Le TPE, PMI e ETI rappresentano ormai il 48 % delle vittime di ransomware identificate dall’ANSSI, contro il 37 % dell’anno precedente. Questo progresso colloca queste strutture in prima linea, lontano da enti locali o strutture sanitarie. Tre tipi di vulnerabilità web si ripetono nella maggior parte degli incidenti documentati, e la loro correzione non richiede un budget eccessivo.
Vulnerabilità web delle PMI: panoramica numerica dei vettori di attacco
I rapporti pubblici consentono di gerarchizzare le vulnerabilità realmente sfruttate. La tabella sottostante sintetizza le tre vulnerabilità web più frequenti negli incidenti che colpiscono le piccole e medie imprese, incrociando i dati disponibili.
| Tipo di vulnerabilità | Vettore comune | Conseguenza tipica | Livello di correzione |
|---|---|---|---|
| CMS e componenti di terze parti non patchati | Plugin WordPress obsoleto, libreria JavaScript vulnerabile | Iniezione di codice, reindirizzamento a sito malevolo | Aggiornamento regolare (gratuito) |
| Portale di accesso esposto senza MFA | Interfaccia di amministrazione accessibile, VPN senza doppia autenticazione | Compromissione dell’account, movimento laterale | Attivazione MFA (costo ridotto) |
| Comunicazioni non crittografate | Moduli in HTTP, trasferimenti di dati in chiaro | Intercettazione dei dati dei clienti, furto di credenziali | Certificato TLS (spesso gratuito) |
Ciò che emerge da questo confronto: le vulnerabilità più sfruttate sono anche le meno costose da correggere. Il divario tra la semplicità delle correzioni e la gravità delle conseguenze spiega perché gli attaccanti continuano a prendere di mira le PMI.
Un’analisi dettagliata della protezione web delle PMI secondo Viruslab conferma che queste tre categorie concentrano l’enorme maggioranza degli incidenti osservati sui siti professionali di piccole dimensioni.
CMS non aggiornati: la vulnerabilità web che le PMI correggono troppo tardi
Il catalogo CISA KEV, che elenca le vulnerabilità attivamente sfruttate in condizioni reali, include regolarmente vulnerabilità legate a CMS o alle loro estensioni. Un plugin WordPress abbandonato dal suo sviluppatore, una versione di Joomla che non ha ricevuto patch da diversi mesi: queste situazioni creano porte d’ingresso permanenti.
Il problema non si limita al CMS stesso. Le librerie JavaScript integrate nei temi o nei moduli di terze parti accumulano vulnerabilità che passano sotto il radar. Una PMI che gestisce il proprio sito senza un fornitore tecnico dedicato di solito non monitora queste dipendenze.
Prioritizzare le correzioni in base al rischio reale
Tutti gli aggiornamenti non sono uguali. Le correzioni relative a vulnerabilità già sfruttate in condizioni reali sono prioritarie rispetto agli aggiornamenti di comfort o di interfaccia. Le liste di vulnerabilità attivamente sfruttate, come quella mantenuta dalla CISA, consentono di fare selezione.
- Controllare ogni settimana se le estensioni installate figurano nelle allerte di sicurezza pubblicate dall’editore del CMS
- Rimuovere qualsiasi plugin inattivo o non mantenuto da più di sei mesi, anche se sembra funzionante
- Automatizzare gli aggiornamenti minori di sicurezza per ridurre il tempo tra la pubblicazione della patch e l’applicazione
Questa disciplina di aggiornamento rappresenta la prima linea di difesa. Non richiede né investimento software né competenze avanzate, ma una regolarità che molte PMI non hanno ancora integrato nella loro routine.
Portali di amministrazione esposti: accesso VPN e interfacce senza doppia autenticazione
Un pannello di amministrazione WordPress accessibile da qualsiasi indirizzo IP, una VPN aziendale protetta da una semplice password: queste configurazioni rimangono frequenti. L’assenza di MFA sugli accessi remoti è il primo fattore di compromissione dell’account nelle aziende con meno di 250 dipendenti.
Gli attaccanti non hanno bisogno di tecniche sofisticate. Il credential stuffing (riutilizzo di credenziali rubate su altri servizi) è sufficiente quando non è attivato alcun secondo fattore di autenticazione. Un collaboratore che utilizza la stessa password per la propria email personale e l’interfaccia di amministrazione del sito espone tutta l’infrastruttura.
Ridurre la superficie di attacco degli accessi remoti
Limitare l’accesso al pannello di amministrazione per indirizzo IP, quando possibile, elimina la maggior parte dei tentativi automatizzati. Per le VPN, l’attivazione del MFA riduce significativamente il rischio di compromissione.
Tuttavia, l’implementazione del solo MFA non copre tutto. Un account amministratore dimenticato, creato durante l’installazione iniziale e mai rimosso, rimane un obiettivo. Auditare la lista degli account con privilegi almeno una volta ogni trimestre fa parte dei gesti che costano zero euro e riducono il perimetro sfruttabile.
Direttiva NIS 2 e obblighi di cybersicurezza per le PMI subappaltatrici
La trasposizione della direttiva NIS 2 nel diritto francese modifica il quadro normativo per molte PMI, comprese quelle che non si considerano obiettivi diretti. L’effetto a cascata di NIS 2 colpisce i subappaltatori e fornitori delle entità regolamentate, che dovranno dimostrare un livello di sicurezza minimo.
Per una PMI subappaltatrice di un operatore classificato come “entità importante”, ciò significa concretamente che le tre vulnerabilità descritte sopra (CMS non patchato, accesso senza MFA, comunicazioni non crittografate) potrebbero diventare motivi di non conformità contrattuale. Il rischio non è più solo tecnico: diventa giuridico e commerciale.
Notifiche di incidenti e responsabilità dei dirigenti
NIS 2 introduce termini di notifica in caso di incidenti significativi. I dirigenti delle entità interessate portano una responsabilità diretta sulla messa in conformità. Per le PMI, questo obbligo trasforma la cybersicurezza da un argomento tecnico delegato all’informatica a un argomento di governance.
- Cartografare i contratti con i committenti soggetti a NIS 2 per anticipare i requisiti di sicurezza che ripercuoteranno
- Documentare le misure di protezione in atto (aggiornamenti, MFA, crittografia) per poter rispondere a un audit cliente
- Prevedere una procedura interna di notifica di incidenti, anche semplificata, per rispettare i termini normativi
La crescente percentuale di TPE e PMI tra le vittime di ransomware e l’entrata in vigore progressiva di NIS 2 convergono verso la stessa constatazione. Le tre vulnerabilità più sfruttate sono conosciute, documentate e correggibili a basso costo. Ciò che manca più spesso non è il budget, ma la regolarità nell’applicazione delle correzioni e la considerazione del tema a livello dirigenziale.
