Invia questo messaggio alle persone che fanno parte della tua vita. Chiunque usi internet, cioè praticamente tutti, deve sapere cosa sta succedendo e cosa può fare per proteggersi.
In questo preciso momento, mentre leggi queste righe, sciami di agenti AI stanno probabilmente cercando di introdursi nei siti web che utilizzi. Non uno solo. Molti.
Siamo nel bel mezzo del più grande evento di cybersicurezza degli ultimi anni. Alcuni esperti di sicurezza lo stanno già chiamando Ottobre Nero.
Non scrivo questo per spaventarti. Molte di queste cose sono fuori dal tuo controllo. Ma ci sono cose semplici che puoi fare per proteggerti, e qualsiasi azione è meglio di nessuna.
Ogni ora di questa settimana è emerso un nuovo attacco. Quando avrai finito di leggere, probabilmente ce ne sarà un altro.
Ecco quindi cosa sta succedendo e cosa dovresti fare al riguardo.
Cosa sta succedendo in questo momento
Se adesso ti sembra troppo, salta pure direttamente a cosa fare. Ma ti consiglio davvero di leggere tutto l'articolo.
Ieri è stata rivelata una grave falla in PHP, il software su cui si basa circa il 70% dei siti web.
Immaginala così: qualcuno ha scoperto che milioni di edifici nel Paese hanno la stessa serratura difettosa, e ora tutti sanno come aprirla. Il produttore della serratura ha inviato una soluzione, ma ogni proprietario dell'edificio deve installarla da sé, e molti non l'hanno ancora fatto.
Entro due ore dalla notizia, gli attaccanti stavano provando quella serratura centinaia di migliaia di volte, secondo il CEO di Cloudflare. Ora siamo a milioni. Amazon afferma che qualcuno ci stava già provando quattro giorni prima dell'annuncio, e il suo responsabile della sicurezza dice che la falla "è ora ampiamente sfruttata in natura." (È Amazon che lancia l'allarme, non Amazon che viene hackerata.) Finora nessuno ha confermato un'intrusione riuscita tramite questa falla, ma gli attaccanti ci stanno provando ovunque. Per precauzione, l'organizzazione che gestisce Wikipedia ha spento alcuni dei suoi sistemi, e i governi di Paesi Bassi, Finlandia, Germania, Francia e altri hanno messo offline i propri siti web.
Questa è solo una storia, ed è solo la punta dell'iceberg. Ne condivido alcune tra le più importanti. Se elencassi tutto, staresti leggendo per ore.
- Un gruppo di hacker allineato con lo Stato cinese ha utilizzato uno strumento di hacking basato sull'AI per tentare di penetrare in più di 2.000 organizzazioni attraverso un servizio di backup da cui dipendono le aziende IT, afferma Microsoft.
- Una piattaforma cloud utilizzata da circa due milioni di sviluppatori ha dichiarato che le chiavi segrete dei clienti potrebbero essere state consultate. Stamattina un mio amico si è ritrovato qualcuno che gli svuotava il conto usando una di queste chiavi.
- La banca più grande dell'India ha affermato che i dati personali di quasi 3.900 clienti sono stati esposti sul dark web.
- Una banda criminale ha usato strumenti di AI per attaccare oltre 400 banche e società finanziarie in tutta l'America Latina.
- Gli hacker sono entrati in 16 società finanziarie in Corea del Sud, comprese grandi banche.
- Il governo giapponese ha invitato le aziende a rafforzare le proprie difese dopo violazioni che potrebbero aver esposto i dati di decine di milioni di persone.
- I siti web e le app di Stop & Shop, Hannaford e Food Lion sono rimasti offline per più di una settimana.
- L'FBI, la NSA e altre tre agenzie hanno avvertito che gli hacker che utilizzano script di attacco scritti dall'AI stanno perlustrando i sistemi che gestiscono acqua, energia e impianti industriali.
I governi lo avevano previsto. A giugno, gli Stati Uniti e i loro alleati più stretti hanno lanciato l'allarme sugli attacchi hacker basati sull'AI: "La tempistica non è di anni, ma di mesi." Quattro mesi dopo, eccoci qui.
La versione originale di questo articolo è disponibile qui.
Perché questa volta è diverso
Senti parlare di attacchi hacker da anni. Ecco cosa è cambiato.
Ogni edificio ha punti deboli: una finestra che non si chiude bene, una porta sul retro con una serratura economica. Il software è uguale. È pieno di punti deboli nascosti. Per decenni, trovarli richiedeva persone rare e altamente qualificate, e non ce n'erano molte. Questa era la nostra protezione. Non buone serrature. Solo una carenza di ladri.
Quella carenza è finita. Tre cose sono appena accadute contemporaneamente.
Primo, l'AI ora può trovare i punti deboli. La falla di PHP è stata trovata con l'aiuto dell'AI, e gli strumenti di AI stanno trovando migliaia di bug rimasti inosservati per anni.
Secondo, l'AI ora può introdursi da sola. Non serve un hacker esperto. Una persona ha dato agli agenti AI istruzioni più brevi di un tweet, meno di 100 caratteri cinesi, e li ha lasciati lavorare in gran parte autonomamente. Sono entrati in siti web appartenenti a oltre 100 aziende, inclusa John Deere, con un costo stimato di 50 dollari per intrusione. Non dormono e non si annoiano. Continuano semplicemente a provare finché non trovano un modo per entrare.
Terzo, i difensori corrono per stare al passo. Ogni punto debole deve ancora essere corretto, testato e installato su milioni di sistemi gestiti da persone che sono già allo stremo delle forze. Anche per i bug più gravi, servono in media circa due settimane solo per rilasciare una correzione, e moltissimi siti web non vengono mai sistemati. L'azienda di sicurezza Cisco stima che circa la metà dei server esposti su internet che eseguono quel software sia troppo vecchia per ricevere la correzione ufficiale.
Metti insieme questi elementi e ottieni un gioco del gatto col topo in cui gli attaccanti devono vincere solo una volta. Quel divario tra attaccanti e difensori è ciò che vedrai svolgersi nelle notizie nei prossimi giorni.
Questo continuerà ad accadere, e peggiorerà
Non è una brutta settimana isolata. È l'inizio di qualcosa per cui dobbiamo tutti essere preparati.
Basta guardare i numeri. L'azienda di sicurezza CrowdStrike afferma che gli attacchi che rileva e che probabilmente coinvolgono agenti AI sono più che raddoppiati ad agosto, per poi raddoppiare di nuovo a settembre. E se questa settimana è indicativa, la velocità sta solo aumentando. L'AI continua a migliorare ogni pochi mesi, mentre diventa più economica da far funzionare. Gli strumenti che gli hacker usano oggi sono i peggiori che avranno mai.
Gli strumenti sono anche già diffusi in natura. Quando uno strumento di hacking basato sull'AI è stato collegato agli attacchi alle banche coreane, il suo creatore ha smesso di rilasciarlo pubblicamente e la pagina di download è stata rimossa. Ma non ha avuto importanza. Chiunque lo avesse già scaricato può ancora usarlo.
La buona notizia, però, è che anche i difensori hanno l'AI, e sta trovando e correggendo i punti deboli più velocemente che mai. Alla fine, il software sarà molto più difficile da violare rispetto a oggi. Ma in questo momento l'attacco è in vantaggio sulla difesa, e potrebbe restare così per un po'.
Cosa significa questo per te
In questo momento, le principali banche statunitensi, tra cui JPMorgan, Bank of America e Wells Fargo, stanno trovando agenti AI non autorizzati all'interno dei conti dei clienti, secondo Axios. Alcuni sono stati configurati dai clienti stessi, ma molte banche non riescono a distinguere quali agiscano per conto del cliente e quali no. I dirigenti bancari hanno descritto la situazione come "terrificante". Axios non ha riportato furti di denaro.
Ma per la maggior parte delle persone oggi, il pericolo maggiore riguarda ancora tre cose. Le tue informazioni trapelano, così i truffatori conoscono il tuo nome, la data di nascita, l'indirizzo e la banca, e le loro chiamate e messaggi sembrano reali. I tuoi account vengono presi in possesso tramite qualche sito che hai usato una volta, anni fa, con la stessa password che usi ovunque. E le cose da cui dipendi, come un'app, una farmacia o il sito web di un negozio, restano offline per giorni.
Per essere chiari: tutto questo è in corso, ma gli scenari peggiori di cui le persone hanno più paura non si sono verificati. Spero che non accada mai. Ma prevenire è meglio che curare, soprattutto perché questo continuerà a succedere.
Cosa fare oggi
Primo, evita i siti che non conosci finché la tempesta non passa. Resta su quelli grandi e noti: la tua banca, Amazon, Google. I piccoli siti sono i meno propensi ad aver applicato le patch, e dall'esterno non puoi saperlo. Per le prossime settimane, non digitare password o numeri di carta in nulla che non ti sia familiare.
Secondo, aggiorna tutto: telefono, computer, tablet e browser web. Quando le Impostazioni del tuo telefono o computer indicano che è disponibile un aggiornamento, installalo. Quella è la tua serratura. Fai lo stesso per il router e, se è così vecchio da non ricevere più aggiornamenti, sostituiscilo. Ma non installare mai un "aggiornamento" da un pop-up su un sito web o da un link in un messaggio o in un'email. È una truffa comune. Non sai come fare? Ecco una semplice guida passo dopo passo.
Terzo, chiudi le porte che non usi. Scollega i dispositivi smart che non ti servono ed elimina le app che non usi. Ogni oggetto connesso è un'altra via d'accesso.
Quarto, proteggi il tuo conto bancario. Se qualcuno ti chiama, ti manda un messaggio o un'email chiedendoti la password o un codice appena arrivato sul telefono, è una truffa. Sempre. Quei codici servono solo a te per digitarli nell'app o nel sito ufficiale della tua banca. Tratta ogni chiamata, messaggio o email relativa alla tua banca come sospetto finché non lo verifichi tu stesso: non cliccare sui loro link e non richiamare il numero che ti forniscono. Riaggancia e chiama il numero sul retro della tua carta. Se era davvero la tua banca, potranno aiutarti.
Digita nome utente e password della banca solo nell'app o nel sito ufficiale della tua banca. Non darli a nessun altro, nemmeno a un assistente AI o a un'altra app, per quanto utile possa sembrare. Chase afferma di non fornirli a nessuno. Attiva l'accesso in due passaggi per la tua email e la tua banca (ecco come) e smetti di riutilizzare le password. Un gestore di password rende tutto facile, e il tuo iPhone o telefono Android ne ha già uno integrato.
Se vuoi essere particolarmente prudente, tieni un po' di contanti in casa, abbastanza per la spesa di qualche giorno, oltre a cibo e acqua. È un normale kit di emergenza, e vale comunque la pena averlo.
Quello che non farei è ritirare i soldi dalla banca. Il panico è esattamente ciò su cui contano i truffatori. Se una banca dovesse fallire, i depositi presso le banche assicurate FDIC sono protetti fino a 250.000 dollari per persona, per banca. Quell'assicurazione non copre il denaro rubato da un account hackerato. Ma le normative federali generalmente limitano le perdite derivanti da trasferimenti non autorizzati se li segnali rapidamente, quindi controlla spesso i tuoi conti e chiama subito la banca se qualcosa sembra strano. Il denaro che sei stato indotto a inviare tu stesso è molto più difficile da recuperare, motivo per cui le chiamate truffaldine rappresentano il pericolo maggiore.
I prossimi giorni saranno strani. Arriveranno altri annunci. La mia speranza è che la maggior parte delle cose continui a funzionare. Oggi occupati solo delle cose noiose.
Invia questo messaggio alle persone della tua vita proprio adesso. Ai tuoi genitori, ai tuoi nonni, ai tuoi amici, alle tue chat di gruppo. Chiunque sia connesso a internet, cioè letteralmente tutti, deve sapere cosa sta succedendo. Le persone con meno probabilità di sentirne parlare sono quelle che rischiano maggiormente di esserne danneggiate.
La versione originale di questo articolo è disponibile qui.
