La componente umana nella cybersicurezza | Gianluca Varisco | TEDxOrtygia

Gianluca lavora attualmente come Chief Information Security Officer (CISO) per Arduino, la più popolare piattaforma Open Source per la progettazione elettronica. Dal palco di TEDxOrtygia, ci esorta ad una rinnovata attenzione per la sicurezza informatica, ogni giorno più importante.

Questo intervento è stato presentato a un evento TEDx, che utilizza il format della conferenza TED ma è stato organizzato in maniera indipendente da una comunità locale.

Per maggiori informazioni, visita il sito http://ted.com/tedx

Buongiorno a tutti.

Oggi sono qui per raccontarvi
quello a cui tengo di più,

ovvero l'empatia legata
alla sicurezza informatica.

Se ci pensate, empatia
e sicurezza informatica

apparentemente sono
due parole molto lontane:

da quando c'è empatia,
nelle persone che svolgono questo lavoro?

E da quando c'è empatia,

in quelle che sono poi le minacce
che andiamo ad affrontare oggi,

e che stiamo affrontando
tutti insieme oggi ogni giorno?

Facciamo una premessa:
quando parliamo di sicurezza informatica,

le persone che ci lavorano all'interno
sono generalmente considerate persone -

senza distinzione tra hacker buoni
e hacker cattivi, che vedremo oggi -

sono considerate persone
che apparentemente sono poco socievoli,

apparentemente sono persone un po' strane,

che fanno dei tratti caratteristici,
dei loro tratti psicologici, sociali,

quello che forse è anche
il loro cavallo di forza,

il loro cavallo di battaglia.

Quindi persone che pensano un po'
"out of the box", fuori dagli schemi,

per svolgere al meglio
la propria passione,

per portare avanti quello che amano fare.

Abbiamo lo stereotipo dell'hacker -

adesso sto portando avanti
un qualche film in queste slide,

forse qualcuna è anche più familiare -

Questa è sicuramente è la slide
che tutti quando mi dicono:

"Ah, ma tu conosci degli hacker?",

hanno sempre Matrix in mente
come quella scena,

quindi uno schermo nero
con del codice verde.

Questo, ancora oggi,
è la figura dell'hacker,

una persona che sta tutto il giorno
davanti allo schermo nero,

a digitare del codice,
a volte anche apparentemente casuale,

e poi ci vedono così:
la sera, finito di programmare,

siamo vestiti così,
andiamo fuori a fare le nostre cose,

vestiti in questo modo.

Ora, questa è una maschera di Guy Fawkes.

Guy Fawkes fu una persona

che, se vogliamo, solamente
nel cinque novembre del 1605,

in quanto membro
della "Congiura delle polveri",

decise di provare a far saltare
la Camera dei Lord a Londra;

quindi da allora,
negli ultimi anni soprattutto,

molti degli attacchi
informatici che vediamo

hanno la maschera di Guy Fawkes -

che avete visto probabilmente
anche in "V per vendetta", il film -

hanno questa figura
del rivoluzionario, del ribelle,

della persona che si nasconde
dietro la maschera di un qualcuno

che, a detta sua,
e non sarò io qui a giudicare,

fece un qualcosa di molto rilevante,
un'azione molto rilevante.

Ora, come vi dicevo,

i tratti con cui ci troviamo a discutere
quando parliamo di sicurezza informatica,

vedono nell'hacker, anche, una figura

dalla psiche -

quindi a livello psicologico
molto fragile, molto diversa

da quella che è la "realtà"
a cui siamo abituati.

E ancora oggi, è molto difficile
avvicinarsi agli hacker,

agli appassionati di informatica,

perché vengono visti come quelle persone

che pensano fuori
dall'ordinario, come dicevo,

e che tuttavia ci tengono a mantenere
il loro riserbo, la loro privacy,

quindi a non esporsi troppo
col mondo circostante, in cui vivono,

ma a isolarsi nel cosiddetto scantinato
con i propri simili, a programmare.

Ecco, questo è uno degli stereotipi -

non sbagliato, ma che sicuramente
ha tante sfaccettature,

che oggi vi mostrerò.

Ora, che cos'è la sicurezza informatica?

Negli ultimi anni vediamo
sempre più spesso parlare,

anche sui giornali -
finalmente, mi viene da dire -

di credenziali trafugate,
carte di credito violate o clonate,

siti web che sono stati compromessi

e le informazioni dei clienti
presenti all'interno di questi siti web

venduti da malintenzionati,

i cosiddetti -

oggi mi sentirete parlare molto
di "attori malevoli",

dopo vi spiegherò,
sotto il mio punto di vista,

che cosa sono gli attori malevoli.

E quando parliamo
di sicurezza informatica,

va fatto un appunto molto importante:
non esiste software sicuro.

Chiunque vi provi a vendere
qualsiasi marchio,

qualsiasi persona là fuori
vi provi a vendere un "software sicuro",

dovete sapere che sta mentendo.

Un software può essere sicuro
a un dato momento X.

Quindi oggi un software
è apparentemente sicuro, è vero;

ma il tutto può cambiare velocemente.

Domani, successivamente a una verifica

fatta da esperti di sicurezza
o da appassionati del settore,

che si sono messi a testare
eventuali vulnerabilità,

a cercare vulnerabilità
all'interno di questo software,

capirete che un software che a oggi -

avete sentito qualche giorno fa,
probabilmente, di WhatsApp.

WhatsApp era a detta di tutti inviolabile.

L'inviolabilità di un software
dipende sempre, e va di pari passo,

con quello che è l'investimento

che un attore malevolo mette
nel trovare vulnerabilità.

Voi pensate che ci sono hacker
che trovano vulnerabilità per gioco,

ci sono hacker che vengono retribuiti
per trovare vulnerabilità,

retribuiti in maniera legale
o anche in maniera illegale.

Quindi ci sono soggetti che finanziano
questo tipo di ricerca atto a:

la vendita successiva della conoscenza,

quindi la potenziale vendita

di vulnerabilità da sfruttare
contro altri target;

e ci sono poi hacker invece etici,

che trovano vulnerabilità

per il solo gusto di mettersi alla prova,
di trovare vulnerabilità,

di lavorare con chi ha creato
questo software

e metterlo in sicurezza.

Quindi da un lato
abbiamo gli hacker etici:

io, una cosa a cui tengo tantissimo

è appunto fare la distinzione
tra criminale, un normale criminale,

sia esso informatico o meno,

che trae profitto arrecando dei danni

o arrecando, se vogliamo,
disagi ad aziende e a persone;

e l'hacker etico, il cui scopo appunto
è di mettere in sicurezza questo mondo.

Oggigiorno l'economia che si è creata
attorno alle vulnerabilità

fa sì anche che tantissimi ricercatori

vengano retribuiti dalle aziende
per trovare vulnerabilità;

e retribuiti dalle aziende
per mettere al sicuro il mondo

prima che attori malevoli
possano sfruttare queste vulnerabilità.

Ora, come mettiamo al sicuro il mondo?

È un lavoro di squadra.

Pensate semplicemente
a quando aggiornate il vostro telefonino,

quindi avete un iPhone, Android,
qualsiasi altro marchio,

e premete "Aggiorna Telefono";

il telefono si riavvia,
avete applicato gli aggiornamenti,

avete fatto la vostra
buona azione per oggi,

ovvero mettere in sicurezza voi stessi,
e chi vi sta anche intorno,

attraverso semplicemente un click.

Di pari passo, l'azienda deve lavorare

sulla propria ricerca,
sulla propria sicurezza,

al fine di mettere in sicurezza

tutto quello che è l'ecosistema software
di cui ha controllo.

Ora, dovete immaginare
la sicurezza informatica,

e questa ricerca delle vulnerabilità,

come una casa, al cui interno
viene installata una porta blindata.

Probabilmente, l'installazione
della porta blindata

fa sì che un ladro
dotato di un grimaldello

non riesca ad entrare:

ma pensate se al posto di un ladro
dotato di un grimaldello -

quindi probabilmente avete filtrato via
il 70 percento di ladruncoli qualunque.

Tuttavia c'è ancora un 30%, un 20%
che è dotato di strumenti sofisticati

o che semplicemente trova il modo
di entrare dalla finestra.

La stessa cosa avviene per la sicurezza.

La sicurezza è fatta di tanti componenti,

le aziende sono fatte
di tanti componenti - software, hardware -

anche solo casa vostra
è fatta di tanti componenti,

connessi a Internet, con un cervello:

quindi i cosiddetti smart toys
nel caso dei giocattoli,

smart objects, quindi pensiamo a -

fa un po' ridere la cosa,

ma la vostra macchina, spesso,
ha un cervello connesso a Internet,

le macchine più recenti.

Oppure il frigorifero -

anche il frigorifero
riceve degli aggiornamenti;

la televisione.

Quindi stiamo andando in un mondo
sempre più iperconnesso

e stiamo andando verso un mondo
dove nei prossimi anni

vedremo un'esplosione
di "dare un cuore", "dare un cervello"

e mettere online un qualsiasi dispositivo
spesso progettato non per finire online,

ma che poi finisce online
per necessità di mercato.

Quindi non creato tenendo in mente
la sicurezza nello sviluppo;

ma che una volta messo
nell'economia di massa,

quindi installato ovunque nel mondo,

qualcuno si chiede:

e adesso come faccio
a metterlo in sicurezza?

Tornando al tema dell'empatia,
ci tengo molto a dirvi

che la sicurezza elettronica
è sicuramente un problema tecnologico,

ma non solo.

Secondo me è frutto di collaborazione
tra le persone che ne fanno parte;

e Alex Stamos è l'ex capo
della sicurezza di Facebook,

e nel 2016 ha provato a strigliarci.

Io faccio parte di quelli
che sono i tecnologi di questa industria,

e ci ha strigliato dicendoci:

"Voi siete bravi e tutto,
vi mettete di impegno;

ma non pensate alle persone.

Pensate unicamente agli aspetti
tecnologici del problema,

non pensate a rendere la vita
delle persone più semplice,

applicando i vostri filtri, i controlli,

diciamo le "migliorie", a detta vostra,
in termini di security.

E non riuscite a mettervi
nei panni delle persone

che utilizzano la tecnologia ogni giorno.

Quindi la tecnologia non è intuitiva,
la tecnologia è difficile;

e tutte le migliorie che apportate
a livello di sicurezza

rendono la vita delle persone
più complessa,

invece che facilitarla".

Questo ha creato un grosso dibattito

e anche delle grosse polemiche
attorno a questo tema;

Tuttavia, la sicurezza
è fatta di tanti componenti;

e il componente umano nella sicurezza,
come vedremo nelle prossime slide,

è essenziale,

perché tutti noi, oggi,
siamo bombardati di mail -

questi sono solo due esempi di e-mail

dove vengono fatte
delle campagne di estorsione,

atte a estorcere denaro,
principalmente, mettendovi paura.

Una di queste era appunto:

"Ti sto guardando da alcuni mesi,
ho tutti i dati del tuo computer,

ho accesso al tuo computer,
posso vedere quello che fai".

E per renderla quasi vera, o meglio reale,
che una persona ci può cascare,

vengono utilizzate delle informazioni

che vengono carpite
o attraverso i social network,

o attraverso quelli che, poi dopo vedremo,

sono le violazioni
all'interno dei siti web

e il successivo furto di dati.

Perché questi attori malevoli

usano i vostri dati
per girarvi la minaccia,

quindi: abbiamo i vostri dati;

invece di usarli vi ricontattiamo
per mettervi ancora più paura,

perché dandovi più dettagli
su voi stessi, sulla vostra vita,

voi direte: allora questa persona
fa sul serio, stiamo attenti.

Se possiamo mandare un video dalla regia,
volevo farvi vedere, anche,

perché la sicurezza
è un lavoro di squadra.

WannaCry, il 12 maggio del 2017,

fu un attacco - quindi un worm.

Un gruppo di persone sviluppò
questo virus se vogliamo,

che andava a sfruttare
una versione vecchissima

di un sistema operativo,
Windows nello specifico,

e che per colpa
delle persone, se vogliamo,

che non hanno aggiornato, semplicemente -

torniamo al tema degli aggiornamenti:
l'aggiornamento vi mette in sicurezza,

è una cosa tanto semplice
quanto ancora la grande sfida,

aggiornare i propri sistemi,
aggiornare i propri ambienti produttivi -

Ecco, l'assenza di queste pratiche
di "buona igiene e di sicurezza",

così si definiscono nel gergo,

fece sì che in un giorno solo -
questo è il terzo giorno già -

arrivammo a quasi 500.000
infezioni in tutto il mondo.

Queste infezioni, appunto,
colpirono per primi gli ospedali UK;

e poi si propagarono su tutta Internet.

Internet è uno strumento molto potente
in quanto siamo interconnessi appunto,

come dice la stessa parola:

tutte le aziende
sono interconnesse fra loro,

tutto Internet stesso
è esposto a tante persone,

a tanti attori, malevoli e non;

e quindi è un ambiente
molto fragile, ancora oggi,

una sorta di castello di carta

che basta una piccola miccia
per far esplodere.

Quindi, questa fu
la mappa delle infezioni.

Come vedete, nessuno fu risparmiato:

buona parte del mondo fu infettato,

e a livello economico
riprendersi da questa problematica,

quindi da questi che furono
i problemi creati da WannaCry,

ci si misero mesi.

La produzione di molte aziende fu sospesa,

e voi sapete meglio di me
quanto la produzione -

pensate alla produzione
di una filiera industriale:

sospendere la produzione
di una filiera industriale

comporta milioni di euro,
potenzialmente al giorno, persi,

in attesa di reinstallare
tutti i vostri sistemi,

tutta la vostra infrastruttura.

E questo perché fu sfruttata
una vulnerabilità

di un qualcosa risolto sei anni prima.

Quindi, per sei anni
le persone hanno ignorato -

perché tanto non c'è
la consapevolezza del rischio.

Uno dei grossi problemi,
una delle grosse sfide che abbiamo

è essere consapevoli
dei rischi che corriamo.

Ora, deve venire dall'alto.

Io sempre più spesso, purtroppo,

quindi in controtendenza
con quello che dovrebbe essere,

sento e avverto la mancanza
di consapevolezza dei rischi cyber,

quindi di quelle che sono le problematiche

legate all'informatica,
alla sicurezza informatica,

alle sfide, agli attacchi informatici

da parte del top management,

quindi da dirigenti
e amministratori delle aziende.

Ci sono questi cinque punti
che ho riportato oggi nella slide,

che ci tengo a leggere con voi.

Il primo è: "no,

questo attacco informatico
che stiamo subendo non mi riguarda,

riguarda lo stagista
o riguarda il marketing",

Quindi l'ambiente dirigenziale
si sente sempre escluso

da quello che può essere
un attacco informatico,

quando invece è esattamente l'opposto.

Un attore malevolo, quindi un attaccante,

vuole carpire informazioni
dalle persone che ne hanno di più,

vuole estrarre queste informazioni,

quindi compie un furto
d'identità o di dati

dalle persone che hanno accesso
a più dati possibili,

quindi sono esattamente loro

le prime persone
che vengono attaccate ove possibile.

Oppure vedere il tema della cybersecurity

come un tema di IT,
quindi di Information Technology,

del dipartimento di Informatica.

Anche questo è assolutamente falso:

la sicurezza informatica
ci riguarda tutti,

ogni computer connesso
a una rete aziendale,

o anche alla rete di casa vostra,
è un potenziale target.

Quindi non si tratta del programmatore,

dell'esperto di sicurezza
o del responsabile tecnico;

ma si tratta di tutte le persone.

Quindi è un lavoro di squadra
che riguarda tutti.

Un'altra delle grosse sfide

è far capire che gli attacchi
provengono anche dall'interno:

parliamo di spionaggio industriale,
parliamo di malcuranza dei propri sistemi,

quindi mancati aggiornamenti
sui propri dispositivi personali

collegati a reti aziendali,

che fanno sì che l'azienda
venga compromessa

attraverso quello che è un cellulare
a uso personale di una persona,

o un portatile di una persona.

Pensare che il cloud,
che va di moda oggi giorno,

quindi sempre più aziende
si stanno affidando al cloud,

ovvero mettere i propri sistemi,
i propri dati presso qualcun altro,

quindi non avere più in casa
da gestire sistemi, applicazioni, reti -

nulla di tutto ciò.

Metti su Internet, e da lì
accedi remotamente a questi dati.

Per certi versi, se è fatto bene

può essere molto più sicuro
della vostra infrastruttura,

magari gestita in uno scantinato aperto
senza misure di sicurezza.

Tuttavia va specificato

che non è che il cloud
sia la panacea di tutti i mali;

è un lavoro di squadra anche lì,

è un cosiddetto lavoro
di responsabilità condivisa:

dovete lavorare col cloud provider
affinché tutto questo sia possibile.

L'assenza di empatia fa sì
che creiamo prodotti che nessuno usa,

quindi che non tengono
in considerazione l'utente,

che sono tutto fuorché usabili,
semplici, funzionali;

e che semplificano la vostra vita.

Quindi la grossa sfida
che abbiamo, come tecnologi,

è quella di lavorare
il più possibile insieme

affinché questi programmi,
questi software vengano utilizzati.

Non riusciamo a capire

come i nostri avversari
ragionino o lavorino:

se non ci mettiamo nella testa
di un possibile attaccante,

non riusciremo mai
ad anticipare le sue mosse.

Clienti e impiegati aggirano i controlli:

più livelli di sicurezza senza senso

aggiungerete all'interno
dei vostri processi,

più le persone diventeranno
creative nel bypassarli.

Quindi, essere coinvolgenti:

quando facciamo sicurezza
all'interno di un contesto,

dobbiamo farlo per gli altri, non per noi:

se no, non essendo empatici,
non mostrando empatia,

non avremo alcun supporto
da parte delle aziende.

Queste sono le frodi tradizionali:

se ci pensate,

chi di voi non ha ricevuto soldi
da un principe in Africa lontano?

Chi di voi non ha ricevuto
biglietti aerei,

o voucher gratuiti di Netflix,

o qualsiasi tipologia di -
siamo bombardati ogni giorno di email.

Email di servizi
che a volte usiamo, a volte no.

Ci sono tante campagne di phishing
che vedono protagoniste persone

che hanno dato a una banca X i propri dati

non essendo nemmeno clienti
di quella banca,

ma si sono fidati di questa email
di questa banca che gli ha scritto,

e questa banca ogni settimana
chiedeva un cambio anagrafico,

o la nuova password o il nuovo username.

E le persone si sono fidate
perché la mail era legittima,

il logo era carino,
il testo sembrava scritto bene,

e comunque mi è arrivata,

quindi dovevo assolutamente
essere sicuro che fosse quella mail.

Quindi chi di voi ha mai vinto un viaggio,
ad esempio, o un biglietto aereo

rispondendo a una di queste mail,
compilando uno di questi moduli?

Credo nessuno, in questa stanza.

L'attacco, ovviamente - il vettore
ancora oggi più comune è la mail.

Le persone ricevono mail

che possono contenere all'interno
link da cliccare,

pagine che si aprono
dall'apparenza realistica,

oppure dagli allegati.

Allegati malevoli,
con cui fate doppio clic,

vi chiedono "continua
a cliccare su questo file"

ma non succede nulla,

e avete appena dato l'accesso
al vostro computer

a un attore malevolo.

Questa persona, da quel momento,

tramite il vostro click
"responsabile", se vogliamo,

ha accesso a tutti quelli
che sono i vostri dati,

può vedere in tempo reale
le cose che digitate.

Notizia di due giorni fa:

una gang europea arrestata,

che ha sottratto
circa 41.000 conti in banca

per un totale di 100 milioni
di dollari in questo modo.

Facevano installare qualcosa alle persone
tramite campagne di email,

le persone facevano doppio clic;

e poi intercettavano, semplicemente,

quando le persone si autenticavano
nella propria banca,

magari per mandare i soldi al figlio.

A volte non serve neanche

tutta questa complessità
di studiare una campagna di phishing,

trovare una persona,

perché i social network
ci hanno aiutato molto in questo.

Hanno aiutato le persone malevoli,
in questo, gli attori malevoli.

Pensate a Instagram:
con un hashtag specifico,

#boardingpass (carta di imbarco),

voi avete a disposizione un 125-126 mila
carte di imbarco delle persone,

che stanno vicino a voi o anche lontano.

Voi mi direte: ok, ma è una carta
di imbarco, chi se ne frega.

Una carta d'imbarco è abbastanza per:

autenticarsi nel sistema
della vostra compagnia aerea;

ristampare il biglietto

e usare quel biglietto per accedere
ad aree riservate dell'aeroporto;

e potenzialmente fare qualcosa
che potete immaginare,

o anche semplicemente rubare le miglia,

o se il vostro profilo
all'interno del vostro sito

contiene la carta di credito,
prenotare altri biglietti.

Carte di credito:
io non pensavo fosse possibile,

ma sui social network

le persone pubblicano
le proprie carte di credito.

E voi mi direte: va beh, sì,
ma tanto è il davanti della carta,

c'è quel codice, ci puoi fare poco
perché non hai il codice supersegreto.

Qui le persone ci vengono incontro
e solitamente mettono fronte-retro:

vedete, è più bello anche.

Oppure commentano ancora, perché questo
è un thread bellissimo su Twitter,

dove tante persone hanno cominciato
a chiedere alla persona:

sì, ma vogliamo vedere anche
se il codice ti assomiglia,

è vicino alla tua personalità.

E lei tutta gasata
ha risposto con questo codice.

Ovviamente queste carte qua
vanno bloccate subito,

perché possono essere utilizzate.

Per molti pagamenti online,

non è neanche necessario il codice dietro.

La password è il grosso problema
di questi tempi.

Voi direte: nel 2019,
le password sono superate.

Le password sono ancora il miglior mezzo

per prendere possesso
dell'identità digitale di una persona.

Le password vengono gestite in malo modo
da tanti di noi, forse anch'io;

ma soprattutto, l'assenza
di consapevolezza è il problema.

Quanti di voi in ufficio
hanno colleghi - o anche a casa -

che salvano le password
o su un file di testo sul desktop,

oppure muri pieni di post-it
o su post-it sullo schermo ad esempio.

O ancora, questa azienda
secondo me li batte tutti,

perché un foglio all'ingresso
dell'azienda che diceva:

dite chi siete, dite la vostra
password attuale

e che password volete
dalla settimana prossima;

e quindi le persone hanno cominciato
a scrivere tutte le password.

Qui vado molto veloce,

ma le password oggigiorno
sono sempre quelle:

tutti usano 123456,
tutti usano le solite combinazioni,

quindi ci piace avere
le combinazioni sott'occhio.

quindi dalla Q alla P, come vedete,
sono le combinazioni più utilizzate,

siamo un po' pigri
quando settiamo le password.

E noi tecnologi come rispondiamo?

Complicando le regole
per i settaggi della password.

Cambiare la password
ogni settimana, su un piede solo,

inserendo due caratteri,
maiuscoli, minuscoli,

non replicando le password precedenti.

Questa è, sicuramente,
la risposta che poi riceviamo,

e questo è come le persone rispondono

a quella politica restrittiva
che noi abbiamo appena messo:

uno è il carattere più utilizzato
dopo la password precedente,

quindi le persone cambiano la password,

ma mettono l'1 finale,
o il punto esclamativo.

Quindi, cosa fare - per chiudere,
che siamo in ritardissimo?

Le cose sono molto semplici.

Questo è un invito quando andate a casa:

ogni singolo servizio
deve avere una sola password,

quindi è necessario
che quella password sia univoca,

cosicché, se quel dato sito
viene compromesso

voi non veniate esposti completamente.

Quindi la vostra violazione
si limita a questo web,

quindi abbiate password
univoche per ogni servizio.

Utilizzate un secondo livello
di autenticazione:

la banca già adesso vi manda un sms,
o vi ha dato un token fisico.

Utilizzatelo anche per tanti servizi
che lo mettono a disposizione.

I "Password manager"
sono quelle applicazioni

che vi possono aiutare
per gestire le password.

Applicare gli aggiornamenti:
sembra una cosa scontata,

ma applicate gli aggiornamenti
al vostro frigorifero,

alla vostra auto, al vostro tostapane,
al vostro baby monitor,

a qualsiasi dispositivo
connesso a Internet a casa vostra.

Infine testate le copie di dati che fate.

Non è sufficiente copiarle
su un disco o su un floppy,

perché poi tra cinque anni direte:
ma come faccio a leggere questo floppy,

che non ho più il lettore di floppy?

O ancora, un cd
si deteriora, in cinque anni.

Quindi siate un po' consapevoli
che non basta copiare i dati,

ma vanno copiate e vanno testate le copie.

Questo è un regalo:

andate su questo sito
e mettete la vostra email.

Voi direte: alla fine
di tutta questa discussione

regaliamo la nostra mail?

Sì, vi potete fidare,
non perché è bellino il logo,

ma perché il servizio è legittimo;

e mettendo la vostra email
vi si aprirà un mondo,

perché capirete quanto la vostra email
è esposta su Internet,

quindi quali sono i siti
che hanno la vostra email

che hanno subito una violazione

e lì capirete che - e qui non ridete -

se usate la stessa password
per tutti i servizi

basta una violazione
per esporvi totalmente.

Grazie mille dall'attenzione.

(Applausi)