Panda SecurityCos’è successo
Giovedì 12 novembre, milioni di persone in tutto il mondo si sono ritrovate con la posta elettronica bloccata, le videochiamate interrotte e i documenti sul cloud inaccessibili. Il disservizio ha colpito Outlook, Teams, Microsoft 365 e Copilot.
Secondo Microsoft, l’origine del problema è stata tecnica: diversi suoi server hanno smesso di essere disponibili senza preavviso e l’infrastruttura rimanente si è saturata. Ma come capire se dietro un down di questo tipo si nasconde un guasto interno o un attacco?
Come distinguere un guasto all’infrastruttura da un attacco DDoS?
I sintomi di un guasto tecnico e quelli di un attacco informatico di tipo DDoS (Distributed Denial of Service) possono sembrare praticamente identici per l’utente: applicazioni che smettono di rispondere, difficoltà di connessione o server sovraccarichi. Entrambi possono causare rallentamenti, interruzioni e problemi di connettività.
La differenza principale risiede nell’origine del problema. In un attacco DDoS, i cybercriminali utilizzano molteplici dispositivi o sistemi per inviare un volume massiccio di richieste verso un servizio, con l’intento di esaurirne la capacità di risposta. In un guasto all’infrastruttura, invece, un aggiornamento difettoso, un errore di configurazione o un problema nella distribuzione del traffico possono innescare un sovraccarico analogo, ma senza alcun intervento malevolo.
Per distinguerli è necessario analizzare i log di attività, l’origine e il comportamento del traffico, le modifiche recenti all’infrastruttura e gli avvisi di sicurezza. Un picco di traffico, da solo, non dimostra l’esistenza di un attacco.
Nel caso di Microsoft, l’azienda ha dichiarato di non aver riscontrato indizi di attività malevole. Sarebbe quindi prematuro parlare di un attacco informatico senza prove tecniche a supporto.
L’aspetto più interessante di questo incidente è che dimostra come un problema interno all’infrastruttura possa avere conseguenze operative gravi tanto quanto quelle di un attacco hacker.
Quali rischi comporta dipendere da un unico fornitore tecnologico?
Un singolo disservizio può paralizzare contemporaneamente l’attività di migliaia di aziende. La concentrazione dei servizi tecnologici nelle mani di pochi fornitori rappresenta una delle maggiori sfide per la continuità operativa (business continuity).
Oggi molte imprese utilizzano una stessa piattaforma per gestire la posta elettronica, archiviare documenti, tenere riunioni, condividere informazioni e coordinare i dipendenti. È una soluzione efficiente dal punto di vista operativo, ma crea anche forti dipendenze: se quella piattaforma si blocca, diversi strumenti essenziali diventano inutilizzabili nello stesso momento.
Il rischio principale è che un problema tecnico esterno si trasformi in una crisi operativa interna. Un’organizzazione può avere sistemi perfettamente protetti dai cybercriminali e ritrovarsi comunque impossibilitata a comunicare con i clienti, accedere a determinati file o portare avanti i processi quotidiani.
Inoltre, questa dipendenza non è sempre evidente. Due applicazioni apparentemente indipendenti possono poggiare sugli stessi servizi di autenticazione, connettività o infrastruttura cloud. Disporre di strumenti di produttori diversi, quindi, non garantisce necessariamente una reale ridondanza.
Non si tratta di rinunciare ai grandi colossi tecnologici, ma di essere consapevoli delle dipendenze che generano e valutare cosa accadrebbe se uno dei servizi essenziali non fosse disponibile per diverse ore. Le aziende devono mettere in conto che nessun fornitore, per quanto grande, può garantire una disponibilità assoluta.
Lo stesso vale su scala personale: un incidente simile è un buon promemoria di quanto siamo esposti quando quasi tutta la nostra vita digitale dipende da un solo provider. Un down non colpisce solo l’email, ma può bloccare anche l’accesso a servizi di terze parti a cui accediamo tramite il nostro account Microsoft.
“Un disservizio come questo non è un attacco informatico, ma è uno scomodo promemoria: quando posta, lavoro e documenti dipendono da un unico account, qualsiasi guasto tecnico diventa un problema serio per l’utente”, commenta Hervé Lambert, Global Consumer Operations Manager di Panda Security.
Il rischio nascosto: i cybercriminali sfruttano anche i down
Mentre gli utenti cercano risposte, i truffatori si muovono rapidamente. Durante questo genere di incidenti è molto comune imbattersi in:
- Email ed SMS falsi che fingono di provenire da Microsoft e chiedono di “verificare l’account” o “reimpostare la password” a causa del disservizio.
- Falsi siti di assistenza che imitano le pagine ufficiali sullo stato dei servizi.
- Finti tecnici che offrono supporto per telefono o via chat chiedendo l’accesso remoto al dispositivo.
L’urgenza e la confusione sono i loro migliori alleati. Come ricorda Hervé Lambert: “I cybercriminali sanno che, nel bel mezzo di un down, le persone cercano risposte con urgenza. È proprio in quel momento che è più facile cliccare su un link sbagliato. La fretta è la loro migliore alleata.”
Cosa fare durante un down: 7 consigli
- Mantieni la calma e non cambiare password per precauzione. Se il problema è del fornitore, la tua password non è compromessa. Cambiarla su un sito falso, invece, la consegnerebbe ai truffatori.
- Consulta solo fonti ufficiali. Usa la pagina ufficiale sullo stato dei servizi e gli account verificati dell’azienda. Digita tu stesso l’indirizzo nel browser invece di cliccare sui link ricevuti.
- Diffida di qualsiasi messaggio “legato al disservizio”. Se un’email o un SMS ti chiede dati, credenziali o di installare qualcosa, ignoralo e non rispondere.
- Nessun operatore legittimo ti chiederà l’accesso remoto al tuo computer. Se qualcuno te lo propone per “risolvere” il problema, si tratta di una truffa.
- Tieni pronto un piano B per le emergenze. Assicurati di avere un canale di comunicazione alternativo (un altro indirizzo email o un’app di messaggistica) per le questioni urgenti.
- Salva una copia dei file essenziali. Non affidarti esclusivamente al cloud: conserva una copia in locale o su un altro servizio dei documenti più importanti.
- Attiva l’autenticazione a due fattori. Protegge i tuoi account anche nel caso in cui qualcuno riesca a ottenere la tua password. Quando tutto torna alla normalità, controlla anche le attività recenti dell’account per verificare che non ci siano accessi sospetti.
Alberto Añón, Product Manager di Panda Security, conclude: “La protezione migliore è quella che prepari prima che si verifichi il problema: backup, autenticazione a due fattori e l’abitudine di verificare sempre la fonte prima di agire.”
Come possono prepararsi le aziende a queste situazioni?
Se gestisci un’attività o lavori come libero professionista, questi consigli non bastano: la cyber-resilienza e i piani di continuità operativa assumono un’importanza cruciale.
Per anni le strategie di sicurezza informatica si sono concentrate soprattutto sull’impedire agli attaccanti di accedere ai sistemi aziendali. Questa difesa resta indispensabile, ma non è più sufficiente. Le organizzazioni devono prepararsi anche agli scenari in cui la tecnologia smette di funzionare, indipendentemente dal fatto che la causa sia un attacco informatico, un errore umano, un aggiornamento difettoso o un disservizio di un fornitore esterno.
Il primo passo consiste nell’individuare i servizi critici per il business e stabilire per quanto tempo l’attività può proseguire senza di essi. Non tutte le applicazioni richiedono lo stesso livello di disponibilità né le stesse misure di protezione.
Partendo da questa analisi, è fondamentale definire piani di continuità che prevedano canali di comunicazione alternativi, backup indipendenti, procedure per lavorare temporaneamente senza determinate applicazioni e meccanismi di ripristino testati in precedenza.
È altrettanto importante che le aziende organizzino delle simulazioni. Avere un piano di emergenza serve a poco se i dipendenti non sanno come comportarsi quando la posta elettronica, gli strumenti collaborativi o i servizi cloud diventano inaccessibili.
Va inoltre ricordato che un backup, da solo, non garantisce la continuità del servizio: occorre verificare che i dati siano effettivamente recuperabili e che esistano sistemi o procedure alternative per continuare a lavorare.
Quando il servizio viene ripristinato
Una volta che tutto è tornato a funzionare, approfittane per fare un rapido controllo:
- Verifica che messaggi e riunioni si siano sincronizzati correttamente.
- Controlla se hai ricevuto email sospette durante il down.
- Valuta se ci sono servizi importanti che dipendono da un unico account e prendi in considerazione l’idea di diversificare.
I disservizi dei servizi cloud sono, di tanto in tanto, inevitabili. Ciò che è in tuo potere è evitare che un guasto tecnico si trasformi in un problema di sicurezza: informati sempre tramite fonti ufficiali, non agire d’impulso e tieni i tuoi dati protetti e al sicuro con copie di backup.
