Nell’agosto del 2012, un giornalista di Wired di nome Mat Honan perse la sua intera vita digitale in meno di un’ora. L’attacco non si avvalse di alcun malware. Gli aggressori non indovinarono la sua password, né ricorsero al phishing. Si limitarono ad alzare il telefono.

Chiamarono Amazon. Poi chiamarono Apple. Nel momento in cui il MacBook di Honan terminò il ripristino alle impostazioni di fabbrica sotto i suoi stessi occhi, otto anni di posta su Gmail erano ormai svaniti. Le uniche copie delle prime fotografie di sua figlia andarono perdute con la cancellazione dei dati.

Gli aggressori volevano il suo nome utente su Twitter. Era composto da sole tre lettere.

Il dettaglio degno di nota in questa vicenda non risiede nell’astuzia degli aggressori, poiché l’attacco in sé non aveva nulla di geniale. Ciò che conta davvero è che ogni singolo passaggio della catena corrispondeva alla procedura ufficiale e documentata. La verifica dell’identità di Amazon funzionò esattamente come previsto. Lo stesso valse per Apple e per il processo di recupero della password di Google, il quale mostrò una porzione sufficiente dell’indirizzo email di recupero iCloud di Honan da suggerire agli aggressori chi chiamare subito dopo. Honan non aveva commesso un solo errore: aveva utilizzato ogni sistema nel modo in cui era stato concepito per essere usato.

I sistemi erano stati costruiti in modo tale che il loro utilizzo corretto producesse proprio questo risultato.

È proprio a questo aspetto che la maggior parte dei consigli sulla sicurezza non riesce ad arrivare.

La classica lista di controlli non sarebbe servita a nulla

Se qualcuno avesse fatto sedere Honan prima dell’attacco per chiedergli cosa avrebbe dovuto fare diversamente, egli avrebbe saputo snocciolare una lista di controlli di sicurezza più che accettabile. Usare password complesse. Non riutilizzarle. Diffidare delle email sospette. Fare il backup dei dati. Conosceva bene l’elenco e, con ogni probabilità, ne aveva persino scritto delle parti in prima persona.

Quella lista non sarebbe servita a nulla, dal momento che nessuna di quelle difese rappresentava l’anello debole. Il vero punto di rottura risiedeva nel fatto che qualsiasi adulto munito di telefono e di una sufficiente determinazione poteva concatenare i servizi di assistenza clienti di tre aziende diverse e uscirne con le chiavi della vita di uno sconosciuto. Nessuna voce di un elenco di buone pratiche affronta una simile eventualità. Non in modo diretto e non in tempo utile.

Ho trascorso oltre vent’anni all’interno di aziende di software e del settore crypto, osservando cosa fanno realmente gli aggressori e quali difese si dimostrano efficaci. La storia di Honan non è un’eccezione: rappresenta la forma quotidiana del problema, ridotta alla scala di un singolo individuo. Lo stesso schema si ripete a livello del consiglio di amministrazione di un’azienda della Fortune 500, di una piccola startup, di un wallet in self-custody, di un laboratorio di ricerca o di una famiglia.

La maggior parte dei consigli sulla sicurezza si concentra sul soggetto sbagliato

In genere, le raccomandazioni sulla sicurezza presumono che l’utente sia la componente attiva. Si richiede vigilanza, attenzione, capacità di giudizio, complessità delle password, diffidenza verso i link. L’utente è in guardia, mentre i sistemi sono passivi. L’assunto è che mantenere l’allerta garantisca l’incolumità.

Gli attacchi reali non funzionano in questo modo. Sfruttano invece il comportamento predefinito dei sistemi: il flusso standard previsto dal copione del servizio clienti, l’opzione di default in un menu a tendina, la fiducia accordata per impostazione predefinita all’indirizzo di un mittente, lo schema consueto con cui viene verificata l’identità. Raramente l’utente è la componente attiva; lo è il sistema. L’utente agisce con il pilota automatico, così come l’aggressore, e l’unica vera incognita è quale dei due copioni stia guidando quel pilota automatico.

In questo ambito, esistono quattro concetti che assorbono enormi quantità di attenzione e di denaro, producendo al contempo pochissima sicurezza.

La conformità, ovvero la convinzione che rispettare le regole renda sicuri. Nel 2017, quando perse i dati personali di circa 147 milioni di americani, Equifax era un’azienda conforme alle normative e regolarmente sottoposta a controlli.

I prodotti, ossia l’illusione che acquistare gli strumenti giusti sia garanzia di protezione. Nel 2022, al momento di subire una violazione, Twilio disponeva di autenticazione a più fattori e di programmi di formazione sulla sicurezza. Cloudflare, colpita dalla stessa campagna di phishing nella medesima settimana, non venne violata. L’etichetta dell’autenticazione a più fattori accomunava entrambe le aziende, ma il meccanismo che vi operava all’interno era profondamente diverso.

La paranoia, cioè il credere che restare vigili assicuri l’incolumità. La vigilanza ha un’emivita che il calendario è destinato a esaurire. Agli aggressori non serve che la vittima sia perennemente distratta: basta che abbassi la guardia una sola volta.

L’esperienza, vale a dire la certezza che possedere conoscenze adeguate eviti i pericoli. Mat Honan era un esperto, così come lo sono la maggior parte delle persone che subiscono un attacco.

Cosa rimane

Una volta sottratti questi quattro elementi, ciò che resta è una sola parola, capace di abbracciare un concetto molto ampio.

Le impostazioni predefinite.

Nello specifico: impostazioni predefinite progettate in modo tale che il risultato sicuro sia quello che si verifica quando nessuno presta attenzione. Una chiave di sicurezza hardware su un account Google costituisce un’impostazione predefinita. Una volta configurata, un sito di phishing non può raccogliere un secondo fattore utilizzabile, a prescindere da quanto la pagina sia convincente o dalla stanchezza di chi clicca. Il risultato sicuro non si conquista attraverso la vigilanza a ogni singolo accesso, ma si installa una volta sola. Da quel momento in poi, rappresenta la base minima di sicurezza.

La stessa logica si può generalizzare. Un hardware wallet configurato correttamente fa sì che un aggressore remoto, pur avendo il controllo totale del computer, non possa comunque trasferire i fondi. Un conto separato per i pagamenti, aperto presso una banca diversa da quella del conto corrente principale, garantisce che il furto di un set di credenziali tramite phishing non comprometta l’altro. Non si tratta di atti eroici, bensì di decisioni di configurazione prese una volta per tutte con l’intento di cambiare ciò che accadrà la prossima volta che si abbasserà la guardia.

Col senno di poi, il caso di Honan si inserisce perfettamente in questo schema. La catena che ha distrutto la sua vita digitale aveva quattro anelli, di cui almeno tre si sarebbero potuti spezzare grazie a impostazioni predefinite che erano già a sua disposizione. Google aveva lanciato la 2-Step Verification nel 2011, l’anno precedente; attivarla avrebbe interrotto l’attacco fin dal primo passaggio. Usare una carta di credito per Amazon diversa da quella per Apple lo avrebbe fermato a metà dell’opera. Un backup su Time Machine inaccessibile da iCloud avrebbe salvato le fotografie. Nessuna di queste configurazioni gli richiedeva di essere più intelligente o più scettico di quanto non fosse già. Erano semplicemente decisioni di configurazione che, di fatto, non aveva preso.

È proprio su questa differenza che si concentra il libro che sto scrivendo. Non su cosa fare durante un attacco, ma su cosa predisporre prima che si verifichi.

Il titolo provvisorio è Safe by Default. Il testo estende questo ragionamento alla sicurezza personale, alla finanza, alla self-custody e alle organizzazioni che si fondano o in cui si lavora. Analizza i principali schemi di attacco tratti dai casi di dominio pubblico e da vent’anni di esperienza personale, mostrando quali impostazioni predefinite siano in grado di bloccare determinati attacchi. Inoltre, valuta con onestà il costo di ciascuna misura, perché ogni configurazione ne comporta uno.

La tesi, riassunta in una frase, è la seguente: rendere sicure le proprie impostazioni predefinite, in un mondo in cui gli aggressori contano sul fatto che siano soltanto comode.

Per ricevere una notifica quando il libro sarà pubblicato, il punto di riferimento è la home page di questo sito.