I malware negli script sono responsabilità  del webmaster o dell’hosting?

Quando si usa o si configura un sito web, da Magento a WordPress passando per Joomla! ed altri CMS, l’incubo degli script fallati affligge moltissimi addetti ai lavori; in generale, infatti, i malware possono diffondersi con molta facilità  anche sui siti web, e quello che si deve fare in questi casi è sfruttare gli strumenti a disposizione degli hosting per ripulire il proprio sito dai virus.

La questione della responsabilità  in questi casi potrebbe essere controversa, perchè può dipendere:

1. dall’hosting che non ha configurato correttamente il servizio;
2. dal webmaster che ha installato script malevoli senza rendersene conto;
3. da un mix tra i due precedenti.

Nella mia esperienza devo riconoscere che se il caso 1 succede (anche perchè gli hosting sanno solitamente come gestire eventuali difficoltà , e difficilmente andranno a riconoscervi una circostanza di falla informatica aperta sui propri sistemi) ma è sostanzialmente raro, molto più comuni sono le circostanze 2 e 3. L’imperizia di certi webmaster è cosa ben nota nell’ambiente, soprattutto perchè spesso non si tratta di informatici ma di personale di agenzie di comunicazioni o imprese del web non troppo skillati tecnicamente. Questo comporta che potranno facilmente installare software malevolo, ad esempio, perchè hanno trovato uno script che gli serve, oppure un theme accattivante, scaricato da un sito pirata; il software pirata è il classico vettore che porta malware, in effetti. La cosa davvero pittoresca di questo ambiente, del resto, è come ci si nasconda dietro ad un dito in questi casi, e come si faccia fatica a riconoscere le proprie responsabilità : la colpa è sempre degli altri, del sistema, della sfiga, del caso.

Certo accusare un hosting web di essere fallato a prescindere (e quindi, indirettamente, dargli dell’incompetente) non è una cosa banale, e secondo me deve spingere l’utente a cambiare hosting prima che può; ovviamente, pero’, bisogna fare lo sforzo di rimanere razionali, e non farsi prendere da critiche troppo “di pancia” come mi capita spesso di leggere nei forum e nei gruppi Facebook specializzati su questi temi. Ovviamente non voglio assolvere i servizi di hosting da qualsiasi responsabilità  a prescindere (cosa che, se non altro, in questi ultimi anni sembrano fare meno che in passato), perchè comunque chi gestisce certi servizi dovrebbe accollarsi anche un minimo di verifiche sui dati dei propri utenti; ma la responsabilità  su quello che carichi in un sito, alla fine, rimane comunque la tua. Può capitare di non accorgersi di avere un malware, chiaramente, ma se sappiamo che nel 90% dei casi quel malware proviene da siti dubbi in cui abbiamo scaricato software per non pagarlo, magari è questo il cattivo comportamento che andrebbe evitato dall’inizio. Credo che l’unico modo per risolvere questo genere di problemi, pertanto, sia quello di provare a guardarsi in faccia ed essere sinceri prima di tutto con se stessi.

Ricordo che, in generale:

1. ci sono malware e virus che si annidano nel file system, per cui basta individuare la cartella critica in cui si nascondono e cancellarla;
2. ci sono altri malware che possono nascondersi (ad esempio come codice criptato) dentro il database, a volte in modo addirittura residente (mediante stored procedures), ed in questo caso bisogna toglierli di mezzo da là¬;
3. ci sono malware che possono nascondersi nella RAM del server, ed in questo casi si può provare a risolvere con un bel riavvio della macchina (l’hosting sarà  lieto di collaborare con voi, se è questo il caso)

In genere, quindi, l’attribuzione della responsabilità  a webmaster o hosting resta un argomento controverso, ed è difficile dare una risposta univoca o fornire un metodo per fare questa attribuzione in modo sicuro.