Yarix Security Team - News

Appronfondimenti dal nostro Team di Security su due recenti notizie:

Allarme Cryptolocker: attenzione a false email provenienti da SDA.
Biometria: nuovo provvedimento dal Garante per la Privacy.

Allarme Cryptolocker: attenzione a false email provenienti da SDA

Una nuova ondata di ransomware si sta diffondendo nelle ultime ore, attraverso una falsa email che riproduce fedelmente quelle inviate dal noto corriere SDA per gestire il tracking delle spedizioni.
Queste email malevoli, particolarmente ingannevoli perché ricalcano fedelmente la grafica del corriere e utilizzano indirizzi simili a quelli legittimi di SDA, contengono un link di download che rimanda a normali servizi e spinge l'utente a cliccare.

Così facendo si scarica in realtà un malware capace di criptare i dati del disco fisso e di tutte le condivisioni di rete nella disponibilità dell'utente.
Il ransomware prende dunque in ostaggio i file,  rendendoli inaccessibili e chiedendo un riscatto per sbloccarli.
Antivirus non aggiornati o di fascia bassa non sempre sono in grado di riconoscere la minaccia, celata anche come plugin del sito stesso da installare in aggiunta al browser.

Per proteggersi è fondamentale un efficiente sistema di antispam e di antivirus, in grado di riconoscere URL note come distributrici di codice malevolo, così da bloccare le email che le contengono al loro interno, prima ancora che arrivino all'utente finale. E’ inoltre di fondamentale importanza il corretto funzionamento del backup, così da avere una copia dei dati su un supporto disconnesso e non raggiungibile dal ransomware.

BIOMETRIA: Nuovo provvedimento del Garante per la Privacy

Il Garante della Privacy ha pubblicato il 26 novembre 2014 un Provvedimento Generale contenente misure e accorgimenti di carattere tecnico, organizzativo e procedurale per una corretta gestione da parte di aziende ed Enti pubblici dei dati biometrici, semplificando alcuni adempimenti.
L’intervento del Garante fa seguito alla consultazione pubblica conclusasi la scorsa estate sul tema dell’utilizzo della biometria, stante la crescente diffusione di dispositivi biometrici, anche incorporati in prodotti elettronici a basso costo e di largo consumo quali personal computer e telefoni cellulari.I punti cardine del provvedimento sono essenzialmente tre:

  1. Autenticazione informatica: l’impronta digitale può essere utilizzata come credenziale di autenticazione (ai sensi dei disposti dell’Allegato B regola 2 del Testo Unico)  per l’accesso degli incaricati a banche dati e sistemi informatici. Tale trattamento può essere effettuato anche senza il consenso dell’utente, in presenza di idonee informative da parte del Titolare di trattamento. Rimane in vigore l’obbligo di notificazione al Garante per le categorie di soggetti non escluse da tale procedura, che verrà modificata (e ulteriormente semplificata se non abolita) dall’ormai prossimo Regolamento Europeo sulla Privacy.Il Garante ha individuato alcune tipologie di trattamento (fra cui alcuni dei più diffusi sistemi di accesso informatico mediante impronte digitali) che presentano un livello ridotto di rischio e non necessitano più della verifica preliminare dell’Autorità ai sensi dell’art. 17 del Testo Unico D.lgs. 196/2003. Il risparmio in termini di economici e di tempistica necessaria per l’approvazione di un progetto in questo settore è evidente. 
  2. Data Breach: viene introdotto un obbligo di comunicazione al Garante entro 24 ore dalla scoperta delle violazioni sui sistemi biometrici (cancellazione, furto, accesso non autorizzato ecc), mediante un modulo che sarà la base per le future denunce previste dal nuovo Regolamento Europeo e quindi piuttosto composito nella strutturazione. 
  3. BYOD: una sensibilizzazione, citando le linee guida dell’Enisa (European Union Agency for Network and Information Security), quanto mai opportuna ed attuale, sull’utilizzo di dispositivi personali all’interno delle organizzazioni. Il passaggio <> è uno dei messaggi più chiari da trasmettere ad aziende ed Enti che si chiedono come integrare questi dispositivi in modo sicuro nelle proprie infrastrutture informatiche.
Vedi anche: