Intervista a Raoul Chiesa: “Le persone ancora non sono sensibilizzate sui reali rischi, bisogna utilizzare il cervello ed il buon senso, e scordiamoci di pensare di essere un passo avanti ai “bad guys””
Cosa sta succedendo negli ultimi tempi in Italia e nel mondo? Gli attacchi si moltiplicano, tutti sono in pericolo, utenti ed aziende, nessuno escluso. Ne abbiamo parlato con Raoul Chiesa, uno dei maggiori esperti italiani.
Cosa c’è di nuovo nel mondo della Security?
Anche se i “non addetti ai lavori” non lo sanno, negli ultimi 6-9 mesi sono successe cose che non erano accadute, nel mondo dell’Information Security, negli ultimi 10 anni: il worm Stuxnet, l’attacco al Nasdaq, l’hack ad RSA, l’attacco a Comodo CA/RA, l’attacco a Sony…e’ successo di tutto. E questo, probabilmente, e’ solo la classica punta dell’iceberg. Quindi, di novità’ nel nostro settore, purtroppo, ne abbiamo anche troppe!
Negli ultimi giorni ha destato scalpore l’attacco alla Sony, anche giocare è diventato pericoloso?
Il motivo e’ semplice: il gioco, da solitario e mono-utente, e’ divenuto multiuser ed online. Online significa, giocoforza, un’ID, una password, a cui sono collegate identità’ reali: nome, cognome, indirizzo, email, telefono, età’, carta di credito (per l’acquisto di servizi legati al videogame).
Quindi la risposta e’ si: anche giocare sta diventando pericoloso.
Si riscontra una crescita esponenziale delle minacce per le piattaforme mobili, quale è la reale situazione?
Ad oggi il totale del malware presente per piattaforme mobili e’ pari a circa 600: c’e’ stata una crescita davvero esponenziale. A mio parere, la situazione può solo peggiorare, dato soprattutto il “modello di sicurezza” proprio delle Apps, che praticamente non esiste, se non per disclaimer dal punto di vista legale: ovviamente, non e’ sufficiente.
In Italia siamo più o meno sicuri? E se no perchè?
Non reputo totalmente veritiere le cifre che, spesso, figurano nei report stilati, guarda caso, dai Vendor di soluzioni anti-virus & co. L’Italia non e’ in una bellissima posizione, ma nemmeno in una situazione tragica. Certo, fa pensare e riflettere, quando importati siti della PA, delle Poste e così via, sono vittime di defacement, e nei comunicati stampa viene risposto “succede a tutti”.
Non deve succedere, punto e basta.
Uno dei problemi dell’Italia e’ l’ancora non sufficiente sensibilizzazione delle persone: leggo ogni giorno di gente che accetta, molto stupidamente, fantomatiche offerte di lavoro dalla Russia, che altro non sono se non il reclutamento di “e-mules” per azioni di riciclaggio di denaro, frutto di frodi informatiche, attacchi di phishing, etc.
Bisogna istruire, educare le persone, iniziando dalle scuole e dai più giovani.
Infine, questa “febbre di Facebook”, specialmente verso i più giovani, mi preoccupa non poco.
Le aziende secondo te hanno davvero capito i rischi a cui vanno incontro?
No. O almeno, in minima parte, in piccola percentuale. In Italia spesso sento dire: “non e’ ancora successo: perchè dovremmo preoccuparci?”. Se non sbaglio, lo si diceva anche dell’Egitto, della Lybia, della Syria, della Tunisia…eppure e’ successo.
Il futuro è sulla “nuvola”, ciò aumenterà o meno i rischi?
A mio parere li aumenterà. Anche qui, il concetto e’ semplice: se ad un attacker costa X (in termini di tempo e risorse) attaccare 100 aziende, un domani lo sforzo sarà bene o male di X, ma in “un colpo solo” ne avrà attaccate 100 o 1000.
E non voglio sentirmi rispondere “ma le mega-aziende che fanno cloud sono sicure”: tutti sono “sicuri”, tutti hanno grandi società di consulenza, e poi vediamo azioni eclatanti e terribilmente impattanti, come l’hack ad HBGary (maggior contractor della Defense ed Intelligence USA) o quello al network di Sony (incluso l’Entertaiment Network).
Che dire… utilizziamo il cervello ed il buon senso, e scordiamoci di pensare di essere un passo avanti ai “bad guys”: cosi’ non e’. Purtroppo.
—–
Raoul “Nobody” Chiesa è nato a Torino nel 1973. Dopo essere stato tra i primi hackers italiani a cavallo tra gli anni ’80 e ’90 (1986-1995), Raoul decide nel 1997 di muoversi verso l’Information Security professionale: fonda @ Mediaservice.net Srl, un’azienda di security consulting vendor-neutral con sedi a Torino e Roma.
L’azienda, molto nota a livello europeo, opera internazionalmente e rappresenta dal 2003 la Training & Certification Authority per l’ISECOM (Institute for Security and Open Methodologies, USA) e le certificazioni professionali OPST, OPSA, OPSE ed OWSE.
Raoul è un socio fondatore del CLUSIT – l’Associazione Italiana per la Sicurezza Informatica – ed e’ membro del Comitato Direttivo dell’ISECOM, CLUSIT, OWASP Italian Chapter, Osservatorio Italiano Privacy (AIP/OPSI).
Con il suo security team, Raoul si interessa di tematiche quali le reti X.25 ed a commutazione di pacchetto, la Sicurezza in ambito VoIP, la Malware Analysis, il Social Engineering, il mondo SCADA e l’automazione industriale, la Domotica, le comunicazioni Satellitari, la Mobile Security, le minacce in ambienti SS7 e molto altro.
Infine, dal 2003 Raoul ha iniziato la sua collaborazione con l’agenzia delle Nazioni Unite “UNICRI” (United Nations Interregional Crime and Justice Research Institute), lavorando al progetto “HPP”, l’Hackers Profiling Project portato avanti dall’ISECOM e dall’UNICRI; nel 2005 è stato ufficialmente riconosciuto dal Direttore dell’UNICRI, Dr. Sandro Calvani, come consulente sul cyber crime.
