Cos'è una vulnerabilità informatica, spiegato a chi non è tecnico

Nelle notizie di sicurezza informatica la parola ricorre spesso: "scoperta una grave vulnerabilità", "falla sfruttata dagli attaccanti", "aggiornamento urgente". Ma cosa significa, in concreto, per chi lavora in un ufficio e non si occupa di tecnologia?

Una finestra socchiusa

Immagina un edificio con porte blindate, allarmi e telecamere. Ora immagina che una finestra del seminterrato non si chiuda bene, per un difetto di costruzione che nessuno ha notato. Finché nessuno lo sa, non succede niente. Quando qualcuno se ne accorge, quella finestra diventa il modo più semplice per entrare, senza dover forzare nulla.

Una vulnerabilità informatica è esattamente questo: un difetto in un programma, in un dispositivo o in una configurazione che permette a qualcuno di fare ciò che non dovrebbe. Leggere dati riservati, prendere il controllo di un computer, bloccare un servizio, rubare credenziali.

Da dove nascono

I programmi sono scritti da persone, e contengono milioni di righe di codice. Gli errori sono inevitabili. Alcune vulnerabilità nascono da sviste nella programmazione, altre da impostazioni sbagliate, come una cartella condivisa aperta a tutti o una password predefinita mai cambiata. Altre ancora dipendono da componenti usati da migliaia di prodotti diversi: un singolo difetto in uno di questi può riguardare moltissime organizzazioni contemporaneamente.

Non tutte le vulnerabilità sono tecniche. Anche un'abitudine può diventarlo: la password riutilizzata, la porta dell'archivio lasciata aperta, la fretta che fa cliccare su un link senza guardare.

Il ciclo di vita di una falla

Quando un ricercatore o un'azienda scopre una vulnerabilità, di solito la segnala al produttore, che prepara una correzione, la cosiddetta patch. Poi la falla viene resa pubblica, spesso con un codice identificativo che inizia con "CVE" e un punteggio di gravità.

Da quel momento parte una corsa. Da una parte le organizzazioni che devono installare l'aggiornamento; dall'altra i criminali che studiano la correzione per capire come sfruttare il difetto su chi non ha ancora aggiornato. Per le vulnerabilità più gravi, gli attacchi possono iniziare nel giro di pochi giorni, a volte di poche ore.

Esistono poi le vulnerabilità chiamate zero-day: falle sfruttate dagli attaccanti prima che il produttore abbia una correzione pronta. Sono più rare e difficili da prevenire, ed è proprio per questo che contano anche le altre difese.

Cosa puoi fare tu

Le vulnerabilità si gestiscono soprattutto a livello tecnico, ma chi lavora in ufficio ha un ruolo concreto.

Non rimandare gli aggiornamenti. Quando il computer o il telefono propongono un aggiornamento, accettalo appena possibile. Il riavvio rimandato per settimane è una finestra lasciata aperta.

Non usare software abbandonato. Un programma che il produttore non aggiorna più non riceverà correzioni per le nuove falle. Se usi strumenti molto vecchi, segnalalo: l'assistenza informatica potrebbe non saperlo.

Non installare programmi da solo. Ogni software aggiunto è una porta in più da tenere chiusa. Chiedi prima di installare.

Segnala le anomalie. Rallentamenti improvvisi, finestre che si aprono da sole, impostazioni cambiate senza motivo: possono essere segnali che qualcuno ha sfruttato una falla. Meglio una segnalazione in più che una in meno.

Perché ne parliamo

Capire cos'è una vulnerabilità aiuta a vedere gli aggiornamenti e le regole sui programmi per quello che sono: non fastidi burocratici, ma il modo più semplice per chiudere le finestre prima che qualcuno provi a entrare.