È ora di accettare che le stampanti perdano dati

“Zo lek als een mandje – Perde come un cestino. I dati sono stati esfiltrati da decine delle principali organizzazioni del paese: grandi multinazionali, compagnie aeree, banche e agenzie di intelligence governative. Stasera, i dettagli di come sono stati hackerati possono essere visti sulla televisione nazionale mentre riveliamo il ruolo dell’umile tipografo nella divulgazione dei segreti del paese”.

Questo trailer di grande effetto, o almeno una sua versione, è apparso nel 2012, in olandese, quando un importante canale televisivo è stato violato stampanti e dischi rigidi dei dipendenti di tali organizzazioni nelle proprie case. Questo non solo ha rivelato vulnerabilità comuni tra le stampanti abilitate a Internet, ma anche quanti dati aziendali vivevano nelle case delle persone.

Da quel momento, le stampanti si sono moltiplicate e si sono evolute in componenti hardware complessi con connessioni di archiviazione, cablate e Wi-Fi, mentre l’ufficio senza carta ha dimostrato di non essere nulla del genere e, come qualsiasi dispositivo collegato alla rete, può diventare vulnerabile.

Nel 2018, lo YouTuber PewDiePie ha acquisito notorietà quando le stampanti vulnerabili di tutto il mondo hanno stampato messaggi non richiesti a sostegno della sua campagna per diventare più famoso. Ha funzionato, ma ha anche mostrato l’entità del problema.

Quindi, mentre tutti abbiamo vissuto quel momento straziante in cui ci rendiamo conto di aver lasciato quel documento super confidenziale nel vassoio della stampante, è nella sua veste di dispositivo di rete che la stampante rivela davvero il suo alter ego. Stampanti, o – più correttamente – dispositivi multifunzionali (MFD), sono effettivamente un computer condiviso con capacità elevata e connettività di rete relativamente aperta: dopo tutto, potremmo ancora aver bisogno di quel fax.

Gli MFD sono spesso noleggiati su base plug-and-forget e non gestiti come parte dell’inventario delle risorse IT. Di conseguenza, raramente ricevono una patch di sicurezza, il che li rende un punto debole duraturo su molte reti aziendali. Dato il costo relativamente elevato di un MFD, vengono anche utilizzati con parsimonia e condivisi tra diversi segmenti di rete, colmando efficacemente tali reti e minando qualsiasi vuoto.

Eppure questa non dovrebbe essere una notizia. Siamo abituati (o almeno dovremmo essere) ad avere dispositivi vulnerabili non gestiti sulla nostra rete. Di solito hanno la parola “intelligente” davanti e assumono la forma di macchine da caffè, altoparlanti per assistenti d’ufficio, campanelli e frigoriferi. Sappiamo che questi possono essere punti deboli nella nostra strategia di sicurezza della rete e conosciamo le tecniche che possono aiutare, come ad esempio microsegmentazione e strumenti di rilevamento del segnale.

Se, come afferma l’articolo originale olandese, la stampante “perde come un setaccio”, allora forse dovremmo riconoscere che perde e deve essere gestita allo stesso modo di altri dispositivi che perdono o sono vulnerabili, rendendo la rete aziendale più simile a un Internet dei setacci.

L’umile tipografo è qui per restare, e la magia della carta e della parola stampata dovrebbe essere una ricompensa sufficiente.