Negligenza è la parola appropriata per definire l’atteggiamento delle aziende che subiscono attacchi cyber con conseguente furto di dati da loro custoditi. Ma andiamo per ordine: la considerazione arriva dai dati collezionati dal team Digital Footprint Intelligence di Kaspersky relativi al 2022. Nel periodo in esame gli esperti hanno monitorato i post sul darknet che offrivano l’accesso ad aziende, la vendita di database o account compromessi e altri incidenti critici, notificandoli alle vittime.

A riceve le notifiche sono state complessivamente 258 aziende a livello globale, di cui oltre il 25% erano realtà europee. Sul totale, il 42% si è rivelato privo di un responsabile specifico per gli incidenti informatici. Il 28% ha mostrato indifferenza e il 2% ha addirittura negato gli incidenti, in palese violazione della normativa GDPR. Il rovescio della medaglia è che il 22% ha risposto in modo appropriato, acquisendo le informazioni e affrontando i rischi, mentre il 6% ha effettuato un monitoraggio e un rilevamento proattivo, indicando di essere già a conoscenza dell’incidente.

Le segnalazioni si riferivano a proposte di vendita di database, compromissioni di infrastrutture o ransomware, e per evitare accessi non autorizzati all’infrastruttura delle aziende vittime, i dati compromessi non sono stati verificati in alcun modo. Resta il fatto che la tendenza a nascondere gli attacchi segnala impreparazione, mancanza di volontà e in definitiva negligenza delle vittime aziendali quando si tratta di incidenti legati alle fughe di dati.

Regioni e Paesi per numero di incidenti segnalati nel 2022

Sebbene la denuncia di un cyber attacco sia obbligatoria in Europa, Kaspersky è solo l’ultimo in ordine di tempo a segnalare che le aziende tendono a nascondere gli incidenti cyber con furto di dati per evitare danni di immagine e multe per il mancato rispetto delle politiche di conservazione dei dati. Lo stesso Clusit alla presentazione del proprio report ogni anno fa notare che gli incidenti conteggiati sono solo una minima parte del totale.

A conti fatti, le aziende vittime di attacchi che reagiscono nella maniera corretta sono solo un terzo, quindi una netta minoranza. È la dimostrazione lampante del fatto che c’è ancora molto lavoro da fare sulla cultura della cyber security e sulla gestione di avvenimenti il cui verificarsi non è una eventualità ma una certezza. Perché, come noto, non è questione di “se” si verrà attaccanti, ma di “quando”.