Sicurezza digitale: proteggi te stesso e i tuoi dati

Sebbene sia considerata la password più insicura al mondo, molte persone continuano a utilizzare 123456. Potresti anche uscire di casa e lasciare il piede di porco accanto alla porta d'ingresso. 

Seriamente: le password sicure sono fondamentali per la tua sicurezza digitale. E in realtà richiedono relativamente poco sforzo. Devi solo sapere come farlo nel modo migliore:

• Lunghezza minima: almeno 12 caratteri, meglio se 20 o più
• Mix variegato: lettere maiuscole e minuscole, numeri e caratteri speciali
• Casualità: scegli combinazioni casuali. Le parole del dizionario, i nomi e le tue preferenze personali o sequenze numeriche logiche sono facili da decifrare perché potrebbero già essere presenti negli elenchi degli hacker.
• Univoco: utilizza ogni password una sola volta
• Password iniziali: sostituisci immediatamente le password iniziali al primo accesso

Raccomandazioni dell'Ufficio federale della cibersicurezza (UFCS)(apre una nuova finestra)

D'accordo, le password con 12 o più caratteri sono difficili da ricordare. Ma hai mai provato le passphrase? Se ti stai chiedendo cosa siano, le passphrase sono password complesse composte da combinazioni casuali di parole (o parti di parole) e numeri che puoi ricordare con un trucco mnemonico. Un esempio?  

Passphrase: MipasichAlha3fre1so

Mnemonico: «Mio padre si chiama Albert ha 3 fratelli e 1 sorella.»

In passato, soprattutto nelle grandi aziende, si consigliava di cambiare le password ogni 90 giorni circa. Tuttavia, questo spesso portava alla scelta di password più deboli o all'utilizzo di modelli. Cambia la tua password:

• In caso di sospetto furto.
• Se un servizio che utilizzi è stato hackerato.
• Una volta all'anno: un buon compromesso tra sicurezza e praticità.

Anche con password complesse, un account può essere violato. L'autenticazione a due o più fattori offre un ulteriore livello di sicurezza. Tale autenticazione è raccomandata dall'Ufficio federale della cibersicurezza (UFCS)(apre una nuova finestra).

Durante il processo di accesso dovrai fornire due elementi: i tuoi dati di accesso (nome utente e password) e una verifica tramite un altro canale:

• App di autenticazione: esistono numerose app di questo tipo, ad esempio Google Authenticator o Microsoft Authenticator. Poiché spesso è possibile scegliere, per la configurazione è più sicuro utilizzare app di fornitori noti.
• Codice o link via SMS o e-mail: è possibile effettuare un'autenticazione aggiuntiva anche tramite un link o un codice monouso e valido solo per un breve periodo, che viene inviato al tuo numero di telefono o indirizzo e-mail registrato. (A volte i fornitori sostituiscono addirittura la password con un link o un codice di accesso unico e valido solo per un breve periodo di tempo). Questo metodo di verifica aggiuntivo è considerato il meno sicuro, poiché le e-mail e gli SMS possono essere intercettati.
• Biometria: anche i dati biometrici come l'impronta digitale, il Face ID o, in alcuni casi, il riconoscimento vocale possono essere utilizzati per la 2FA o la MFA.

Le passkey sono l'ultima generazione di autenticazione e in futuro sostituiranno le password e l'autenticazione a due fattori (2FA). Ma cosa sono esattamente le passkey? Le passkey funzionano grazie alla crittografia moderna e utilizzano chiavi pubbliche e private per crittografare il processo di accesso. Troppo tecnico?  

Spiegato in modo più semplice: le passkey sono virtuali e costituiscono una coppia di chiavi digitali: immaginale come chiavi gemelle digitali che vengono create automaticamente al momento della nuova registrazione con la passkey. Una delle due chiavi è pubblica e viene ricevuta dal sito web del fornitore (ad es. la tua banca, Google, ecc.). L'altra chiave gemella digitale è privata e rimane sempre in locale sul tuo dispositivo.  

Quando accedi al sito web su cui desideri effettuare il login (ad es. la tua banca), la banca ti chiede automaticamente di verificare la tua identità. Il tuo dispositivo risponde con la chiave gemella crittografica privata corrispondente. Sblocchi l'accesso con i tuoi dati biometrici (ad es. impronta digitale o Face ID) e sei dentro.  

Le passkey sono pratiche perché funzionano solo sul sito web della banca autentico (su un sito di phishing la chiave non viene riconosciuta e il login non va a buon fine). Sono uniche per ogni sito web e la tua chiave non lascia mai il tuo dispositivo. Questo le rende estremamente sicure, molto più sicure (e facili da usare) di qualsiasi password, anche se combinata con un 2FA.

Maggiori informazioni sulle passkey(apre una nuova finestra)

Hai difficoltà a ricordare tutte le password? Non vanno scritte su post-it né salvate in un documento nel cloud. In molti casi è più indicato un gestore di password. Anche in questo caso, scegli un fornitore con una buona reputazione e una crittografia avanzata.  

Ecco i vantaggi e gli svantaggi di un gestore di password:

Vantaggi

• Devi solo ricordare una password principale forte che protegge le tue password in modo crittografato.
• Genera automaticamente le password per ogni account in base alle tue specifiche.
• I dati di accesso vengono inseriti automaticamente solo su pagine sicure.
• Puoi accedere alle password da diversi dispositivi.
• Avvisa in caso di password deboli o utilizzate più volte, effettuando così una sorta di controllo di sicurezza continuo.
• Non servono più biglietti scritti a mano.
  

Svantaggi

• Essendo un servizio digitale, un gestore di password comporta solitamente dei costi.
• Ad esempio, in caso di aumenti di prezzo o problemi di rete, sei dipendente dal fornitore.
• Di norma richiede un'installazione preventiva su tutti i dispositivi.
• L'accesso offline è talvolta limitato, se non addirittura impossibile.
• Se si dimentica la password principale, è necessario reimpostarla con una procedura più o meno complessa.
• Alcune app o sistemi operativi non supportano il riempimento automatico dei dati di accesso.
  

Il nostro consiglio: Password Manager di blue Security & Service(apre una nuova finestra)

Anche i negozi online fraudolenti possono sembrare autentici. Tuttavia, proprio come le e-mail di phishing, hanno i loro punti deboli. Fai attenzione a questi segnali di allarme:

• Prezzi sospettosamente convenienti: i prezzi sono troppo belli per essere veri? Allora probabilmente lo sono. Se un iPhone nuovo di zecca costa solo la metà del prezzo di mercato, fai attenzione invece di acquistarlo immediatamente: i criminali informatici amano attirare i clienti con offerte imbattibili.
• Linguaggio poco serio: come nel caso del phishing, formulazioni confuse o traduzioni scadenti possono essere indice di intenzioni fraudolente (ma non necessariamente). Tieni presente che le aziende serie investono molto in un'immagine impeccabile e in testi e traduzioni professionali.
• Dati di contatto mancanti: se nell'impressum mancano i dati di contatto o, a un esame più attento, non esistono affatto, si tratta di un forte segnale di allarme. Un colophon completo riporta sempre il nome dell'azienda, l'indirizzo e, nella maggior parte dei casi, anche un numero di telefono. Se è indicato solo un indirizzo e-mail, è lecito essere scettici.
• Recensioni di altri clienti: le opinioni degli altri utenti sul negozio possono essere utili. Non limitarti a controllare le recensioni degli articoli che ti interessano, ma dai un'occhiata anche a Trustpilot o alle recensioni di Google. Ma attenzione: anche le recensioni possono essere false. È lecito essere diffidenti se tutte le recensioni sono a 5 stelle e i commenti contengono pochi o nessun dettaglio. Oppure se ci sono molte recensioni a 5 stelle (false) e recensioni a 1 stella (di clienti delusi), ma quasi nessuna nel mezzo.
• Controlla l'elenco UID: puoi anche verificare il numero di partita IVA nell'elenco UID, dove sono registrate tutte le aziende svizzere serie. Se non trovi il numero di partita IVA nell'impressum o se non è presente nell'elenco UID, è un segnale di allarme.
  

Per sicurezza, utilizza sempre negozi ufficiali: per il software, rivolgiti al produttore e per le app vai su Google Play(apre una nuova finestra) o App Store(apre una nuova finestra).

E dai un'occhiata anche ai consigli dell'UFCS su «Acquistare e vendere online»(apre una nuova finestra).

Non tutti i metodi di pagamento online sono ugualmente sicuri. A cosa bisogna prestare attenzione?

• Fattura: è il metodo di pagamento più sicuro, perché paghi solo quando ricevi l'ordine. Purtroppo, però, non tutti i negozi online offrono questo metodo di pagamento.
• Pagamento anticipato e bonifico bancario: è invece piuttosto rischioso, perché non è possibile tracciare il denaro e lo invii prima di avere il prodotto tra le mani.
• PayPal: se non ricevi il tuo articolo dopo il pagamento, la protezione acquirenti PayPal(apre una nuova finestra) ti tutela dalle perdite. Tuttavia, è importante verificare quali transazioni sono coperte e quali limiti e condizioni si applicano.
• Carta di credito: anche con le carte di credito è possibile segnalare attività fraudolente e contestare e richiedere il rimborso di addebiti non autorizzati. Si applicano le condizioni di utilizzo del fornitore della carta di credito o della banca.
• Twint: è una soluzione di pagamento svizzera adatta principalmente per importi di piccola entità. Dal punto di vista tecnico, Twint è molto simile all'e-banking, il che significa che i trasferimenti di denaro non possono generalmente essere annullati. Tuttavia, le transazioni ancora in sospeso possono talvolta essere ritirate.
• Western Union o Bitcoin: entrambi consentono transazioni anonime, il che rende impossibile annullarle. È quindi meglio evitarli quando si effettua un pagamento in un negozio online.

Prima di cliccare su «Acquista», prenditi un momento per controllare:

• L'importo è corretto? Confronta il prezzo da pagare con quello indicato nel carrello. A volte possono esserci dei costi nascosti.
• A chi va il pagamento? Il nome del mittente della fattura e quello del negozio sono gli stessi? Se no, si tratta forse di un partner commerciale affidabile? Se il mittente della fattura è sconosciuto o diverso, è meglio essere cauti e interrompere il pagamento.
  

Se qualcosa ti sembra strano, fidati del tuo istinto. Meglio controllare una volta di troppo che una volta di meno:

• Hai già effettuato il pagamento? Soprattutto nel caso di prenotazioni (hotel, voli), è già capitato che fatture già pagate venissero inviate nuovamente da hacker tramite link di pagamento falsi. Prima di effettuare un nuovo pagamento, controlla quindi le conferme di pagamento nelle e-mail o nei tuoi estratti conto.
• Cerca informazioni sul negozio: puoi cercare il negozio su Google o altri motori di ricerca utilizzando parole come «truffa», «falso» o «esperienze». Di solito i negozi falsi vengono individuati rapidamente.
• Chiedi in giro: forse qualcuno conosce già il negozio (o il partner di pagamento) da cui desideri ordinare? Forse ha già effettuato un ordine o ha letto di un caso di frode.
  

Il cloud è pratico perché ti consente di accedere ai tuoi dati da qualsiasi luogo. Inoltre, fornitori affidabili come Google Drive, OneDrive o Dropbox si impegnano a fondo per garantire la sicurezza dei tuoi dati: team di sicurezza specializzati sono all'erta 24 ore su 24 per individuare eventuali minacce. E devono farlo: poiché i fornitori di servizi cloud gestiscono grandi quantità di dati, sono un bersaglio appetibile per gli hacker.

Quando scegli la tua soluzione cloud, presta attenzione a:

• Crittografia end-to-end: i tuoi dati devono essere crittografati in modo tale che nemmeno il fornitore possa leggerli.
• Architettura zero knowledge: ciò significa che quando carichi un file, i tuoi dati vengono crittografati sul tuo computer. In questo modo, nel cloud vengono salvati solo i dati crittografati. In caso di fuga di dati dal cloud, i tuoi dati sono illeggibili per gli hacker, poiché la chiave si trova sul tuo dispositivo.
• Autenticazione a 2 fattori: scegli un cloud che ti consenta di proteggere il tuo accesso con un'autenticazione a 2 fattori per proteggerlo dagli hacker.
• Controlli di sicurezza regolari: il fornitore dovrebbe far controllare regolarmente i propri sistemi da esperti.
• Risposta agli incidenti: forse riesci a trovare informazioni sulla velocità di reazione del fornitore in caso di precedenti incidenti informatici? Più veloce è la risposta, meglio è.
• Salvataggio di dati particolarmente sensibili: se carichi documenti di identità, documenti finanziari o simili, è meglio crittografarli prima e proteggerli con una password aggiuntiva.
  

Cosa può fare un cloud che un archivio dati locale non può fare e viceversa? Ecco i vantaggi e gli svantaggi del cloud e dell'archiviazione dati locale:

L'importanza dei backup si capisce solo quando servono. Per ottenere il massimo con il minimo sforzo, vale la pena ricorrere ai backup automatici.

Puoi attivare i backup automatici nelle impostazioni del tuo smartphone. Sul tuo MacBook o iMac puoi attivare i backup automatici con Time Machine. Per i backup Windows puoi anche utilizzare strumenti come Acronis True Image, che creano un'immagine completa del sistema.

Verifica regolarmente (circa ogni 3-6 mesi) che il backup funzioni ancora: prova a ripristinare un file recente dal backup.

I professionisti giurano sulla regola del 3-2-1: 3 copie dei tuoi dati importanti (originale + 2 copie), 2 supporti diversi (ad es. cloud + disco rigido esterno), 1 backup in un altro luogo (ad es. non nella stessa casa).  

Sembra esagerato? Dipende dal valore dei tuoi dati. Se desideri salvare dati che non vuoi assolutamente perdere perché sono unici e irripetibili (ad es. foto d'infanzia), vale la pena proteggerli in più modi.

Le e-mail o le cronologie delle chat vengono spesso dimenticate durante il backup. Se hai archiviato informazioni importanti, contratti o fatture, ti consigliamo di esportare le tue e-mail o i tuoi dati circa una volta all'anno e di salvarli su un disco rigido esterno.

I backup infetti sono inutili, perché se ripristini un backup contenente virus, non solo i tuoi dati torneranno nel sistema, ma anche i virus. Cosa puoi fare quindi per mantenere i tuoi backup privi di virus?

• Strategia Air Gap: il backup più importante deve essere completamente separato dalla rete, in modo che non possa essere attaccato dal ransomware.
• Backup immutabili: utilizza servizi cloud con funzioni «Object Lock» o «Legal Hold». Questi backup non possono essere cancellati o modificati per un periodo di tempo prestabilito, nemmeno da te.
• Account di backup separati: utilizza un account cloud separato con dati di accesso completamente diversi per i backup. Utilizza un browser diverso o addirittura un altro dispositivo.
• Sfrutta il versioning: i servizi cloud spesso conservano le versioni dei file vecchie di 30-90 giorni. Anche se il ransomware crittografa i tuoi file attuali, potresti comunque poter accedere a versioni pulite.