Quante email strane è arrivata a vedere questa settimana la persona che nel tuo ufficio si occupa delle fatture? Probabilmente più di quante pensi. L'ultimo Eurobarometro, il sondaggio con cui la Commissione europea misura l'opinione dei cittadini Ue, dice che tre lavoratori su quattro hanno a che fare con minacce informatiche sul posto di lavoro.
Non è più un problema da reparto IT
Il dato dice una cosa semplice: l'attacco informatico non riguarda solo i server e chi li gestisce. Passa dalla casella di posta, dal telefono aziendale, dal messaggio su WhatsApp di un finto fornitore. Quasi sempre si tratta di phishing, cioè messaggi costruiti per far cliccare un link, aprire un allegato o inserire una password su una pagina falsa. Oppure di ingegneria sociale: qualcuno si spaccia per il capo, per la banca o per l'assistenza tecnica e chiede un'azione "urgente".
La formazione è l'anello debole
Dall'indagine emerge che la preparazione del personale non sta al passo. Molti dipendenti incontrano le minacce ma non hanno ricevuto una formazione per riconoscerle o per sapere a chi segnalarle. Così la difesa dipende dall'istinto del singolo. A volte funziona. Quando non funziona, basta un clic per un furto di credenziali, un bonifico verso un IBAN sbagliato o un ransomware, il software che cifra i dati e chiede un riscatto per restituirli.
Cosa cambia per le aziende
Per molte imprese la formazione non è più solo buon senso. La direttiva europea NIS2, recepita in Italia, chiede agli organi di gestione dei soggetti coinvolti di formarsi sui rischi cyber e spinge a estendere la formazione a tutto il personale. Il GDPR, da parte sua, prevede misure organizzative adeguate per proteggere i dati, e una persona formata è una di queste. Un antivirus o un firewall non bastano se chi sta davanti allo schermo non riconosce la trappola.
Il messaggio dell'Eurobarometro alla fine è pratico. Le minacce arrivano già, ogni giorno, alla scrivania di quasi tutti. Il punto è se chi siede a quella scrivania sa cosa sta guardando.
💬 Il mio commento
Tre su quattro mi sembra perfino un numero prudente. Il quarto, secondo me, spesso le minacce le ha viste anche lui, solo che non se n'è accorto. È la parte che mi preoccupa di più: non chi clicca, ma chi neanche sa di essere stato preso di mira. Quando faccio simulazioni di phishing nelle aziende che seguo, il risultato più interessante di solito non è quante persone cliccano. È quante segnalano. Spesso sono pochissime, e non per menefreghismo: semplicemente nessuno ha mai detto loro a chi scrivere, né che segnalare un dubbio non è una figuraccia.
Lo stesso succede nei workshop con studenti e universitari: sono bravissimi con la tecnologia, ma il messaggio scritto bene, con il logo giusto e il tono di fretta, frega anche loro. Allora la formazione non può essere il video di un'ora fatto una volta all'anno per spuntare la casella della compliance. Funziona quando è breve, ripetuta e legata agli strumenti che le persone usano davvero. Ammetto che misurarne l'efficacia resta complicato, e non ho una formula valida per tutti. Una cosa però la vedo in quasi tutti gli incidenti che mi capita di gestire: all'origine raramente c'è una falla tecnica sofisticata, e quasi sempre c'è una persona lasciata sola davanti a una decisione da prendere in dieci secondi.