Cosa succederebbe se tutti i costruttori di porte del mondo avessero acquistato la serratura dallo stesso fornitore e nel giro di qualche anno si scoprisse che quel particolare pezzo ha un difetto che consente a chiunque di aprirlo?
È quanto sta succedendo negli ultimi giorni con la scoperta della vulnerabilità Log4Shell all’interno della utility Log4J. Non si tratta di un virus, questo è vero, il che potrebbe portare a sottovalutare il problema: Log4j è infatti, come spiega Marco Ramilli, amministratore delegato di Yoroi, “Una libreria usata dalla stragrande maggioranza dei programmatori di software con linguaggio Java che consente di scrivere nel software quelli che vengono chiamati ‘log’, ovvero degli ‘status’ del software stesso che permettono di fotografare un momento dello sviluppo del software stesso, registrando stati di avanzamento, performance, problemi e soluzioni”. Dunque, una sua vulnerabilità mette a rischio l’intera rete, impattando la sicurezza non solo di server e aziende ma di tutti i device in circolazione, dato che la libreria viene utilizzata anche dai big come Apple, Amazon, Twitter e Tesla.
Il problema di sicurezza è stato riconosciuto anche da Apache Software Foundation, fondazione sviluppatrice proprio di Log4J, la quale ha assegnato alla pericolosità della falla il punteggio 10 su una scala da 1 a 10: se la macchina non è aggiornata, difatti, gli attacchi sono possibili anche da parte di malintenzionati senza competenze particolarmente avanzate. Gli sviluppatori sono dunque corsi ai ripari, rilasciando in tempi record la versione correttiva 2.15.0; ma la pericolosità rimane fino a quando non si effettuerà l’aggiornamento di tutti i software che si appoggiano sulla libreria.
La situazione di emergenza rappresenta un primo banco di prova per l’Agenzia per la Cybersicurezza Nazionale guidata da Roberto Baldoni e istituita ad agosto scorso dal Governo Draghi. L’allarme nel nostro Paese è stato lanciato proprio dalla neonata Agenzia, la quale con un comunicato parla di “una vasta e diversificata superficie di attacco sulla totalità della rete”, definendo la situazione “particolarmente grave”. “I tecnici dell’Agenzia per la Cybersicurezza Nazionale, in costante contatto con le omologhe agenzie europee ed internazionali, raccomandano, vista la pericolosità̀ della vulnerabilità̀, di ridurre al minimo la sua esposizione su internet applicando le necessarie misure ai propri server nel più̀ breve tempo“.
Il tema della sicurezza informatica e delle sue possibili conseguenze dalle quali risulta difficile difendersi, rimane come sempre in primo piano. Stefano Fratepietro, CEO della bolognese Tesla Consulting ed esperto di cybersecurity ha idee precise riguardo alle aziende: “Chi ha fatto bene i compiti a casa, cioè un censimento dei propri sistemi e delle proprie applicazioni, sta a posto”, mentre invece per il comune cittadino “L’unica cosa che si può fare è verificare se nei prossimi giorni verranno rilasciati degli aggiornamenti per i nostri dispositivi (smartphone, router ecc.) e installarli il prima possibile”.
