La sicurezza informatica nei sistemi eCommerce è l’insieme di tecnologie, protocolli e procedure che proteggono le transazioni digitali, i dati dei clienti e l’infrastruttura software da accessi non autorizzati, attacchi e violazioni. Si fonda su tre pilastri: protezione dei dati personali (GDPR), sicurezza dei pagamenti (PCI DSS) e solidità dell’infrastruttura tecnica. Un e-commerce privo di misure adeguate espone l’azienda a perdite economiche, sanzioni normative e danni irreversibili alla reputazione.
Perché la sicurezza di un eCommerce è una priorità strategica – non solo tecnica
Quando si parla di sicurezza informatica applicata agli eCommerce, il primo errore che molte aziende commettono è trattarla come un problema esclusivamente tecnico: qualcosa da delegare al reparto IT o al fornitore della piattaforma, e poi dimenticare. Questa visione è non solo incompleta, ma pericolosa.
La sicurezza di un negozio online è prima di tutto una questione di strategia aziendale. Ogni vulnerabilità non corretta è un rischio misurabile in euro: il costo medio di una violazione dei dati per un’azienda supera i tre milioni di euro, considerando i danni operativi, le sanzioni del GDPR, il calo di fiducia dei clienti e le potenziali azioni legali.
I dati del Clusit (Associazione Italiana per la Sicurezza Informatica) mostrano un aumento costante degli attacchi in Italia, con il settore del commercio elettronico tra i più colpiti. La natura stessa di un eCommerce – raccogliere pagamenti, gestire dati sensibili, operare 24 ore su 24 – lo rende un bersaglio particolarmente attraente per i criminali informatici. A differenza di un negozio fisico, la porta d’ingresso digitale non ha orari di chiusura.
Comprendere i rischi reali non serve a generare allarmismo, ma a prendere decisioni informate su come allocare le risorse, quale infrastruttura scegliere e quali partner tecnologici selezionare. Il punto di partenza è sempre lo stesso: conoscere la propria superficie d’attacco.
Le principali minacce informatiche per un negozio online
Prima di costruire qualsiasi sistema di difesa, è necessario capire da cosa ci si deve difendere. Le minacce che colpiscono gli eCommerce sono molteplici e in continua evoluzione. Alcune sfruttano vulnerabilità tecniche del codice o dell’infrastruttura; altre, forse le più insidiose, sfruttano la distrazione o l’impreparazione delle persone.
Phishing e Spear Phishing: l’attacco che colpisce le persone, non i server
Il phishing è una delle tecniche di attacco più diffuse e continue a rappresentare una minaccia primaria per qualsiasi organizzazione che opera online. Il meccanismo è semplice: un criminale si spaccia per un’entità fidata – la tua banca, un corriere, un fornitore o persino la tua stessa azienda – e induce la vittima a fornire le proprie credenziali di accesso o a scaricare un file malevolo.
Lo Spear Phishing è una variante più sofisticata e mirata: invece di inviare messaggi generici a milioni di persone, il criminale studia la vittima specifica – il responsabile IT, il direttore commerciale o l’amministratore del pannello – e costruisce un messaggio credibile e personalizzato. Il risultato è spesso un accesso diretto al pannello di gestione del negozio o a sistemi aziendali critici.
La difesa principale contro il phishing non è solo tecnologica: include la formazione continua del personale, la verifica dell’autenticità delle comunicazioni ricevute e l’adozione di autenticazione a due fattori per tutti gli accessi sensibili.
SQL Injection: quando il database diventa il punto d’ingresso
La SQL Injection è un attacco di tipo tecnico che colpisce le applicazioni web mal progettate. In pratica, un malintenzionato inserisce codice SQL malevolo all’interno di un campo di input del sito – una barra di ricerca, un modulo di contatto, un filtro di categoria – con l’obiettivo di manipolare il database sottostante.
Se l’applicazione non è progettata per filtrare e sanificare correttamente gli input dell’utente, il codice iniettato viene eseguito direttamente sul database. Le conseguenze possono includere la lettura non autorizzata di tutti i dati dei clienti (nomi, indirizzi, cronologie d’acquisto), la sottrazione di credenziali di accesso o, nei casi più gravi, la cancellazione o la modifica dell’intero contenuto del database.
La prevenzione richiede un codice applicativo scritto seguendo le best practice di sicurezza (uso di prepared statement e query parametrizzate), revisioni periodiche del codice e l’utilizzo di un Web Application Firewall in grado di rilevare e bloccare i pattern di attacco più comuni.
Attacchi DDoS: bloccare le vendite nel giorno più importante dell’anno
Un attacco DDoS (Distributed Denial of Service) non mira a rubare dati, ma a rendere il tuo eCommerce completamente irraggiungibile. Il meccanismo consiste nel generare un volume di traffico artificiale così elevato da saturare le risorse del server, impedendo agli utenti reali di accedere al sito.
Per un eCommerce, il danno economico è immediato e direttamente quantificabile: ogni ora di downtime corrisponde a vendite perse, carrelli abbandonati e potenziali clienti persi a favore della concorrenza. Non è un caso che molti attacchi DDoS vengano eseguiti strategicamente durante i periodi di picco delle vendite – il Black Friday, i saldi stagionali, i lanci di nuovi prodotti – quando l’impatto economico per l’azienda è massimo.
La protezione da attacchi DDoS richiede un’infrastruttura server robusta con sistemi di rilevamento del traffico anomalo, servizi di scrubbing del traffico e piani di failover che garantiscano la continuità operativa anche in condizioni di attacco.
Ransomware: il sequestro digitale che paralizza l’operatività
Il ransomware è uno dei tipi di malware più devastanti per qualsiasi organizzazione. Una volta che il software malevolo infetta un sistema, cripta tutti i dati presenti – ordini, schede clienti, catalogo prodotti, documenti interni – rendendoli completamente inaccessibili. A quel punto, i criminali richiedono un riscatto (spesso in criptovaluta) per fornire la chiave di decrittazione.
Per un eCommerce, un attacco ransomware può significare giorni o settimane di inattività totale, con danni economici che vanno ben oltre il valore del riscatto richiesto. Le ripercussioni riguardano anche il rapporto con i clienti, la reputazione del brand e, in molti casi, l’obbligo di notifica alle autorità competenti previsto dal GDPR.
La difesa più efficace contro il ransomware è una combinazione di politiche di backup frequenti e testati regolarmente, segmentazione della rete, controllo degli accessi granulare e sistemi di rilevamento proattivo delle anomalie comportamentali.
Il fattore umano: vulnerabilità interne spesso sottovalutate
Non tutte le minacce arrivano dall’esterno. Una quota significativa degli incidenti di sicurezza ha origine all’interno del perimetro aziendale, spesso senza alcuna intenzione malevola. L’errore umano – una password debole, un clic su un link sospetto, l’invio di un file alla persona sbagliata – è responsabile di una larga parte delle violazioni che raggiungono i titoli di giornale.
Per un eCommerce, i punti critici includono la gestione delle credenziali di accesso al pannello di amministrazione, i permessi assegnati a collaboratori e sviluppatori esterni, la sicurezza dei dispositivi da cui si accede ai sistemi aziendali e la gestione dei dati condivisi con fornitori e partner logistici. Ogni accesso privilegiato non strettamente necessario rappresenta un rischio aggiuntivo.
Ridurre il rischio interno richiede un approccio sistematico: policy chiare sulla gestione delle password, principio del minimo privilegio nell’assegnazione degli accessi, sessioni di formazione periodiche e audit regolari degli account attivi.
I tre pilastri della sicurezza eCommerce: dati, pagamenti e infrastruttura
Una strategia di sicurezza efficace per un eCommerce non può concentrarsi su un unico aspetto. I rischi sono distribuiti su tre dimensioni fondamentali – i dati personali, le transazioni finanziarie e l’infrastruttura tecnologica – e la debolezza di anche uno solo di questi pilastri compromette l’intera struttura difensiva. Vanno analizzati e rinforzati come un sistema integrato.
Pilastro 1 – Protezione dei dati personali e conformità GDPR
Il Regolamento Generale sulla Protezione dei Dati (GDPR) non è solo un adempimento burocratico. Per un eCommerce rappresenta un framework operativo che definisce come raccogliere, conservare, trattare e proteggere i dati personali degli utenti. Nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e cronologie d’acquisto sono dati sensibili: un obiettivo primario per chi cerca di monetizzare le informazioni rubate.
La conformità al GDPR richiede l’implementazione del principio di privacy by design: progettare i sistemi in modo che raccolgano solo i dati strettamente necessari, li conservino per il tempo minimo indispensabile e li rendano accessibili solo a chi ne ha effettiva necessità. Questo non è solo un obbligo legale, ma anche una scelta strategica: dimostrare ai clienti che i loro dati sono trattati con rispetto costruisce un capitale di fiducia difficilmente sostituibile.
Le sanzioni per la mancata conformità possono raggiungere il 4% del fatturato globale annuo o 20 milioni di euro, a seconda di quale cifra risulti maggiore. Ma il danno reputazionale che segue una violazione dei dati notificata pubblicamente è spesso più costoso e duraturo di qualsiasi sanzione.
Pilastro 2 – Sicurezza dei pagamenti: PCI DSS, PSD2 e autenticazione forte
Le transazioni finanziarie sono il cuore di un eCommerce e, di conseguenza, il bersaglio più appetibile per i criminali informatici. Lo standard PCI DSS (Payment Card Industry Data Security Standard) definisce i requisiti tecnici e organizzativi che tutti i sistemi che gestiscono dati di carte di pagamento devono soddisfare. Non è facoltativo: è un requisito imposto dai circuiti di pagamento come Visa e Mastercard.
La direttiva europea PSD2 ha introdotto l’obbligo di Strong Customer Authentication (SCA) per le transazioni online: ogni pagamento deve essere verificato con almeno due fattori di autenticazione tra quelli previsti (qualcosa che sai, qualcosa che hai, qualcosa che sei). Questo riduce drasticamente il rischio di frodi sulle carte di credito, ma richiede che i gateway di pagamento e l’infrastruttura eCommerce siano configurati correttamente per supportarlo.
La scelta del gateway di pagamento è una decisione critica per la sicurezza. Un gateway certificato PCI DSS di livello 1 gestisce la complessità tecnica della sicurezza dei pagamenti, eliminando la necessità che il tuo eCommerce memorizzi direttamente i dati delle carte. La tokenizzazione e la crittografia end-to-end completano il quadro, assicurando che i dati sensibili non vengano mai trasmessi o conservati in chiaro.
Pilastro 3 – Infrastruttura tecnologica resiliente e monitorata
L’infrastruttura è lo strato su cui poggia tutto il resto. Un eCommerce che gestisce un volume significativo di transazioni ha bisogno di un ambiente server dedicato o di un cloud privato virtuale (VPC) configurato con criteri di sicurezza restrittivi: firewall perimetrali, regole di accesso granulari, sistemi di rilevamento delle intrusioni (IDS/IPS) e monitoraggio h24 del traffico e delle risorse.
I backup rappresentano l’ultima linea di difesa. Devono essere frequenti (giornalieri o più frequenti per eCommerce ad alto volume), testati regolarmente per verificarne il ripristino effettivo e conservati in una posizione geograficamente separata dall’infrastruttura principale. Un backup non testato è come una polizza assicurativa scaduta: esiste sulla carta, ma non protegge nel momento del bisogno.
Il piano di disaster recovery – ovvero la procedura operativa da seguire in caso di attacco, guasto o incidente grave – deve essere scritto, aggiornato e conosciuto da tutti i soggetti coinvolti. Non si progetta un piano di emergenza durante un’emergenza.
Strategie e strumenti pratici per proteggere il tuo eCommerce
Tradurre la strategia in azioni concrete richiede la conoscenza degli strumenti tecnici disponibili e, soprattutto, della loro corretta implementazione. Uno strumento mal configurato può dare una falsa sensazione di sicurezza senza fornire una reale protezione.
Certificato SSL/TLS: necessario ma non sufficiente
Il certificato SSL/TLS – riconoscibile dal prefisso HTTPS nella barra del browser – garantisce che la comunicazione tra il dispositivo dell’utente e il server del sito avvenga in forma crittografata, impedendo l’intercettazione dei dati in transito. Per un eCommerce è un requisito minimo e non negoziabile: la sua assenza è segnalata chiaramente dai browser moderni come un sito “Non sicuro”, con effetti immediati sulla fiducia degli utenti e sul tasso di conversione.
Tuttavia, l’HTTPS non protegge il server, il database o il codice dell’applicazione da accessi non autorizzati. Un sito può avere un certificato SSL valido ed essere contemporaneamente vulnerabile a SQL injection, privo di backup o con password di amministrazione deboli. Pensare che il lucchetto verde nel browser significhi un eCommerce sicuro è uno degli errori di valutazione più comuni.
Web Application Firewall (WAF): la barriera intelligente
Un Web Application Firewall (WAF) analizza il traffico HTTP in entrata verso il tuo eCommerce e blocca le richieste che corrispondono a pattern di attacco noti: tentativi di SQL injection, Cross-Site Scripting (XSS), inclusione di file remoti e molte altre tipologie di attacchi applicativi. A differenza di un firewall di rete tradizionale, che opera sul livello di rete, un WAF opera sul livello applicativo e comprende il contesto delle richieste HTTP.
I WAF moderni sono dotati di regole aggiornate continuamente, feed di intelligence sulle minacce e, nelle versioni più avanzate, capacità di machine learning per rilevare comportamenti anomali che non corrispondono a pattern di attacco noti. La loro implementazione – sia come soluzione cloud-based che on-premise – è oggi considerata una best practice imprescindibile per qualsiasi eCommerce che gestisca dati sensibili.
Autenticazione a due fattori (2FA): proteggere l’accesso al pannello di controllo
Il pannello di amministrazione di un eCommerce è la chiave dell’intero sistema: chi vi accede può leggere tutti gli ordini, modificare i prezzi, accedere ai dati dei clienti, caricare file sul server. Proteggerlo con una semplice password, per quanto complessa, non è sufficiente.
L’autenticazione a due fattori (2FA) aggiunge un secondo livello di verifica dell’identità: anche se un criminale riesce a sottrarre la password di un amministratore – attraverso phishing, data breach su altri servizi o attacchi a dizionario – non può completare l’accesso senza il secondo fattore (un codice temporaneo generato da un’app di autenticazione, un token fisico o una notifica push). Implementare il 2FA su tutti gli accessi privilegiati è una delle misure di sicurezza con il migliore rapporto costo/beneficio disponibili.
Backup automatici e disaster recovery: il piano per il giorno peggiore
I backup non sono una misura di prevenzione degli attacchi, ma di gestione delle conseguenze. Rappresentano la capacità di tornare operativi nel minor tempo possibile dopo un incidente, che si tratti di un attacco ransomware, di un guasto hardware o di un errore umano catastrofico.
Un sistema di backup efficace per un eCommerce deve rispettare le seguenti regole fondamentali:
- Frequenza adeguata: per eCommerce ad alto volume, i backup devono essere giornalieri o anche più frequenti, per minimizzare la perdita di dati in caso di ripristino.
- Posizione separata (off-site): i backup conservati sullo stesso server che possono essere colpiti da un attacco non sono backup efficaci; vanno replicati in una posizione geograficamente distinta.
- Test periodici di ripristino: un backup non testato non è un backup. La procedura di ripristino deve essere eseguita regolarmente per verificare che i dati siano integri e recuperabili nei tempi previsti.
- Piano di disaster recovery documentato: chi fa cosa, in quale ordine, con quali strumenti e in quanto tempo. Deve essere scritto, aggiornato e distribuito ai soggetti responsabili.
Aggiornamenti software e patch management: la manutenzione che previene gli attacchi
La stragrande maggioranza degli attacchi informatici che colpiscono gli eCommerce sfrutta vulnerabilità già note e già risolte dai vendor software, ma non ancora applicate sui sistemi delle vittime. Mantenere aggiornati il CMS, i plugin, le librerie e il sistema operativo del server non è un’attività discrezionale: è la prima linea di difesa contro la maggior parte degli attacchi automatizzati.
Per gli eCommerce basati su piattaforme open source come WooCommerce o Magento, il rischio è particolarmente elevato: ogni plugin installato è un potenziale vettore di attacco. Le vulnerabilità dei plugin più diffusi vengono pubblicate nelle banche dati pubbliche (come il National Vulnerability Database) e sfruttate in modo automatico nel giro di ore dalla loro pubblicazione. Un processo sistematico di patch management – con test preventivi degli aggiornamenti su un ambiente di staging – è la risposta corretta a questo rischio.
La differenza tra sicurezza su piattaforma chiusa e software su misura
Non tutti gli eCommerce sono uguali dal punto di vista della sicurezza. La scelta dell’architettura tecnologica – una piattaforma SaaS chiusa da un lato, un software sviluppato su misura dall’altro – ha implicazioni profonde sul profilo di rischio del sistema e sulla capacità di intervenire in modo rapido ed efficace quando emerge una vulnerabilità.
eCommerce su piattaforma SaaS: vantaggi e limiti della sicurezza gestita
Le piattaforme eCommerce SaaS – come Shopify, WooCommerce su hosting condiviso o soluzioni analoghe – offrono un vantaggio significativo in termini di sicurezza gestita: l’infrastruttura di base, gli aggiornamenti del core e alcune misure di protezione standard sono gestiti direttamente dal provider. Per un’azienda che non dispone di risorse IT dedicate, questo può essere un punto di partenza ragionevole.
Tuttavia, questo modello presenta limiti strutturali che diventano rilevanti man mano che il business cresce. La sicurezza della piattaforma di base non copre le personalizzazioni, i plugin di terze parti o le integrazioni con sistemi esterni (ERP, CRM, piattaforme logistiche). In un eCommerce di media complessità, questi componenti aggiuntivi rappresentano spesso la quota maggiore della superficie d’attacco. Inoltre, la mancanza di controllo diretto sull’infrastruttura limita la capacità di risposta a incidenti specifici e la possibilità di configurazioni di sicurezza avanzate.
eCommerce su software personalizzato: il controllo architetturale come vantaggio competitivo
Un eCommerce sviluppato su software personalizzato da una software house specializzata offre un livello di controllo architetturale che le piattaforme standardizzate non possono eguagliare. La sicurezza può essere integrata by-design fin dalle prime fasi di progettazione, invece di essere aggiunta come strato successivo su un’architettura non progettata per essa.
Questo significa poter scegliere esattamente quali dati raccogliere e come conservarli, progettare i flussi di autenticazione e autorizzazione in base alle esigenze specifiche del business, integrare nativamente il sistema con i gestionali aziendali riducendo i punti di passaggio dei dati (e quindi i vettori di attacco), e implementare policy di sicurezza su misura per il settore in cui l’azienda opera.
Per le aziende B2B o per chi gestisce cataloghi complessi, contratti quadro e prezzi personalizzati, la capacità di controllare l’intera architettura – dall’API al database – non è un lusso, ma una necessità operativa che ha anche riflessi diretti sulla sicurezza dei dati aziendali e dei clienti.
Come misurare e migliorare il livello di sicurezza del tuo eCommerce
Conoscere le minacce e gli strumenti disponibili è il punto di partenza, ma non è sufficiente. Per gestire la sicurezza in modo strutturato, è necessario adottare un approccio proattivo basato su valutazioni periodiche dello stato di sicurezza del sistema. Non si può proteggere ciò che non si misura.
Security audit e vulnerability assessment: capire dove sei esposto
Un security audit è una valutazione sistematica della postura di sicurezza di un’organizzazione. Include la revisione delle configurazioni di sistema, delle policy di accesso, dei processi operativi e della conformità normativa. Per un eCommerce, un audit ben condotto produce un quadro chiaro delle lacune esistenti, con una prioritizzazione basata sull’impatto potenziale e sulla probabilità di sfruttamento.
Il vulnerability assessment è una componente tecnica specifica: attraverso strumenti automatizzati e analisi manuali, identifica le vulnerabilità note presenti nell’infrastruttura e nel codice applicativo. I risultati vengono classificati per gravità (in genere con scale come CVSS, Common Vulnerability Scoring System) e tradotti in un piano di remediation con priorità e responsabilità assegnate.
Eseguire un vulnerability assessment almeno una volta all’anno – e in corrispondenza di ogni modifica significativa all’infrastruttura o al codice – è considerato uno standard minimo per qualsiasi organizzazione che gestisca dati sensibili.
Penetration testing: simulare l’attacco per trovare le falle prima degli hacker
Il penetration testing (o pentest) va oltre il vulnerability assessment: invece di limitarsi a identificare le vulnerabilità note, un team di esperti di sicurezza (ethical hackers) tenta attivamente di sfruttarle per penetrare nel sistema, simulando il comportamento di un attaccante reale. L’obiettivo è identificare le vulnerabilità più critiche prima che lo facciano i criminali informatici.
Un report di penetration testing ben strutturato non si limita a elencare le falle trovate, ma fornisce una narrazione dell’attacco simulato (come si è entrati, cosa si sarebbe potuto fare, fino dove si sarebbe potuto arrivare) e raccomandazioni specifiche e tecnicamente implementabili per chiudere le vulnerabilità identificate.
Per un e-commerce di medie o grandi dimensioni, il penetration testing è uno strumento fondamentale non solo per la sicurezza tecnica, ma anche per dimostrare a clienti, partner e autorità di vigilanza che la protezione dei dati viene gestita con serietà e metodo.
FAQ – Domande frequenti sulla sicurezza informatica negli eCommerce
Come rendere sicuro un sito eCommerce?
Rendere sicuro un eCommerce richiede un approccio multi-livello che integri misure tecniche e organizzative. Sul piano tecnico: certificato SSL/TLS attivo, Web Application Firewall configurato, autenticazione a due fattori per tutti gli accessi privilegiati, aggiornamenti software regolari, backup frequenti e testati, gateway di pagamento certificato PCI DSS. Sul piano organizzativo: policy chiare sulla gestione delle credenziali, formazione periodica del personale sui rischi di phishing e ingegneria sociale, audit di sicurezza annuali e un piano di risposta agli incidenti documentato.
Quali sono i maggiori rischi di sicurezza per un negozio online?
I rischi principali per un eCommerce sono: il phishing mirato agli amministratori del sistema, la SQL injection che colpisce database non protetti, gli attacchi DDoS che bloccano la disponibilità del servizio nei periodi di picco delle vendite, il ransomware che cripta i dati aziendali, le vulnerabilità nei plugin e nelle librerie di terze parti non aggiornati e la gestione negligente delle credenziali di accesso. Ogni rischio ha un profilo diverso e richiede contromisure specifiche.
Il GDPR si applica agli eCommerce?
Sì, il GDPR si applica a qualsiasi organizzazione che raccoglie, tratta o conserva dati personali di soggetti residenti nell’Unione Europea, indipendentemente da dove ha sede l’azienda. Un eCommerce raccoglie quasi sempre dati personali – nome, email, indirizzo, dati di pagamento – ed è quindi soggetto a tutti gli obblighi del GDPR: informativa trasparente agli utenti, base giuridica per ogni trattamento, diritto all’oblio, notifica delle violazioni all’autorità competente entro 72 ore e misure di sicurezza adeguate.
Cos’è il PCI DSS e perché è importante per il mio eCommerce?
Il PCI DSS (Payment Card Industry Data Security Standard) è un insieme di standard tecnici e organizzativi sviluppati dai principali circuiti di pagamento (Visa, Mastercard, American Express) per garantire la sicurezza dei dati delle carte di credito e debito. Qualsiasi eCommerce che accetti pagamenti con carta deve essere conforme ai requisiti PCI DSS corrispondenti al proprio livello di transazionalità. Il mancato rispetto può comportare sanzioni contrattuali, la revoca della possibilità di accettare pagamenti con carta e una responsabilità finanziaria diretta in caso di frode.
Come proteggere i pagamenti online?
La protezione dei pagamenti online si basa su diversi elementi complementari: utilizzo di gateway di pagamento certificati PCI DSS che gestiscono i dati delle carte in modo sicuro; implementazione della Strong Customer Authentication (SCA) prevista dalla direttiva PSD2; crittografia end-to-end di tutti i dati finanziari in transito; tokenizzazione dei dati delle carte per eliminare la necessità di conservarli direttamente sui propri server; monitoraggio delle transazioni in tempo reale per rilevare comportamenti anomali e frodi.
Cosa fare in caso di attacco informatico a un eCommerce?
In caso di incidente di sicurezza confermato, le prime azioni da intraprendere sono: isolare i sistemi compromessi dalla rete per impedire la propagazione dell’attacco; attivare il piano di risposta agli incidenti (che deve essere stato preparato in anticipo); notificare l’attacco al proprio provider di hosting e ai referenti tecnici; valutare se l’incidente costituisce una violazione dei dati ai sensi del GDPR e, in caso affermativo, procedere con la notifica all’autorità di controllo entro 72 ore; conservare tutti i log e le evidenze per l’analisi forense successiva. Non pagare il riscatto in caso di ransomware senza aver prima consultato esperti di sicurezza.
Qual è la differenza tra HTTPS e un eCommerce sicuro?
HTTPS garantisce che la comunicazione tra il browser dell’utente e il server sia crittografata in transito. È un requisito minimo e indispensabile, ma non sufficiente. Un sito può utilizzare HTTPS ed essere contemporaneamente vulnerabile a SQL injection, privo di backup, con pannello di amministrazione non protetto da 2FA o con plugin obsoleti con vulnerabilità note. La sicurezza di un eCommerce è un sistema integrato che include infrastruttura, codice applicativo, processi operativi e formazione del personale.
