Misure di sicurezza per i sistemi eCommerce: cosa dice il DGPR Europeo
Le misure di sicurezza nell’ambito di sistemi di eCommerce hanno una rilevanza strategica innanzitutto da un punto di vista di puro business: sicurezza è qualità di servizio offerto, di conseguenza fiducia e fidelizzazione da parte del cliente finale.
Un portale percepito come non sicuro è un portale su cui non si acquista, in breve.
In secondo luogo, tali misure sono fondamentali anche per le responsabilità non marginali introdotte dal DGPR – il nuovo Regolamento Europeo in materia di protezione dei dati personali.
L’imprenditore ed unico titolare dei dati trattati è tenuto infatti a:
- definire preventivamente tutte le misure di sicurezza che verranno adottare per dissuadere ed impedire l’uso e la diffusione impropria di dati personali.
- rispettare i principi della privacy, ad esempio con l’anonimizzazione, minimizzazione e cancellazione dei dati e con l’utilizzo di reti di telecomunicazione criptate e procedendo laddove necesssario coi dovuti "penetration test" per tenere monitorata la robustezza del sistema.
- valutare -evidentemente con il supporto di consulenti esperti- gli eventuali livelli di rischio delle soluzioni implementate, dei server aziendali interni (o di quelli di terze parti in otusourcing) e gli strumenti atti a mettere il sistema nella massima ragionevole sicurezza.
- Tenere sempre presenti le 3 fondamentali leggi della sicurezza: riservatezza, integrità e rintracciabilità dei dati.
Le minacce hacker più comuni per gli eCommerce
E’ fisiologico che con l’avanzare delle soluzioni tecnologiche e la loro diffusione si aprano nuove frontiere di penetrabilità ed in particolare sui siti eCommerce, purtroppo spesso sviluppati con livelli di sicurezza medio-bassi, che li rendono oggetto di cyber attacchi più efficaci.
E perché? Semplicemente perché è più facile rubare o sottrarre dati personali da un flusso di pagamento su un eCommerce non adeguatamente protetto piuttosto che su un applicativo bancario, tipicamente sviluppato con una forte attenzione agli aspetti di security e data protection.
Tra le tecniche di attacco più diffuse sulle piattaforme di eCommerce troviamo:
- Cross-site scripting: l’hacker introduce codice “infetto” laddove riesce a trovare “back doors”, ovvero porte di servizio penetrabili. Con tale codice riesce a rubare dati personali per dare avvio a campagne di phishing oppure a impersonare l’utente stesso. A procedere con pagamenti non autorizzati.
- SQL Injection: l’hacker introduce codice malevolo direttamente del Data Base dell’applicativo e ne sottrae direttamente i dati o, laddove non ci riesca, crea un account “admin” per riuscire ad ottenerne il controllo.
- Phishing: tecnica ormai nota e diffusa da tempo ma ancora capace di creare ingenti danni.
L’utente riceve mail con richiesta di collegarsi al proprio account per procedere all’acquisto o all’ordine aprendo letteralmente la porta al malware. Sono comunicazioni spesso facili da riconoscere perché spesso sgrammaticate o con indirizzi che puntano a url sospette che dovrebbero immediatamente destare sospetto e allarme. Nonostante sia da tempo noto e oggetto di contro-campagne d’informazione, il fenomeno del phishing risulta ancora oggi tra le maggiori cause di danni da attacco informatico.
- DDoS – Distributed Denial of Service: l’hacker satura il sistema con richieste estremamente massive e simultanee da IP diversi, per causarne il blocco
- Bad Bot: sono cugini dei “buoni” bot con i quali ad esempio Google riesce ad individuare le pagine del tuo sito per per posizionarlo all’interno del proprio motore di ricerca. La loro versione ”cattiva” opera recuperando dati e informazioni riguardanti prezzi, disponibilità di magazzino o account di persone reali.
- MITM – ovvero il Man In The Middle: diffuso soprattutto in seno a reti wifi aperte e non sicure all’interno del quale l’utente si collega al proprio account mentre i suoi dati vengono facilmente crittografati.
- Malware: il virus classico, ne esistono di ogni specie e scopo. Tra i più diffusi i Trojans capaci d’impossessarsi dei dati di pagamento.
Quanto sopra elencato è elenco generale di quelle che sono le tecniche di attacco alla sicurezza più diffuse soprattutto in ambito di applicativi eCommerce.
La migliore arma di difesa -come sempre- è la conoscenza, la consapevolezza.
Una volta che la minaccia è nota, possiamo infatti agire di conseguenza per impostare strategie di protezione.
Nella prossima “puntata” di questa mini-serie dedicata alla sicurezza dell’eCommerce vedremo appunto le tecniche e le linee guida raccomandate per la messa in sicurezza del proprio shop online: non perdetevela ;).
