Per i criminali informatici chiunque è una facile preda. Dimostri loro che si sbagliano.

A nessuno piace gestire decine o addirittura centinaia di password che cambiano continuamente. Non c’è da stupirsi, quindi, che l’esausto Chief Operating Officer (COO) di una società di private equity non ne volesse neppure sentir parlare e utilizzasse una sola password per la maggior parte dei suoi account, sia personali che professionali.

Ciò che poi è accaduto, non dovrebbe sorprenderci: durante un attacco informatico non correlato all'ambito lavorativo, dei criminali informatici sono riusciti a sottrargli la password e a utilizzarla per violare i suoi account e-mail, personale e aziendale, accedendo all’intero sistema informatico della sua società.

Un attacco ransomware era inevitabile. L’infrastruttura digitale dell’azienda è stata disattivata e i dipendenti non hanno potuto lavorare per intere settimane. Non parliamo poi dei costi finanziari e reputazionali. Mettere in conto una piccola "seccatura personale" a monte, avrebbe potuto evitare problemi e il relativo effetto domino.

La prevenzione degli attacchi informatici non consiste unicamente nell’implementare tecnologie di sicurezza adeguate. Un’azienda, i suoi dipendenti e i vari processi possono essere vulnerabili. Spesso i criminali informatici cercano di infiltrarsi nei dispositivi, rimanendo inattivi per raccogliere informazioni e studiare le abitudini degli utenti prima di sferrare un attacco su larga scala.

Molte famiglie che dispongono di un patrimonio considerevole, aziende e di family office si trovano completamente impreparate.

Un panorama criminale estremamente sofisticato

Attacchi informatici, bot automatizzati, deepfake basati sull’IA, vulnerabilità dei software, ransomware… il panorama all'interno del quale oggi si muovono i criminali informatici è molto più sofisticato rispetto a pochi anni fa. Questo vale non solo per le grandi organizzazioni vittime di truffe informatiche che finiscono sui giornali, ma per qualunque azienda, a prescindere dalle sue dimensioni.

Di fatto, il 75% degli attacchi informatici prende di mira le piccole e medie imprese.¹ Ciò è dovuto in parte al fatto che non dispongono delle solide difese delle organizzazioni più grandi e in parte al fatto che molti imprenditori credono erroneamente che utilizzare il cloud garantisca la sicurezza. Quando un criminale informatico riesce a intrufolarsi in un’organizzazione, cercherà di muoversi lateralmente per rubare dati preziosi e, in generale, creare caos.

Alla ricerca di un facile bersaglio

Persone e famiglie con un elevato patrimonio netto, società di investimento, family office e aziende private sono obiettivi particolarmente interessanti per i criminali informatici perché trasmettono un senso di ricchezza, dispongono di risorse significative e hanno un’impronta digitale molto estesa. Il 24% degli intervistati per il nostro Global Family Office Report 2024 ha dichiarato di avere subito attacchi informatici. Tra i family office con un patrimonio superiore a 1 miliardo di dollari, il 40% ha dichiarato di aver subito attacchi informatici.

Ciò nonostante, la nostra ricerca mostra come i family office siano generalmente impreparati. Solo il 39% richiede al personale di seguire una formazione sulla sicurezza informatica e solamente il 34% si avvale di un fornitore di servizi di difesa informatica.² Quasi un quarto (il 23%) non dispone di alcuna protezione informatica.

Come altri malviventi/ladri/scassinatori, anche i criminali informatici cercano il punto debole. Spesso, si tratta delle persone. Gli hacker utilizzano tutte le forme di ingegneria sociale (phishing tramite e-mail e SMS, manipolazione dei codici QR e manipolazione vocale) per carpire informazioni che diversamente sarebbero protette. Per questo motivo è fondamentale mantenere un atteggiamento scettico nei confronti di qualunque richiesta di denaro o informazione sulla propria organizzazione e verificare ogni richiesta tramite un altro canale.

Assicurarsi che l’IA lavori per noi, non contro di noi

Se da un lato l’intelligenza artificiale (IA) può garantire un aumento dell’efficienza e della produttività, dall’altro può anche comportare rischi per la sicurezza.

Le piattaforme e gli strumenti di IA possono memorizzare qualunque dato venga inserito. Per questo motivo è essenziale adottare misure di protezione che consentano di salvaguardare i dati aziendali e quelli personali. Se si utilizza uno strumento di IA pubblico per leggere ed esaminare i CV e non si dispone di una licenza enterprise, tutti i dati letti in quel modo – cioè nomi, indirizzi e altre informazioni potenzialmente riservate – vengono inseriti in una piattaforma LLM (Large Language Model) che non è sotto il controllo dell’utente.

Per interagire in sicurezza con l’IA è necessario:

• Utilizzare un indirizzo e-mail unico, dedicato esclusivamente all’uso dello strumento di IA. Se si utilizza uno strumento pubblico, non usare lo stesso indirizzo e-mail associato al proprio conto bancario o ad altre informazioni sensibili.
• Assicurarsi che tutte le richieste siano verificate tramite due canali di comunicazione, ad esempio video, telefonate e/o SMS. Se l’IA viene utilizzata per creare un deepfake convincente, può riuscire a persuadere qualcuno a fornire informazioni sensibili o ad autorizzare una transazione.
• È particolarmente importante esaminare i processi e i protocolli di pagamento per capire se sono in grado di resistere a un attacco di ingegneria sociale basato sull’IA. Un atteggiamento proattivo e vigile è indispensabile, poiché gli strumenti di IA si stanno rapidamente evolvendo e diffondendo nei luoghi di lavoro. Anche il personale che ricopre ruoli di minor rilievo dovrebbe essere autorizzato a mettere in discussione una richiesta di natura sensibile e convalidarla tramite una forma di comunicazione alternativa.

Valutazione e miglioramento della preparazione informatica

Non esiste un metodo infallibile per proteggere un’azienda dai criminali informatici. Tuttavia, ogni imprenditore, persona facoltosa e family office può adottare alcune misure per ridurre i rischi e limitare i danni nell’eventualità di una violazione.

• Affidarsi a professionisti
  
  Se non si è esperti di sicurezza informatica, è vivamente sconsigliato cercare di orientarsi da soli tra le complessità del panorama digitale. Al contrario, è meglio avvalersi di esperti e professionisti di fiducia per valutare e implementare controlli di sicurezza informatica in tutta l’organizzazione, a livello di personale, processi e tecnologie. Anche se in passato ci si è già rivolti a professionisti, per garantire che le difese utilizzate rimangano solide e aggiornate è importante effettuare regolarmente un’attività di manutenzione.
• Condurre una valutazione informatica
  
  È consigliabile come prima cosa procedere con una valutazione informatica completa da parte di un’azienda qualificata. Una valutazione metterà in evidenza vulnerabilità specifiche, consentendo di dare priorità a quelle più rilevanti e affrontarle in modo efficace.
  Una valutazione completa permette di individuare i potenziali punti deboli attraverso test di rete, controlli degli accessi fisici e fattori di ingegneria sociale.
• Curare la formazione del personale e della propria famiglia
  
  Un aspetto importante è la formazione del proprio personale sulle potenziali vulnerabilità, come il phishing (e-mail, SMS, codici QR e telefonate), le richieste di pagamento fraudolente e altri metodi utilizzati dai criminali informatici per accedere a informazioni o denaro. Lo sviluppo di una cultura della vigilanza riduce il rischio di compromissione.
  
  La formazione deve riguardare anche i familiari. Se un membro della famiglia è abbastanza grande da avere un account social, lo è anche per ricevere una formazione sul suo utilizzo. Gli adolescenti, in particolare, devono imparare a non condividere informazioni che rivelino troppo sulle attività e sull’ubicazione della famiglia. Un bel viaggio è un’esperienza fantastica, ma è meglio raccontarlo in giro una volta tornati a casa.
• Autenticazione a più fattori (MFA)
  
  L’autenticazione a più fattori è un po’ scomoda, ma comporta noie molto meno serie rispetto a un attacco ransomware o a un tentativo di estorsione. È anche uno dei livelli di difesa più efficaci a disposizione di aziende e privati. È opportuno utilizzarla ovunque possibile, sia a livello personale che professionale, in particolare per proteggere dati di importanza critica e l’accesso da remoto. Vantaggio aggiuntivo: l’utilizzo dell’autenticazione multifattoriale può addirittura ridurre i costi di un’assicurazione contro i rischi informatici.
• Controllo degli accessi
  
  L’adozione di una politica sugli accessi basata sul principio della “necessità di sapere” in tutta l’organizzazione garantisce che solo il personale, le applicazioni e gli strumenti che hanno assolutamente bisogno di informazioni specifiche possano accedervi.
  
  Le politiche sugli accessi non sono una questione di fidarsi — o non fidarsi — dei dipendenti. Si tratta piuttosto di cercare limitare i danni nel caso in cui qualcuno riesca a violare i sistemi aziendali utilizzando le credenziali di un dipendente, avendogli rubato l’identità.
  

Considerando il mutevole panorama delle minacce informatiche e la loro crescente pericolosità, è molto meglio investire una somma modesta in attività di valutazione e prevenzione anziché sostenere un costo esorbitante, in termini di denaro, reputazione e grattacapi, per un attacco ransomware o un tentativo di estorsione che avrebbero potuto essere evitati.

Noi possiamo essere di aiuto

Proteggere il patrimonio e le informazioni dei clienti è la nostra priorità. J.P. Morgan è fermamente impegnata a fornire servizi sicuri e resilienti ai propri clienti e partner in un contesto segnato da minacce in continua evoluzione. Per maggiori informazioni e risorse su come proteggere al meglio se stessi, la propria famiglia e la propria azienda, può rivolgersi al team J.P. Morgan.