Nel Lazio il lavoro da remoto non è più un’eccezione confinata al periodo pandemico. I dati pubblicati dall’ISTAT a febbraio mostrano che nel Comune di Roma il 29,4% degli occupati ha lavorato da casa almeno qualche giorno: una quota più che doppia rispetto alla media italiana del 13,8%. Roma è seconda tra le grandi città italiane soltanto a Milano.
Dietro alla comodità di lavorare dalla propria abitazione, magari da una seconda casa, però, si nascondono i rischi per la sicurezza. Il computer aziendale, infatti, non è più collegato soltanto alla rete dell’ufficio: entrano in gioco router di casa, dispositivi personali di vario tipo, servizi su cloud e credenziali utilizzate per interagire con asset che un tempo erano accessibili quasi esclusivamente dall’interno.
Il caso Sapienza mostra quanto può costare un accesso non autorizzato
Partiamo da un esempio concreto delle conseguenze che può avere una violazione informatica. Il 1° febbraio la Sapienza di Roma è stata colpita da un ransomware originato, secondo la comunicazione ufficiale dell’Ateneo, da un accesso non autorizzato.
L’incidente ha interessato circa 400 server fisici e virtuali e alcune postazioni dell’amministrazione, bloccando del tutto alcuni portali istituzionali e InfoStud. I dati sui sistemi compromessi risultavano cifrati al termine dell’attacco. Sulla base delle analisi condotte in seguito all’incidente, non sono state trovate prove sulla diffusione pubblica di dati trapelati.
Anche se non ci sono elementi chiari che ci permettano di collegare l’attacco al lavoro da remoto, il caso è utile per ricordare che una semplice intrusione può avere effetti che si propagano ben oltre il computer inizialmente compromesso quando l’account o il dispositivo hanno accesso a sistemi condivisi.
Da casa, la password da sola non basta
Uno dei punti più delicati è rappresentato proprio dagli accessi da remoto. Un provvedimento del Garante della Privacy pubblicato ad aprile sull’attacco subito dall’AUSL di Modena documenta un caso particolarmente istruttivo: secondo le verifiche, l’aggressore sarebbe presumibilmente entrato nella rete attraverso le credenziali della VPN utilizzate da un tecnico sistemista esterno. Dopo l’accaduto sono stati pubblicati sul dark web 1,2 milioni di file, per quasi 1 TB di dimensioni complessive.
Il caso ci permette anche di chiarire un equivoco in cui molti cadono ancora di frequente. Una VPN protegge la connessione, ma non può difenderti da un furto di password. Per questo l’accesso agli account più importanti dovrebbe essere subordinato all’autenticazione a più fattori. Opta per password diverse e non riutilizzate per ridurre il rischio che la violazione di un servizio crei pericolosi effetti domino.
Anche il computer di casa va trattato come una postazione professionale: sistema operativo e browser vanno sempre aggiornati, il disco va protetto con sistemi crittografici, e consigliamo anche di attivare sistemi di blocco automatico dello schermo, oltre a separare account di lavoro e personali. Chi utilizza Linux può inoltre configurare una VPN per Ubuntu per cifrare il traffico verso il server della rete privata virtuale, una precauzione particolarmente utile quando si lavora anche fuori casa tramite reti non necessariamente sicure e affidabili oltre ogni ragionevole sospetto.
La rete di casa fa parte dell’ufficio
Il router di casa merita la stessa attenzione di quello di lavoro. Se lasci le password admin predefinite e non aggiorni il firmware, aumenti inutilmente la superficie a rischio di attacchi. Se possibile, ti consigliamo di collegare a reti differenti il computer di lavoro e i dispositivi domestici meno affidabili, ad esempio utilizzando una rete guest per smart TV, assistenti vocali e altri dispositivi connessi.
Resta poi il rischio più difficile da risolvere: l’errore umano. Una VPN non riconosce una pagina fake di Microsoft e non ti blocca quando stai per cliccare su un pop-up malevolo.
Lavorare da casa in sicurezza significa impegnarsi per ricreare fuori dall’ufficio una parte di quelle difese che normalmente diamo per scontate al suo interno: quel che puoi fare da oggi è aggiornare i dispositivi, proteggere gli accessi alla rete e non riutilizzare le password per superficialità o pigrizia.