TrueConf zero-day: quando il software di

Sai quando ti fidi di quella porta secondaria?

Hai presente quando entri in ufficio dalla porta di servizio? Quella che usi solo per portare sui pacchi, che non ha la sicurezza della porta principale ma "tanto è comoda"?

Ora immagina di scoprire che qualcuno ha trovato il modo di aprirla con un semplice graffetta. E che lo sta facendo da mesi, mentre tu pensavi di essere al sicuro.

Questo è più o meno quello che è successo con TrueConf, un programma per le videochiamate usato soprattutto in ambito corporate e istituzionale. Non è Zoom, non è Teams: è uno di quei software "di nicchia" che installi quando hai esigenze specifiche, magari per risparmiare o per seguire le richieste di un cliente estero.

La notizia arriva dal Sud-Est asiatico: hacker hanno sfruttato una falla zero-day — un difetto sconosciuto agli sviluppatori — per entrare nelle reti di enti governativi. Non hanno bussato alla porta principale. Sono entrati dalla porta di servizio che nessuno controllava abbastanza.

Ma cosa sta succedendo davvero?

TrueConf è un client di videoconferenza, uno di quei programmi che girano in background sul computer e aspettano che tu faccia una call. Tecnicamente è un'applicazione come un'altra, ma ha un problema: i ricercatori di sicurezza hanno scoperto che conteneva una vulnerabilità critica che permetteva agli attaccanti di eseguire codice malevolo da remoto.

Tradotto: è come se il tuo citofono avesse un tasto segreto che, se premuto da fuori, apre direttamente la porta di casa e invita pure il ladro a sedersi sul divano.

Questo tipo di falla si chiama "zero-day" perché il giorno in cui viene scoperta, gli sviluppatori hanno avuto zero giorni per preparare una patch. È una corsa contro il tempo: chi la trova per primo? I buoni o i cattivi? In questo caso, i cattivi erano già in pista.

Gli attaccanti — probabilmente un gruppo APT, cioè hacker sponsorizzati da stati o grandi organizzazioni — hanno usato questa falla per infiltrarsi nelle reti governative asiatiche. Non sappiamo ancora tutti i dettagli, ma il meccanismo è classico: una email che sembra un invito a una riunione, un link che scarica un aggiornamento fasullo, e il gioco è fatto.

Il software di videoconferenza è un bersaglio appetitoso perché spesso ha accesso a microfono e webcam, e comunque gira con privilegi elevati sul sistema. È come dare le chiavi di casa al portinaio: se il portinaio è in combutta con i ladri, hai un problema serio.

Perché ti riguarda, anche se usi Zoom

A questo punto penserai: "Io TrueConf non lo uso, io uso Zoom/Teams/Google Meet, sono a posto".

Fermati un secondo.

Guarda il tuo computer. Quanti software hai installato negli ultimi due anni che non sono dei "big"? Quanti tool per la fatturazione elettronica, per la firma digitale, per le call con fornitori cinesi o indiani? Quanti programmi scaricati su richiesta di un cliente che "usa solo quello"?

Ognuno di questi è una potenziale porta di servizio. E il problema non è solo TrueConf: è l'atteggiamento con cui trattiamo il software di terze parti. Lo installiamo, lo usiamo due volte, poi lo dimentichiamo lì a girare in background come un elettrodomestico in standby che consuma e rischia di bruciare la casa.

Per una PMI italiana, un attacco simile può costare caro. Non parlo solo dei soldi per bonificare i sistemi, che possono essere come buttare lo stipendio di tre mesi nel cesso. Parlo della reputazione: se i tuoi clienti scoprono che hai perso i loro dati durante una videocall, la fiducia si rompe in un attimo.

E poi c'è la questione supply chain: anche se tu sei attento, i tuoi fornitori lo sono? Se il tuo commercialista usa un software di videoconferenza poco sicuro per parlare con te, il rischio diventa condiviso. È come vivere in un condominio dove un vicino lascia sempre la porta del garage aperta: anche se tu chiudi a chiave, il pericolo entra comunque.

Cosa puoi fare (senza impazzire)

Non serve disinstallare tutto e tornare al fax. Ma serve un po' di ordine mentale, come quando fai la spesa e controlli la data di scadenza.

Fai l'inventario dei software Prendi un foglio di carta (sì, carta e penna, funziona ancora) e scrivi tutti i programmi che hai installato negli ultimi 12 mesi. Se trovi qualcosa che non usi più, disinstallalo. È come svuotare il garage: più roba lasci in giro, più posto trovano i topi.

Aggiorna subito, non domani Quando esce una patch di sicurezza, non è un suggerimento. È come quando il condominio ti avvisa che c'è una perdita di gas: non dici "la sistemo nel weekend", chiudi subito il rubinetto. Imposta gli aggiornamenti automatici dove possibile, e controlla manualmente i software meno comuni.

Isola il software di terze parti Se devi usare un programma di videoconferenza "alternativo", non dargli accesso a tutta la rete aziendale. È come avere un ospite in casa: gli dai il salotto, non le chiavi della camera da letto. Chiedi al tuo tecnico di creare una rete separata (una VLAN, se vuoi il termine tecnico) per queste applicazioni.

Controlla chi bussa Molti di questi attacchi iniziano con una email. Quindi occhio alle mail che ti invitano a scaricare "l'ultima versione" di un software o a partecipare a una call urgente. Se hai dubbi, chiama il mittente al telefono. Sì, proprio così: telefona. Sembra antiquato, ma funziona meglio di mille antivirus.

A proposito di email: se vuoi essere sicuro che gli allegati che scarichi siano davvero quelli che dicono di essere, una protezione con sandboxing ti crea una cassaforte digitale dove i file vengono isolati e analizzati prima di arrivare al tuo computer. Servizi come MailSniper fanno esattamente questo: aprono il pacco in una stanza blindata prima di farti toccare il contenuto.

Verifica i tuoi fornitori Quando scegli un software per l'azienda, non guardare solo il prezzo. Chiedi: "Quanto è grande il team di sicurezza? Quanto velocemente risponde alle falle?". È come scegliere un parcheggio: quello che costa meno potrebbe non avere le telecamere.

Il consiglio dell'amico

Te lo dico da amico, non da esperto con la cravatta. Non serve avere paura della tecnologia, ma serve smettere di darla per scontata.

Quella porta di servizio che usi per comodità potrebbe essere la preferita dai ladri. Non perché sei stupido, ma perché è umana la tendenza a fidarsi delle cose che sembrano funzionare.

Quindi: dai un'occhiata oggi. Controlla cosa gira sui computer dei tuoi colleghi. Se trovi un programma che nessuno usa più, cestinalo. Se devi fare una call importante, usa strumenti che conosci e che tengono alla sicurezza.

E ricorda: nel mondo digitale, come in quello reale, la sicurezza non è un prodotto che compri una volta. È l'abitudine di chiudere a chiave, anche quando sei solo in casa.

Hai dubbi su come controllare i software installati nella tua azienda? Dai un'occhiata alle nostre faq: troverai risposte concrete senza gergo incomprensibile.