Un attacco hacker è anche letteratura
C’è una parola che è entrata nel linguaggio comune e che usiamo tutti i giorni senza pensarci: Trojan. Proprio quel cavallo di Troia che nasce un bel tot di anni fa e che si trova ben narrato nell’Eneide dopo che era stato solo descritto, secoli prima, da Omero. Meglio, quindi, non parlare di virus in questo caso. La differenza non è solo lessicale, ma concettuale e si applica perfettamente alla tua azienda. Un virus si diffonde. Un cavallo di Troia fa sì che tu lo inviti ad entrare.
Gli Achei non espugnano le mura di Troia con la forza. Ci provano per dieci anni e falliscono. Le mura erano impenetrabili proprio come un sistema difeso dai migliori antivirus e firewall impossibili da superare. È necessario cambiare strategia. Ecco che i mitologici eroi condotti da Agamennone, ma guidati dall’astuzia di Ulisse, vincono quando smettono di attaccare il sistema e cominciano ad attaccare le persone e costruiscono quel dono che i troiani stessi trascinano oltre le mura, convinti di aver vinto.
È lo stesso meccanismo che Leonardo Sciascia racconta, forse senza l’intenzione, in “A ciascuno il suo”. Il professor Laurana non è uno sprovveduto. Capisce il delitto, ricostruisce i legami, si avvicina passo dopo passo alla verità. Eppure, cade nella trappola. Non perché venga aggredito di fronte, ma perché qualcuno gli offre esattamente ciò che desidera vedere. Luisa Roscio è il cavallo di Troia del grande scrittore: entra attraverso la fiducia, l’attrazione, la vanità. Laurana non perde perché gli mancano le difese. Perde perché le abbassa da solo.
È esattamente ciò che accade ogni giorno nelle imprese. Certo, avviene con minor eleganza letteraria ma con gli identici meccanismi. I dipendenti non aprono una mail fraudolenta perché sono ingenui; hanno anche fatto corsi di formazione. Però la aprono e fanno click su qualche allegato o un link che sembrano perfettamente legittimi. Lo fanno perché quella mail sembra urgente, autorevole, credibile. Parla la lingua dell’azienda. Conosce il destinatario e il suo ruolo. È un messaggio che tocca il punto giusto.
L’hacker, come Ulisse, non abbatte le mura; sarebbe una fatica inutile e non serve la breccia di Porta Pia. Basta convincere qualcuno a portare il pericolo all’interno.
Bruce Schneier, uno dei più autorevoli esperti mondiali di sicurezza informatica, lo aveva capito molto prima dell’intelligenza artificiale. A lui è attribuita la frase “i dilettanti attaccano i sistemi, i professionisti attaccano le persone”. La vulnerabilità più pericolosa di un’impresa non è nel software, ma in quella persona, degna della miglior fiducia, seduta davanti allo schermo.
Oggi quella persona ha un nome, o meglio una condizione: è l’Homo Googlis. Connesso in modo continuo, sotto pressione, bersagliato da decine di messaggi al giorno, reattivo alle notifiche, abituato a condividere informazioni sui social e a fidarsi di ciò che appare credibile, urgente, coerente con le proprie abitudini. Ma distratto. E sempre più portato a reagire prima di verificare.
E l’hacker lo sa bene. È su quelle distrazioni che fonda la sua forza.
Già lo faceva prima e, adesso, ha anche un’arma formidabile in più. Pensate non la usi?
L’intelligenza artificiale non ha inventato la manipolazione. L’ha resa industriale. Può studiare il linguaggio di un’azienda, ricostruire il profilo di un dirigente, imitare una voce, scrivere una mail perfettamente plausibile, creare l’urgenza necessaria perché qualcuno autorizzi un pagamento, comunichi una password, apra un allegato. Non occorre più violare il sistema. Basta convincere una persona ad aprirlo dall’interno.
Per questo la sicurezza di un’impresa non può essere delegata soltanto all’IT. Riguarda l’organizzazione, le procedure, le responsabilità, la formazione, soprattutto, il modo in cui vengono prese le decisioni. Un’impresa può avere firewall aggiornati all’ultima versione e restare comunque vulnerabile, perché il vero bersaglio non è più soltanto la macchina. È Homo Googlis. È colui che prenderà una decisione i cui effetti saranno pagati dall’imprenditore, dai manager, dagli azionisti e dagli investitori.
E quando Homo Googlis lavora nella tua azienda, la sicurezza informatica diventa sicurezza delle decisioni.
Non è solo letteratura; questa è solo lo spunto per lo story telling che va tanto di moda, ma che è decisamente antico.
Oggi questo è metodo. È Cybermetrica: previsione e gestione del rischio, non divinazione del futuro. L’imprenditore sa che accadrà. Non può non sapere. Sa dove gli hacker toccano, dove attaccano, quale porta gli attaccanti cercheranno di far aprire dall’interno. E per questo non basta un corso di due ore su come riconoscere un allegato sospetto. Serve struttura: nei processi decisionali, nelle istruzioni operative, nella responsabilizzazione di chi, in azienda, ha il potere di decidere.
Altrimenti il finale è già scritto. Ed è quello stesso che tocca a Troia e al professor Laurana.
