Ho visto un'azienda di medie dimensioni, con quaranta dipendenti e un fatturato solido, rischiare il collasso in meno di ventiquattro ore perché il responsabile IT aveva lasciato un documento PDF nel server condiviso nominato Esempio di Username e Password per istruire i nuovi assunti. Un consulente esterno, entrato legalmente nella rete per una manutenzione ordinaria, ha trovato il file in tre secondi. Non conteneva credenziali vere, ma forniva lo schema esatto della logica di generazione delle identità aziendali: inizale del nome, punto, cognome, seguita dall'anno di assunzione e un punto esclamativo. In un pomeriggio, quel consulente ha dimostrato che avrebbe potuto accedere all'ottanta percento delle caselle email della dirigenza. Questo errore non è un caso isolato. Succede ogni volta che qualcuno pensa che la sicurezza sia una questione di pigrizia mascherata da semplicità.
L'illusione della leggibilità umana a scapito della sicurezza
L'errore più frequente che incontro nelle aziende italiane riguarda la convinzione che un'identità digitale debba essere facile da ricordare a voce. Ho visto amministratori di sistema creare schemi rigidi per i nuovi dipendenti, pensando di facilitare il lavoro alle risorse umane. Se il tuo schema interno prevede che ogni utente riceva una combinazione prevedibile basata su dati pubblici come la data di nascita o il codice fiscale, hai già perso. I criminali informatici non tirano a indovinare; usano script che combinano i dati trovati su LinkedIn per generare migliaia di tentativi al secondo.
La soluzione non è fornire un modello predefinito ai dipendenti. Al contrario, bisogna forzare l'uso di password generate casualmente che non abbiano alcun legame logico con l'identità della persona. Non serve a nulla avere un firewall da diecimila euro se la chiave d'ingresso è "Mario.1985!". La resistenza dei dipendenti a questa complessità è reale, ma la soluzione sta nell'adozione di un gestore di credenziali centralizzato, non nell'abbassamento degli standard.
Perché un Esempio di Username e Password statico è un invito al disastro
Molti manuali operativi includono un capitolo dedicato alla configurazione iniziale dove appare un Esempio di Username e Password chiaramente visibile. Questo approccio crea un pericoloso precedente psicologico. Se mostri a un utente che "User123" e "Password2024" sono punti di partenza accettabili, l'utente medio tenderà a produrre una variazione minima di quello schema. Ho analizzato database violati dove metà degli utenti aveva semplicemente aggiunto una cifra alla fine della parola suggerita dal manuale.
Il fallimento della logica sequenziale
Quando si usano nomi utente sequenziali come "admin1", "admin2", si sta regalando metà del lavoro a chiunque voglia tentare un attacco brute force. Conoscere lo username è metà della battaglia. Se il tuo sistema permette di identificare facilmente chi ha privilegi elevati solo guardando il nome utente, stai esponendo i tuoi asset più critici. La soluzione pratica è l'offuscamento: i nomi utente non dovrebbero riflettere il ruolo gerarchico in modo palese. Un utente con permessi di scrittura sul database non dovrebbe chiamarsi "db_admin", ma avere un identificativo alfanumerico che non riveli nulla a un osservatore esterno.
Il mito della scadenza obbligatoria ogni trenta giorni
Per anni, la sicurezza informatica ha insegnato che cambiare le chiavi di accesso ogni mese fosse la pratica migliore. La realtà che ho osservato sul campo è opposta. Quando costringi una persona a cambiare stringa dodici volte l'anno, quella persona smetterà di creare combinazioni complesse. Comincerà a usare "Estate2024", poi "Autunno2024", poi "Inverno2024". Questo pattern è così comune che i software di cracking lo testano per primi.
Le linee guida del NIST (National Institute of Standards and Technology) hanno cambiato rotta da tempo, suggerendo di eliminare le scadenze periodiche a meno che non ci sia prova di una violazione. È molto più sicuro avere una frase lunga e complessa che dura un anno piuttosto che dodici codici deboli cambiati mensilmente. Se vuoi davvero proteggere l'azienda, smetti di torturare i dipendenti con scadenze inutili e investi quel tempo nell'implementazione dell'autenticazione a più fattori (MFA). Senza il secondo fattore, qualsiasi stringa di testo, per quanto lunga, è un punto di vulnerabilità unico.
Confronto reale tra gestione amatoriale e professionale
Per capire quanto pesi questo approccio, guardiamo come cambia la gestione di un nuovo account in due scenari diversi.
Nello scenario sbagliato, l'ufficio IT invia una mail al nuovo assunto dicendo: "Benvenuto, il tuo account è m.rossi e la tua chiave provvisoria è Benvenuto2024. Ti preghiamo di cambiarla al primo accesso". Il dipendente, che ha fretta di iniziare, accede e cambia la chiave in "Rossi2024!". Il sistema accetta perché ci sono maiuscole, minuscole e un carattere speciale. Risultato: chiunque conosca il cognome del dipendente e l'anno in corso può entrare nel suo profilo in meno di dieci tentativi manuali.
Nello scenario corretto, il processo è automatizzato. Il dipendente riceve un link univoco a scadenza rapida (15 minuti) via SMS o su una mail privata verificata. Il link porta a un portale dove deve configurare subito l'app di autenticazione sul telefono. Il sistema non gli permette di inserire una frase che contenga il suo nome, il suo cognome o il nome dell'azienda. Gli viene chiesto di creare una "passphrase" di almeno sedici caratteri, come "IlMioGattoVerdeCorreSullaSabbia!". Questa frase è facile da ricordare per l'umano, ma richiede secoli per essere forzata da un computer. Non c'è alcun suggerimento predefinito, nessuna parola d'ordine iniziale comunicata in chiaro.
L'errore del recupero credenziali basato su domande personali
Ho visto account blindati venire scardinati attraverso la funzione "Password dimenticata". Le classiche domande sul nome del cane o sulla città di nascita sono un colabrodo. In Italia, con la quantità di dati che condividiamo sui social, scoprire il nome della scuola elementare di un dirigente richiede cinque minuti di ricerca su Facebook o Instagram.
Se permetti il recupero tramite domande di sicurezza, stai di fatto annullando ogni sforzo fatto per creare un Esempio di Username e Password sicuro. La soluzione professionale prevede che il recupero avvenga solo tramite canali fuori banda (out-of-band), come un token hardware fisico o una notifica push su un dispositivo precedentemente autorizzato. Se l'utente perde tutto, deve esserci un intervento manuale di un amministratore che verifichi l'identità di persona o tramite videochiamata. La comodità del "fai da te" nel recupero credenziali è il miglior amico di un attaccante.
Sottovalutare l'importanza dei permessi minimi
Un altro errore che costa carissimo è assegnare a ogni utente i privilegi di amministratore sul proprio computer locale. Ho visto intere reti aziendali criptate da un ransomware perché un impiegato del settore acquisti aveva cliccato su un allegato malevolo. Poiché il suo utente aveva pieni poteri, il virus ha potuto installarsi nel kernel del sistema e propagarsi ai server.
Il principio del "minimo privilegio" dice che un utente deve avere solo i permessi necessari a svolgere il suo compito specifico. Se scrivi fatture, non hai bisogno di installare driver o modificare il registro di sistema. Separare l'utente di lavoro quotidiano dall'utente amministratore (da usare solo per le modifiche tecniche) riduce l'impatto di un errore umano dell'ottanta percento. È una seccatura tecnica all'inizio, ma salva l'azienda dal fallimento in caso di attacco.
Controllo della realtà
Smettiamola di raccontarci favole: la sicurezza assoluta non esiste e la comodità è il nemico numero uno della protezione. Se la tua gestione delle identità digitali è facile, veloce e non richiede sforzo da parte dei dipendenti, allora quasi certamente non è sicura. Non puoi fidarti del buon senso delle persone perché il buon senso non ferma un software automatizzato che esegue milioni di tentativi al minuto da un server in un altro continente.
Sistemare questi errori costa tempo e genera lamentele interne. I dipendenti odieranno l'autenticazione a due fattori per la prima settimana. I manager si lamenteranno di non poter usare il nome dei propri figli come chiave di accesso. Ma il costo di un blocco operativo totale o della sottrazione dei dati dei clienti è infinitamente superiore a qualche minuto di frustrazione quotidiana. Se non sei disposto a imporre regole rigide e a eliminare ogni automatismo prevedibile, stai solo aspettando il tuo turno per finire nei titoli dei giornali per una violazione dei dati. La sicurezza non è un prodotto che compri, è un processo noioso e costante che devi avere il coraggio di mantenere.
