Negli audit di sicurezza che facciamo per piccole imprese italiane, gli stessi tre problemi tornano quasi sempre. Non sono attacchi sofisticati: sono porte lasciate aperte per anni perché "tanto chi vuole mai violare il sito di un negozio di quartiere".
Il problema è che i bot automatici non fanno distinzioni. Scansionano il web a tastiera, cercando falle note, e un sito piccolo è un bersaglio facile quanto uno grande — spesso più facile, perché nessuno lo controlla.
1. Credenziali deboli o riciclate
La password dell'area admin è ancora quella impostata dall'agenzia tre anni fa, magari condivisa via email o WhatsApp e mai cambiata. Oppure è la stessa usata per altri dieci account online: se uno di quei servizi subisce una violazione, la password finisce in una lista pubblica e il vostro sito con essa.
Cosa fare: password uniche e complesse per ogni servizio, gestite con un password manager, e autenticazione a due fattori ovunque sia disponibile — specialmente sul pannello di amministrazione del sito.
2. Plugin e CMS non aggiornati
Se il sito gira su WordPress o un altro CMS, ogni plugin non aggiornato è una vulnerabilità nota e documentata pubblicamente. Non serve un hacker esperto: basta un bot che cerca automaticamente quella versione specifica di quel plugin specifico.
Cosa fare: aggiornamenti regolari, meno plugin possibile (ogni plugin è superficie d'attacco in più), e — dove ha senso — la scelta di un sito statico senza CMS, che elimina l'intera categoria di vulnerabilità.
3. Nessun backup verificato
Molti hanno un backup. Pochi l'hanno mai testato. Un backup che non si è mai provato a ripristinare è, nella pratica, come non averlo: si scopre che manca un pezzo proprio nel momento peggiore, cioè durante un incidente.
Cosa fare: backup automatici e frequenti, conservati fuori dal server principale, con un ripristino di prova almeno una volta ogni pochi mesi.
Nessuno di questi interventi richiede un budget enorme. Richiede solo che qualcuno se ne occupi con metodo, invece di sperare che non succeda niente.