Cybersecurity e cloud: vietato distrarsi

Una gioia per tecnici, amministratori di sistema e manager che vogliono poter gestire le proprie infrastrutture con la massima flessibilità. Un incubo per chi si occupa di sicurezza. Le architetture cloud e il proliferare di macchine virtuali suscitano sentimenti diversi in chi opera nel settore IT. Da una parte rappresentano una vera rivoluzione per chi ha passato anni a configurare server e si trova tra le mani un sistema che permette di mettere online una macchina con un paio di clic. Dall’altra, la semplicità con cui possono essere gestite genera problemi di non poco conto.

La cronaca recente è zeppa di casi in cui qualche distrazione di troppo ha portato a veri disastri in termini di sicurezza. Il caso più frequente è quello di server e database “dimenticati” su Internet senza alcuna protezione, con al loro interno dati sensibili che mai e poi mai dovrebbero essere accessibili al di fuori dell’ambito aziendale.

Nella maggior parte dei casi questi “incidenti” sono frutto di semplice distrazione. Si crea una copia della macchina virtuale per fare qualche test, disattivando i sistemi di autenticazione per non “drogare” l’analisi delle performance. Una volta finito, ci si dimentica della sua esistenza e si finisce per lasciare a disposizione di chiunque l’accesso a informazioni aziendali riservate.

Qualche volta il destino è benevolo e a rintracciare il server abbandonato è qualche ricercatore di sicurezza specializzato in questo tipo di attività. In altre le cose vanno decisamente peggio e a mettere le mani sui dati sono personaggi decisamente meno raccomandabili. Ma quali sono i veri rischi che si corrono in questi casi?

Strano a dirsi, l’accesso alle informazioni contenute nel server rischia di essere il problema minore. Il vero punto critico è rappresentato da ciò che è possibile fare sfruttando quelle informazioni. Sui server cloud si trova infatti di tutto: dalla documentazione delle configurazioni di rete alle credenziali per l’accesso alle VPN, passando per informazioni personali sui dipendenti dell’azienda che un cyber-criminale abbastanza scaltro può sfruttare per orchestrare attacchi di phishing o elaborate truffe ai danni della società stessa. Tutto per una semplice e banale distrazione…