Siamo abituati a pensare che le piccole realtà abbiano meno problemi delle grandi. Quando si parla di cyber security per piccole e medie aziende, paradossalmente, il concetto dovrebbe essere ribaltato. Le PMI, che in Italia rappresentano una considerevole “fetta” del tessuto produttivo, si trovano infatti a dover fronteggiare minacce che un tempo non le toccavano. Non tutte, però, hanno già raggiunto la consapevolezza dei rischi che corrono.
A penalizzare le piccole e medie imprese è, prima di tutto, un retaggio culturale che vede nelle PMI una categoria che “non dovrebbe preoccuparsi più di tanto” delle minacce informatiche. Un’eredità di altri tempi, in cui gli asset digitali erano considerati fondamentali soltanto per le aziende tecnologiche o per quelle imprese che, a causa delle loro grandi dimensioni, dovevano necessariamente appoggiarsi sui sistemi informatici per poter coordinare l’attività produttiva.
Le cose, però, sono cambiate radicalmente e chi si occupa di gestire la cyber security per le piccole e medie aziende deve prenderne atto. Nel panorama attuale qualsiasi impresa, indipendentemente dalle sue dimensioni, utilizza strumenti digitali in ogni ambito della sua attività: dall’amministrazione al marketing, dalla comunicazione con fornitori e clienti alla condivisione di informazioni internamente all’azienda.
Insomma: quella per cui un attacco informatico possa essere meno dannoso per una PMI è ormai una vera e propria “leggenda metropolitana” che rischia di penalizzare in maniera anche significativa gli imprenditori del settore.
A peggiorare il quadro, c’è anche l’evoluzione nell’attività dei pirati informatici i quali stanno concentrando sempre di più i loro sforzi per colpire le aziende da cui possono trarre maggiori profitti.
Se una piccola percentuale dei cyber criminali è specializzata in attacchi ai grandi colossi industriali e commerciali, la maggior parte di loro preferisce colpire proprio le PMI.
Gli esperti specializzati in cyber security per piccole e medie aziende stanno sottolineando questo aspetto da tempo, denunciando una crescita esponenziale delle minacce. Le più frequenti sono gli attacchi ransomware, che sfruttano malware specifici (crypto-ransomware) per bloccare i sistemi informatici delle aziende ed estorcere un “riscatto” in cambio della chiave che permette di ripristinare l’accesso ai dati compromessi.
Una variante degli attacchi ransomware che sta vivendo una fase di crescita è rappresentata dalla semplice intrusione e dal furto dei dati, cui segue lo stesso schema estorsivo. In questo caso, però, la minaccia è quella di rendere pubbliche informazioni potenzialmente sensibili o, addirittura, compromettenti.
Lo stesso fenomeno interessa le truffe BEC (Business Email Compromise) che puntano a compromettere le caselle di posta elettronica dei dirigenti per inviare falsi ordini di pagamento che finiscono sui conti correnti dei pirati.
La crescente attenzione da parte dei cyber criminali per le PMI affonda le sue radici in una logica squisitamente opportunistica: il fatto che gli strumenti di cyber security per le piccole e medie aziende siano frequentemente sottodimensionati, rende queste imprese dei bersagli più facili da colpire rispetto alle realtà di grandi dimensioni.
In altre parole, selezionando bersagli di piccole dimensioni i pirati informatici sanno di dover affrontare sistemi di protezione meno efficaci e di poter contare, nella maggior parte dei casi, su una scarsa preparazione a far fronte a un attacco informatico.
Non solo: la relativa fragilità dal punto di vista finanziario rispetto ai giganti industriali e commerciali, rende le PMI più esposte a eventuali tecniche estorsive. Il fatto che i potenziali guadagni per i pirati informatici siano inferiori rispetto a quelli che ci si può aspettare quando si colpisce il “bersaglio grosso”, quindi, è compensato dal fatto che un attacco a una realtà piccola ha maggiori probabilità di successo e richiede meno impegno.
Una strategia ispirata a una logica ferrea basata sul rapporto tra costi e benefici che, purtroppo, rischia di costare caro alle PMI.