: Admin, User e One-Time Reset. Se inserite in modo errato per 10 volte di seguito, e password One-Time Reset o User vengono bloccate. Se invece è la password Admin ad essere immessa in modo errato per 10 volte di seguito, il microprocessore di sicurezza attiva una procedura di autodistruzione dei dati: esegue una cripto-cancellazione di tutti i parametri di crittografia, formatta lo storage dei dati e riporta il dispositivo allo stato di fabbrica. In questo caso, i dati fino ad allora memorizzati nel drive risultano definitivamente persi. Si tratta della difesa ideale contro la maggior parte degli attacchi, particolarmente efficace per i dati sensibili.

Best practice per la protezione dei dati sensibili

Purtroppo, l'invio dei file protetti da password tramite email così come la loro pubblicazione in un server cloud possono essere soggetti alla violazioni dei dati, perché non è possibile proteggere i file contro le attuali tecnologie informatiche e di intelligenza artificiale. La massima sicurezza si ottiene soltanto trasportando fisicamente i dati mobili, così da restare nel possesso dell'utente, in tasca o in borsa. A quel punto, possono essere condivisi con il destinatario. In alternativa, è possibile spedire il drive al cliente/partner, comunicandogli come accedere ai dati. Il drive può essere così consegnato loro, senza compromettere la sicurezza dei dati, che restano al di fuori della rete. I drive esterni SSD IronKey hanno capacità fino a 8 TB e possono garantire una sicurezza efficace a un'ampia gamma di professionisti, dagli studi legali ai fornitori di servizi medici o finanziari.

Molti produttori non inviano più i documenti e i dettagli relativi alla proprietà intellettuale via email, preferendo spedire ai destinatari (spesso in paesi diversi) i dispositivi IronKey in cui sono contenuti e fornendo poi separatamente le istruzioni necessarie per accedere ai dati. I drive IronKey prevedono un ruolo di Amministratore che può impostare la modalità di sola lettura globale, capace di impedire qualsiasi modifica dei file a chi accede con la password di tipo utente.

Le unità IronKey rispettano le best practice della CIA Triad e rappresentano un'assicurazione estremamente economica a protezione dei dati sensibili nella massima misura possibile in ambito commerciale. In fin dei conti, tutto va rapportato al valore attribuito alle informazioni trattate.

Icona del servizio "Chiedi a un esperto" di Kingston sul chipset di una scheda a circuiti

Chiedete a un esperto

La definizione della soluzione più adeguata richiede un'approfondita conoscenza degli obiettivi di sicurezza dei progetti. Lasciatevi guidare dagli esperti Kingston.

Chiedete a un esperto
Trisha che tiene in mano un drive Flash USB DT2000 2:53

Drive Flash USB crittografati, spiegati in breve

I drive Flash USB crittografati garantiscono la privacy dei vostri dati. Ma come funzionano?

Trisha che tiene in mano un drive IronKey VP80ES mentre flette i bicipiti 5:38

Il modo migliore per memorizzare e accedere ai vostri file in maniera sicura

Per gli utenti più creativi che devono produrre contenuti per clienti di alto profilo, lo storage crittografato può garantire la sicurezza dei vostri file più importanti contribuendo al contempo a operare in conformità agli standard di sicurezza e alle normative vigenti in maniera di sicurezza.

Immagine di un drive IKVP80ES su una scrivania posto accanto a un laptop, a una fotocamera e a un esposimetro 0:32

Storage crittografato per il settore creativo

Indipendentemente dal fatto che si tratti di professionisti singoli oppure di collaborazioni con importanti clienti sparsi in tutto il mondo, le soluzioni di storage crittografato sono in grado di garantire la sicurezza dei vostri file più importanti, aiutandovi a operare in totale conformità a tutte le normative e regolamenti in materia di sicurezza.

Articoli correlati

Blog Casa