Nelle ultime settimane sono emerse quattro storie di sicurezza non correlate. Un ricercatore ha scoperto che un antifurto per auto aftermarket chiamato KARR — installato su oltre 2 milioni di veicoli, secondo le stime — può essere sbloccato, disarmato o disattivato silenziosamente da chiunque si trovi nel raggio del Bluetooth. Un ricercatore di minacce di Bitsight ha scoperto che una popolare economica chiavetta per lo streaming, la H96, da anni affitta di nascosto le connessioni Internet dei proprietari e fa clic su annunci fraudolenti fingendosi un telefono cellulare. Un hacker si è dichiarato colpevole di violazioni legate ai dati di oltre 100 milioni di persone: non ha ottenuto l'accesso tramite qualche exploit ingegnoso, ma attraverso password dei clienti che erano rimaste in circolazione da un'infezione da infostealer avvenuta anni prima, su account sui quali non era mai stata attivata l'autenticazione a più fattori. E i ricercatori hanno dimostrato che, nelle condizioni giuste, un malware può estrarre le passkey sincronizzate tramite Google Password Manager — proprio il sistema che molti di noi hanno adottato specificamente per allontanarsi dai rischi delle password.
Letti singolarmente, questi sono quattro problemi di categorie diverse: una falla hardware, uno schema di frode nella catena di approvvigionamento, una violazione aziendale e un problema di implementazione della crittografia. Ma condividono una causa alla radice che non ha nulla a che fare con la tecnologia coinvolta. In ogni caso, l'elemento vulnerabile è stato installato, attivato o creato una volta sola — e poi nessuno ci ha più dato un'occhiata.
Il modello che si cela dietro i titoli
Il debito di sicurezza si accumula esattamente nei punti a cui smettete di prestare attenzione. Un antifurto per auto viene installato come parte di un pacchetto aggiuntivo del concessionario e poi non vi passa più per la mente, finché non diventa il motivo per cui la vostra auto è finita nelle mani di qualcun altro. Una chiavetta per lo streaming viene collegata al televisore, funziona bene per anni e non fa mai scattare alcun campanello d'allarme perché continua a riprodurre ciò che le chiedete — il traffico di frodi pubblicitarie e la condivisione della banda avvengono invisibilmente in parallelo. Una credenziale di accesso viene creata, funziona quando viene richiesta per effettuare il login e poi rimane in un database per anni, dopo che il dispositivo che l'ha divulgata è stato dimenticato da tempo, perché cambiare una password a cui non pensate non è un'attività che nessuno mette in calendario. Una passkey viene configurata proprio per essere «più sicura di una password», e questa reputazione diventa un motivo per smettere di pensare a ciò che protegge il dispositivo su cui risiede.
Nessuno di questi casi ha richiesto che un attaccante sofisticato scoprisse una falla inedita che nessuno aveva previsto. L'antifurto per auto e il furto delle passkey hanno effettivamente coinvolto una vera attività di ricerca tecnica. Ma ciò che ha realmente permesso che il danno si verificasse su larga scala è stato il divario tra «configurato una volta» e «mai più verificato».
Un controllo di 20 minuti sulle cose che già possedete
Non dovete comprare nulla né diventare un'altra persona per colmare gran parte di questo divario. Vi serve un unico passaggio attraverso le categorie elencate sopra, trattato come un'attività ricorrente anziché come una configurazione da fare una volta sola.
1. Dispositivi aftermarket e aggiuntivi
Controllate tutto ciò che è stato installato da terzi anziché essere integrato — antifurti per auto, dashcam, serrature intelligenti, tracker aftermarket. Verificate sull'app o sul sito del produttore se esiste un meccanismo per aggiornare il firmware ed eseguite effettivamente l'aggiornamento. Per l'antifurto KARR in particolare, i ricercatori hanno osservato che un indizio visivo facilmente riconoscibile è un adesivo «KARR» sul finestrino del conducente; se ne avete uno, chiedete all'installatore o al produttore informazioni su una patch prima di dare per scontato che sia tutto a posto. L'abitudine più generale da sviluppare è questa: qualsiasi cosa dotata di una radio e di un'app del produttore è un dispositivo che necessita di manutenzione occasionale, proprio come il telefono o il laptop.
2. Qualunque cosa sia collegata al televisore
Vale la pena esaminare con attenzione i generici box per lo streaming venduti sui marketplace con nomi come H96, spesso pubblicizzati intorno a un pagamento una tantum per contenuti «illimitati». Se ne possedete uno, tenete presente che il rischio non riguarda solo i contenuti piratati — il dispositivo stesso potrebbe comportarsi come un secondo computer sulla vostra rete, con una propria agenda. Se non potete verificare cosa stia facendo un dispositivo sulla vostra rete e proviene da un marchio sconosciuto che promette qualcosa di troppo bello per quel prezzo, è un motivo sufficiente per isolarlo su una rete ospiti o sostituirlo con un dispositivo per lo streaming tradizionale di un'azienda che ha una reputazione da difendere.
3. Le vecchie password, soprattutto quelle riutilizzate o dormienti
La violazione collegata alla dichiarazione di colpevolezza dell'hacker legato a Snowflake non è stata causata da una falla nella piattaforma. È stata causata da credenziali raccolte anni prima da un malware presente sul computer di qualcuno: credenziali che nessuno aveva cambiato, su account sui quali l'autenticazione a più fattori era stata disattivata. È una modalità di fallimento del tutto evitabile, ed è comune: qualsiasi account che avete configurato una volta e a cui accedete raramente è esattamente il tipo di account che potrebbe essere associato in questo momento a una password vecchia di anni e già trapelata. Se il vostro gestore di password offre un controllo delle violazioni o del riutilizzo, eseguitelo. Se un account consente l'MFA ed è disattivata, attivatela — questa singola misura avrebbe bloccato l'intrusione che ha esposto i dati di oltre 100 milioni di persone.
4. L'account che protegge le vostre passkey
Le passkey rappresentano un reale miglioramento rispetto alle password per il problema specifico del phishing e del riutilizzo. Ma le recenti ricerche sul furto di passkey sincronizzate tramite Google Password Manager ricordano utilmente che una passkey non è magica — eredita la sicurezza dell'account e del dispositivo attraverso cui viene sincronizzata. Ciò significa che l'account che contiene il vostro gestore di password o la sincronizzazione delle passkey merita la protezione più forte che avete: un codice di accesso robusto e univoco sul dispositivo stesso, l'MFA sull'account che esegue la sincronizzazione e attenzione a ciò che installate su quel dispositivo, poiché la ricerca si basa su un malware già in esecuzione sulla macchina, non su una falla che possiate «correggere» nelle passkey stesse.
Perché vale la pena farlo ora invece di rimandare
Nessuna di queste quattro storie descrive una minaccia per cui dobbiate andare nel panico oggi. Ma tutte e quattro descrivono minacce cresciute per mesi o anni proprio perché nessuno è tornato a controllare. La soluzione non è un nuovo strumento o un abbonamento — è scegliere un momento ricorrente, magari insieme a un'abitudine che avete già, come controllare l'estratto conto, per porvi una domanda noiosa sulle cose che già possedete e di cui vi fidate già: quando è stata l'ultima volta che ho controllato questo dispositivo e c'è ancora qualcuno che abbia motivo di tenerlo sotto osservazione oltre a me?
