Non c'è sistema di sicurezza informatico a prova di intrusione, perché ad amministrare la rete, al di qua del monitor, ci sono persone, con le loro debolezze, meschinità, avidità. Già vi abbiamo detto dell'esperimento di Venezia, dove è bastata una rivista gratis per estorcere ogni tipo di informazione.

Ma l'indagine di Dark Reading, volta a valutare la sicurezza della rete di un istituto di credito, mostra aspetti anche più inquietanti.

Il cliente aveva chiesto un test particolarmente duro, che coinvolgesse anche tecniche di ingegneria sociale. Nel passato, avevano avuto problemi di fuoriuscita di informazioni rilevanti, a causa del comportamento "leggero" degli impiegati.

Gli impiegati erano già stati sottoposti a test di social engineering, quindi già si aspettavano tattiche tipo chiacchiere in sala fumatori, adulazione degli addetti al call-center, o occupazione di una sala riunioni (con lo spinotto della rete disponibile) con un finto incontro tra sconosciuti. Il cavallo di troia del test è stato così la chiavetta USB.

Gli incaricati di Secure Network Technologies hanno raccolto una ventina di chiavette USB, di quelle che circolavano in azienda come gadget, e vi hanno installato un software-spia, tecnicamente un trojan horse, per raccogliere login name, password, identificazioni hardware, e qualunque altra informazione sulla macchina in cui sono inserite, e spedirle via mail a un indirizzo predeterminato.

L'ostacolo maggiore era far finire queste chiavette nelle mani degli operatori della banca. Sono state seminate nei luoghi più frequentati, tipo accanto alla macchina del caffè o alla fotocopiatrice. Attraverso le telecamere interne, si sono controllati gli impiegati che raccoglievano l'oggetto, lo lasciavano distrattamente scivolare in tasca, e appena giunti in ufficio, lo inserivano nel PC per cogliere le "preziose informazioni" in esso contenute.

I dati riservati di questo istituto hanno cominciato da subito ad affluire nella mail dell'autore del trojan. Risultati: delle venti chiavette seminate, quindici sono state raccolte, e tutte sono state inserite nei PC aziendali, dei cui dati riservati hanno fatto man bassa.

La parte migliore dell'intero progetto è stata la sua convenienza. Poche righe di codice per fare il trojan, venti chiavette usate, e il gioco è fatto. Raramente un attacco informatico raggiunge questo tipo di successo.

Un passo avanti nel campo dell'ingegneria sociale, perché non si è spinto sui soliti tasti della fresconaggine degli utenti, nè si è cercato di blandirli con omaggi, complimenti, o addirittura denaro.

Qui si è agito sulla curiosità morbosa di ciascuno di noi di farsi gli affaracci di un altro, vedere che tipo di file ha salvato, i suoi appuntamenti, i suoi appunti, le sue letture, i suoi eventuali vizi privati.

Gli autori dei più letali virus spediti via email, o delle tecniche di phishing più sofisticate, utilizzano questa stessa, umana, miserabile vulnerabilità. Tutta la tecnologia di questo mondo, compresi i sistemi del TCG, non riuscirà a raddrizzare la natura umana.