Quanto è sicuro il tuo operatore di telefonia mobile?

È il 2016 e hai un cellulare. Probabilmente paghi anche la bolletta del cellulare online o tramite un'app. Le società di telecomunicazioni gestiscono la comunicazione mondiale e parte di ciò che ciò comporta è la sicurezza di tale comunicazione per garantire la privacy e l'integrità dei propri clienti. Noi di UpGuard abbiamo analizzato dieci delle principali aziende di telecomunicazioni con il nostro risk grader esterno per vedere come si misurava la loro sicurezza web ed e-mail. Si tratta di grandi aziende con molte parti in movimento, ma ci stiamo concentrando sulla presenza principale sul web che una persona prenderebbe in considerazione, ad esempio www.att.com. Si scopre che ci sono alcune buone notizie e alcune cattive notizie... a seconda dell'operatore utilizzato.

Il punteggio medio per le dieci aziende che abbiamo analizzato è stato di 533 su 950. Misuriamo elementi come la forza SSL, i meccanismi di verifica delle e-mail SPF e DMARC, la cronologia delle violazioni e le valutazioni di CEO/azienda per determinare la resilienza esterna complessiva di un'organizzazione e la esprimiamo in un unico punteggio chiamato CSTAR, molto simile a un rating del credito. Per molti con punteggi bassi come Verizon, NTT e CenturyLink, la mancanza di SSL a livello di sito ha lasciato la loro principale presenza sul web aperta al traffico non crittografato. I punteggi più alti, come Sprint, AT&T o l'australiana Telstra, derivano da una combinazione di diverse pratiche di sicurezza, come esploreremo in dettaglio con ciascuna azienda. Fai clic su una qualsiasi delle immagini CSTAR per eseguire tu stesso una scansione in tempo reale sul sito.

Ripartizione del sito

AT&T - www.att.com - 689 su 950

AT&T è la più grande società di telecomunicazioni al mondo per fatturato e impiega quasi 250.000 persone in tutto il mondo. Il suo punteggio di 689 rientra nell'intervallo medio, anche se si colloca nella fascia alta del gruppo che abbiamo scansionato. Innanzitutto, e soprattutto, AT&T utilizza SSL a livello di sito, mantenendo la parte del sito Web del suo punteggio piuttosto alta. AT&T non ha ancora protetto i propri cookie e non ha abilitato SPF per la posta elettronica, il che è altamente raccomandato. Infine, dovrebbe consentire al DNSSEC di garantire la protezione contro lo spoofing DNS. Detto questo, AT&T è relativamente sicura per un'azienda di telecomunicazioni e l'indice di gradimento del 73% del loro CEO, sebbene non stellare, impedisce alla parte commerciale del punteggio di scendere. AT&T ha, ovviamente, subito violazioni in passato, in particolare nel 2015, quando i dipendenti di alcuni call center AT&T hanno avuto accesso alle informazioni dei clienti senza autorizzazione e le hanno vendute a terzi, compromettendo circa 280.000 record e costando ad AT&T 25 milioni di dollari per violazioni della privacy. La protezione contro le violazioni interne è un argomento per un altro articolo, ma la sicurezza esterna di AT&T non è stata la causa di questo.

In conclusione: AT&T ha messo in atto la maggior parte delle misure di sicurezza di base, ma c'è ancora spazio per miglioramenti.

Sprint - www.sprint.com - 731 su 950

Sprint è la quarta rete wireless più grande d'America e ha il miglior punteggio di tutti i siti di telecomunicazioni che abbiamo scansionato. Con un punteggio di 731 su 950, Sprint è stato l'unico fornitore a rientrare nella buona gamma di punteggi. Come AT&T, tutto inizia con una buona configurazione SSL a livello di sito. A differenza di AT&T, tuttavia, Sprint ha impostato SPF per il suo dominio di posta elettronica, che aiuta a proteggere dalle e-mail falsificate. La storia delle violazioni di Sprint è relativamente lieve, con un incidente di violazione interna avvenuto nel 2010.

Bottom Line: Sprint ha il miglior punteggio complessivo e una delle migliori storie di sicurezza delle aziende che abbiamo studiato. Come AT&T, potrebbe rendere le cose ancora più rigide proteggendo i cookie e utilizzando DNSSEC.

Verizon - www.verizon.com - 386 di 950

Verizon è un altro importante attore nel settore delle telecomunicazioni, che fornisce servizi di telefonia wireless e banda larga a milioni di persone. Inoltre, Verizon si occupa di sicurezza, pubblicando l'annuale Verizon Data Breach Incident Report (DBIR). Ironico quindi, che Verizon abbia il nostro secondo punteggio più basso a 386, collocandoli esattamente nella categoria degli avvertimenti. È importante notare il modo in cui viene distribuito il punteggio. Il punteggio delle comunicazioni di Verizon (sicurezza e-mail e DNS) è piuttosto alto a 922, ma il punteggio del suo sito web è un misero 282. Come è successo? Semplice: Verizon non dispone di SSL a livello di sito. Ciò significa che le pagine possono essere caricate senza crittografia SSL e, se tali pagine contengono moduli, i dati inseriti in esse (nomi utente, password, numeri di carte di credito, ecc.) vengono trasmessi in testo normale su Internet. Le entrate di Verizon nel 2015 sono state di circa 130 miliardi di dollari, più del PIL di molti paesi. L'implementazione di SSL in tutto il sito e di altre misure di sicurezza sulla sua pagina web principale sembra un investimento modesto per i vantaggi che offre. Questo dovrebbe essere ovvio, data la violazione dei dati potenzialmente enorme che Verizon ha rivelato all'inizio di quest'anno, dopo che un milione e mezzo di record di clienti sono stati messi in vendita sul dark web. E a differenza delle violazioni di AT&T e Sprint che abbiamo menzionato, questa è avvenuta a causa di una vulnerabilità nel sito Web di Verizon.

In conclusione: se Verizon correggesse il suo SSL, il suo punteggio sarebbe probabilmente superiore a quello di Sprint. Fino a quando non lo fa, tuttavia, se utilizzi il sito Web di Verizon, controlla il lucchetto sul tuo browser per assicurarti che la tua connessione sia crittografata prima di inviare o ricevere dati sensibili.

T-Mobile (Deutsche Telekom) - www.t-mobile.com - 522 su 950

T-Mobile è il nome descrittivo inglese di Deutsche Telekom, una società di telecomunicazioni tedesca che opera a Bonn. Sebbene gran parte della sua attività sia europea, ha anche la terza rete wireless più grande d'America, con oltre 65 milioni di clienti. T-Mobile ha ottenuto un punteggio medio di 522, principalmente a causa del fatto che anche questo manca di SSL a livello di sito. SSL è la forma più elementare di sicurezza su Internet. È ciò che crittografa i dati tra il client e il server, rendendoli inaccessibili a terzi. È piuttosto facile ed economico da implementare e i vantaggi che offre sono molti. Potrebbe sembrare familiare, ma T-Mobile ha subito una violazione dei dati alla fine del 2015 come parte dell'hack Experian, che ha colpito oltre 15 milioni di clienti. Questo è stato un esempio di violazione di terze parti, in cui la sicurezza di un partner o di un fornitore di fiducia è compromessa, portando alla violazione dei dati sensibili di proprietà dell'azienda principale.

In conclusione: come Verizon, T-Mobile ha bisogno di risolvere la sua situazione SSL il prima possibile. La richiesta di connessioni crittografate dovrebbe essere una pratica standard su tutta la linea. Fino ad allora, l'onere è sui clienti di prestare attenzione quando trasmettono informazioni importanti.

CenturyLink - www.centurylink.com - 347 di 950

Centurylink è una società americana di rete fissa e banda larga, la terza più grande dietro AT&T e Verizon. Ha anche ottenuto il punteggio più basso tra le aziende che abbiamo scansionato, con un 347. L'altro sito, centurylink.net, era più o meno lo stesso, con un punteggio di 482. La mancanza di SSL e SPF fa scendere i punteggi del sito Web e delle comunicazioni di CenturyLink, mentre il punteggio di approvazione del 60% del CEO e la scarsa valutazione complessiva dell'azienda da parte dei dipendenti riducono anche il punteggio aziendale. Il motivo per cui includiamo queste valutazioni come parte del profilo di sicurezza esterna di un'azienda è che più i dipendenti sono insoddisfatti della loro azienda, maggiore è la probabilità di una violazione interna.

Bottom Line: Non sembra buono per CenturyLink, che ha problemi in ogni categoria. Ha bisogno di rivalutare la sua resilienza esterna e di impiegare meccanismi di sicurezza comuni per migliorare la sua sede.

Frontiera - www.frontier.com - 587 di 950

Come CenturyLink, Frontier opera nel mercato della banda larga/fissa. A differenza di CenturyLink, il suo punteggio è medio di 587, con forti sezioni di comunicazione e business. La cosa interessante del punteggio di Frontier è che, sebbene abbia abilitato SSL in tutto il sito, non ha quasi nessuna delle altre misure di sicurezza in atto, come la protezione dei cookie o l'occultamento delle intestazioni. Tuttavia, almeno le comunicazioni del sito Web di Frontier sono crittografate correttamente e utilizza SPF per le e-mail. Sebbene gli operatori di rete fissa come Frontier e CenturyLink possano sembrare meno rischiosi per la sicurezza rispetto agli operatori wireless, la realtà è che tutti hanno informazioni sensibili sui clienti e devono prendersene cura.

Bottom Line: Frontier è a metà del gruppo, con una sicurezza decente e molto spazio per crescere, ma ha SSL, quindi sai che le tue trasmissioni sono crittografate.

Vodafone - www.vodafone.co.uk - 527 su 950

Abbiamo anche esaminato quattro fornitori di telecomunicazioni al di fuori degli Stati Uniti, a partire dall'inglese Vodafone. Vodafone è il secondo più grande fornitore di telefonia mobile al mondo dopo China Mobile e ha oltre 100.000 dipendenti in tutto il mondo. Mentre il suo punteggio complessivo era in media di 527, la parte del sito web del suo punteggio era pericolosamente bassa di 296. Se hai indovinato che Vodafone non aveva SSL a livello di sito, buon per te, perché la mancanza di SSL gli è costata cara. C'è una vecchia credenza secondo cui solo alcune pagine o moduli devono essere crittografati e che il resto del sito dovrebbe essere servito non crittografato. Il problema con questo modo di pensare è che il passaggio tra connessioni SSL e non SSL pone l'onere di una corretta gestione SSL sull'IT. Ogni volta che viene visualizzata una nuova pagina, qualcuno deve assicurarsi che si trovi nella "sezione SSL" del sito Web se contiene informazioni sensibili. Con il modo in cui le configurazioni cambiano e i sistemi e le persone vengono sostituiti nel tempo, è facile capire come potrebbe verificarsi una svista. E molti lo fanno, alcuni portando all'intercettazione di credenziali, informazioni di identificazione personale (PII) o informazioni sulla carta di credito da parte di terze parti malintenzionate. Vodafone ha fatto notizia alla fine del 2015 quando una violazione dei dati ha compromesso i dettagli finanziari di oltre 2.000 clienti.

In conclusione: nessun SSL a livello di sito significa una grande ammaccatura nel punteggio. La forte sicurezza delle comunicazioni e il profilo aziendale di Vodafone aiutano a mantenere la media del punteggio complessivo, ma il suo sito web ha bisogno di un po' di attenzione.

Telstra - www.telstra.com.au - 680 di 950

Telstra è la più grande società di telecomunicazioni australiana che fornisce servizi in diversi ambiti, tra cui rete fissa, mobile, banda larga e televisione. Con il 3° punteggio più alto, leggermente dietro AT&T, Telstra ha messo in atto alcune ottime misure di sicurezza. Il punteggio del suo sito web di 826 lo colloca ben al di sopra della maggior parte delle altre aziende che abbiamo analizzato in quella sezione. L'implementazione SSL di Telstra è completa e ben configurata. Ciò che fa scendere il suo punteggio è la mancanza di SPF e DMARC per le loro e-mail. Esistono meccanismi come SPF, DKIM e DMARC per combattere i tentativi di spoofing, che si tratti di attacchi di phishing (spear) o di consegne di malware. Verificano che la posta provenga da chi dice di provenire. La mancanza di queste misure rende molto più facile sfruttare dipendenti e clienti tramite e-mail.

In conclusione: il sito Web di Telstra è quasi perfetto, ma ha bisogno di alcuni meccanismi di sicurezza intorno al suo dominio di posta elettronica per proteggersi dagli attacchi di quel vettore. Nel complesso, Telstra è al di sopra della media, nonostante abbia entrate inferiori rispetto a molti dei suoi concorrenti con punteggi inferiori.

China Mobile - www.chinamobileltd.com - 475 di 950

China Mobile è il più grande provider wireless al mondo. È di proprietà dello stato, che almeno taglia fuori l'intermediario tra le comunicazioni private e la sorveglianza statale nazionale. Le entrate di China Mobile sono enormi, la sua base di clienti è enorme e la sua sicurezza esterna è molto scarsa. Il suo punteggio di 475 lo colloca nella categoria degli avvertimenti, con solo il suo punteggio aziendale che lo sostiene. Non c'è SSL, SPF, DMARC, DNSSEC. Il loro sito Web e i punteggi di comunicazione subiscono gravi colpi dalla mancanza di questi protocolli di base. China Mobile gestisce anche un portale clienti presso hk.chinamobile.com ma quel sito ha ottenuto un punteggio ancora più basso, a 389. C'è SSL su alcune parti del suo sito, ma gli elementi non SSL all'interno della pagina e le normali pagine http rendono il sito un miscuglio di elementi crittografati e non crittografati, che alla fine finisce sempre con vulnerabilità.

Bottom Line: scarsa sicurezza ovunque, su più siti. China Mobile dovrebbe ripensare la sua politica SSL e implementare protocolli di posta elettronica sicuri.

NTT (Nippon Telegraph & Telephone) - www.ntt.co.jp - 390 su 950

La giapponese NTT è il terzo provider wireless al mondo e impiega quasi 250.000 persone. Come China Mobile, il suo profilo di sicurezza esterna è piuttosto debole, con il suo punteggio di comunicazione che raggiunge un pericoloso 226, con una quasi totale mancanza di meccanismi di verifica. Il punteggio del sito Web di NTT riflette la mancanza di SSL e di un'adeguata configurazione della difesa, il che è pericoloso, poiché NTT serve un portale clienti direttamente attraverso questo dominio. Non è di buon auspicio che i giganti delle comunicazioni come NTT e China Mobile non stiano facendo della sicurezza informatica una priorità. La natura della loro attività li pone all'avanguardia nella difesa delle informazioni e se non sono preparati, sono i loro clienti a pagarne il prezzo.

In conclusione: NTT deve rivalutare la propria strategia di sicurezza informatica e adottare misure per migliorare la resilienza esterna.

Sommario

Con la quantità di informazioni che le società di telecomunicazioni gestiscono, la sicurezza dovrebbe essere una delle loro massime priorità. Ma i dati mostrano un approccio relativamente lassista alla sicurezza da parte della maggior parte dei fornitori, con alcuni che non riescono a fornire una protezione adeguata del tutto. Non sorprende che le violazioni dei dati siano in aumento, con l'aumento di attacchi informatici sofisticati e l'assenza di una risposta equa da parte dei loro obiettivi. Come minimo, ci si dovrebbe aspettare che le aziende forniscano SSL a livello di sito per i loro clienti e, se non lo fanno, perché no? L'abitudine alla sicurezza deve essere praticata per rimanere efficace. Gli attacchi cambieranno e le difese necessarie insieme a loro. Fare affari nell'era di Internet significa affrontare i rischi dell'era di Internet. La mancata protezione da tali rischi mette sia le aziende che i clienti a rischio di costose e imbarazzanti violazioni dei dati.

Scansiona qualsiasi sito web con il risk grader esterno di UpGuard per vedere come si accumula la sua sicurezza.