«Non cliccare nulla» è un consiglio superato: le patch sono il tuo vero scudo

Per anni il consiglio di sicurezza standard è stato semplice: non cliccare su link sospetti, non scaricare app strane. Che cosa dici alle persone quando basta caricare una normale pagina?

È la scomoda lezione di una campagna descritta dalla società di sicurezza francese Sekoia. Secondo il riassunto di eSecurity Planet sul rapporto del 4 novembre, l’operazione è stata collegata, con un livello di fiducia da moderato ad alto, ad APT29, un gruppo associato ai servizi segreti esteri russi. Gli aggressori hanno inserito JavaScript dannoso in siti legittimi, tra cui un produttore di gas ucraino, un’associazione di categoria dell’industria chimica statunitense e un partito politico europeo. Hanno anche registrato domini molto simili agli originali e manomesso il tracker di un fornitore ucraino di analytics. Lo script analizzava il browser e il sistema operativo del visitatore, e i dispositivi vulnerabili ricevevano gli exploit in automatico, senza altri clic né download.

Il dettaglio più importante è questo: tutte le catene di exploit recuperate sfruttavano vulnerabilità che erano state corrette prima dell’inizio della campagna. I dispositivi completamente aggiornati erano protetti da questi attacchi specifici. Come riporta BFMTV, Apple aveva rilasciato lo scorso aprile la correzione per la falla usata dal toolkit DarkSword.

La tua prudenza non è mai stata l’anello debole: lo è il ritardo negli aggiornamenti

Dire agli utenti di «fare attenzione» presuppone che il pericolo sia visibile. Qui non lo era: i siti clone mostravano contenuti presi dagli originali legittimi, e gli altri attacchi si nascondevano dentro siti veri. Nessuna vigilanza serve quando il codice dannoso si trova in un sito di cui hai buoni motivi per fidarti.

Ciò che ha funzionato è stato noioso: installare la patch. A nostro avviso, questo rende il vecchio consiglio non solo insufficiente ma fuorviante, perché scarica il peso su un comportamento che gli utenti non possono controllare e trascura l’unica cosa che possono controllare: lo stato degli aggiornamenti. Per onestà, questa campagna sembra mirata. Sekoia ipotizza che il bersaglio fossero delegazioni diplomatiche e ospiti di alto profilo, e gli investigatori non hanno potuto stabilire quanti dispositivi siano stati compromessi. Probabilmente la maggior parte dei lettori non è tra le vittime previste. Ma strumenti come questo tendono a diffondersi, e la difesa è la stessa in entrambi i casi.

Android mostra perché «basta aggiornare» non è una richiesta equa

Su iPhone la risposta è facile da dare. Su Android è più complicato. 01net osserva che la patch di novembre di Google corregge 216 falle, 23 delle quali critiche, compresa una nel Framework che non richiede alcuna interazione da parte dell’utente. Lo stesso articolo afferma che oltre il 40% dei dispositivi attivi usa Android 13 o versioni precedenti e non riceve più aggiornamenti di sicurezza da Google. Per tutti gli altri, i tempi dipendono dal produttore che adatta la correzione: pochi giorni per alcuni, diverse settimane per altri.

Questo è il vero scandalo. Diciamo alle persone di aggiornare in fretta, poi vendiamo loro dispositivi su cui i tempi delle patch sono decisi da qualcun altro. Un utente può fare tutto bene ed essere comunque esposto per settimane. Pensiamo che sia un difetto di progettazione dell’ecosistema, non una colpa dell’utente.

I produttori dovrebbero rendere invisibili le patch

La nostra posizione: gli aggiornamenti di sicurezza dovrebbero installarsi da soli, in fretta e, dove possibile, senza riavvio, con l’onere a carico del produttore. App e telefoni che invitano a «aggiornare più tardi» consegnano una vulnerabilità con il pulsante snooze. I produttori che restano indietro rispetto ai bollettini di Google dovrebbero essere nominati e confrontati pubblicamente sulla rapidità, e chi compra dovrebbe considerare gli impegni sugli aggiornamenti una specifica importante quanto la fotocamera.

Una precisazione dalla ricerca: nessuna delle catene ha ottenuto persistenza, ma, come nota il rapporto, riavviare un telefono non annulla il furto di dati. Il dirottamento di sessione può inoltre dare agli aggressori accesso agli account senza toccare la rete di un’azienda. Quindi aggiornare a cose fatte non è una cura.

Controlla il telefono oggi e considera la rapidità delle patch una specifica

Su Android apri Impostazioni, Informazioni sul telefono e guarda la data dell’aggiornamento di sicurezza: secondo 01net, quella del 1 novembre 2026 o successiva protegge dalla falla critica del Framework. Su iPhone installa l’ultima versione di iOS. Attiva ovunque gli aggiornamenti automatici. Se il tuo telefono non riceve più patch, consideralo una data di sostituzione, non un suggerimento. E se ne stai scegliendo uno nuovo, chiedi al venditore per quanto tempo e con quale rapidità verrà aggiornato. Questa domanda ti protegge più di qualsiasi avviso sui link.