Security incident response was analyzed in a recent report by Cado Security. According to the report, nearly 90% of organizations suffer damage before containing and investigating incidents. Organizations report that 23% of cloud alerts remain uninvestigated due to various challenges and complexities.

The report found that 82% of organizations report the need to use multiple platforms and tools to perform investigations in the cloud. Further, 34% of organizations report limited cybersecurity skills specific to cloud technologies. Forty-two percent of organizations report that the main compliance challenge beyond cloud adoption is the lack of visibility into data, and 34% of respondents have been fined for not meeting regulatory requirements.

The report uncovered that organizations have slightly improved their ability to handle cloud investigations, with respondents reporting that 23% of cloud alerts are never investigated, compared to over 33% in 2021. Eighty-three percent have allocated a budget for cloud forensics, emphasizing the growing importance of forensics capabilities in managing cloud security.

Read the report.

https://www.securitymagazine.com/articles/100695-nearly-90-of-organizations-suffer-damage-after-a-security-incident

Mag 23, 2024 Marina Londei In evidenza, News, Prodotto, RSS, Tecnologia 0

---

Microsoft dice addio a VBScript: in un post sul blog ufficiale ha annunciato che il linguaggio verrà progressivamente deprecato a partire dalla seconda metà dell’anno. In una prima fase VBScript sarà disponibile come feature on demand e abilitato di default, mentre nel 2027 sarà disabilitato di default; in seguito, non è ancora chiaro quando, verrà rimosso del tutto da Windows.

“La tecnologia è progredita nel corso degli anni, dando vita a linguaggi di scripting più potenti e versatili come JavaScript e PowerShell. Questi linguaggi offrono capacità maggiori e sono più adatti allo sviluppo web moderno e alle attività di automazione” ha affermato Naveen Shankar, program manager di Microsoft, chiarendo i motivi dietro la scelta.

Visual Basic Scripting Edition, conosciuto appunto come VBScript, è un linguaggio di scripting leggero introdotto per la prima volta nel 1996. È stato utilizzato principalmente per automatizzare i task, creare oggetti dell’OS Windows e controllare le applicazioni, e viene spesso integrato nelle pagine HTML per aggiungere elementi dinamici e interattivi. Se inizialmente il linguaggio era usato ampiamente, vista la sua versatilità, col passare degli anni sono emerse alternative più efficienti.

Nella prima fase di dismissione, VBScript rimarrà pre-installato nella versione 24H2 di Windows e abilitato di default per garantire che le vecchie dipendenze funzionino ancora. La migrazione deve cominciare già da ora e proseguirà fino al 2027, quando il linguaggio non sarà più abilitato di default; in questo caso, per utilizzarlo bisognerà abilitarlo scegliendolo tra le feature opzionali.

L’ultima fase vedrà la dismissione completa del linguaggio da tutte le release e versioni future di Windows; ciò significa che tutte le librerie .dll di VBScript verranno rimosse e, di conseguenza, tutti i progetti dipendenti dal linguaggio smetteranno di funzionare.

Microsoft consiglia di cominciare subito la migrazione scegliendo PoweShell o Javascript come alternative. 

---

---

---

https://www.securityinfo.it/2024/05/23/microsoft-dice-ufficialmente-addio-a-vbscript/?utm_source=rss&utm_medium=rss&utm_campaign=microsoft-dice-ufficialmente-addio-a-vbscript

Alla Cyber Crime Conference 2024, Davide Maiorca, Ricercatore e Docente presso l’Università degli Studi di Cagliari, ha presentato un’analisi dettagliata sull’uso della lingua italiana nei cyberattacchi.

Guarda il video completo dell’intervento:

L’uso Targetizzato della Lingua Italiana nei Cyberattacchi

L’esperto di Malware Analysis e Machine Learning, ha evidenziato come l’italiano sia utilizzato in maniera specifica e mirata in varie forme di attacchi informatici, affinché questi possano essere particolarmente ingannevoli per gli utenti italiani. Il fenomeno è stato descritto attraverso vari esempi di Phishing e Malware che sfruttano la familiarità della lingua per aumentare l’efficacia dell’attacco.

Cyberattacchi Inaspettati e Dannosi: Analisi degli Attacchi “In the Wild”

Maiorca ha poi discusso il concetto di “attacchi in the wild”, ovvero attacchi meno comuni ma potenzialmente più dannosi perché meno prevedibili e, quindi, più difficili da rilevare con i sistemi di sicurezza automatizzati che tendono a focalizzarsi sui pattern di attacco più frequenti.

Malware contenuti in documenti Office e PDF

Attraverso l’analisi di malware contenuti in documenti di Office e PDF, Maiorca ha mostrato che gli attacchi ben congegnati in italiano sono rari ma significativi. È stato inoltre evidenziato come, nonostante la bassa frequenza, questi attacchi rappresentino una minaccia reale, specialmente quando imitano documenti ufficiali o di uso comune come fatture o comunicazioni istituzionali.

Tecniche Avanzate di Malware: La Sofisticazione degli Attaccanti

Un altro tema trattato è stato l’uso di tecniche avanzate da parte dei cyber criminali nel realizzare malware, inclusa la capacità di evitare l’analisi in ambienti virtualizzati e funzionalità anti-debugging, mostrando così l’alta competenza tecnica degli attaccanti. Portando come esempio un malware con stringhe in italiano nel suo codice sorgente ha spiegato come questo particolare suggerisce un focus specifico sui target italiani, aumentando l’efficacia dell’attacco.

Il Multilinguismo nei Malware: Una Sfida per la Threat Intelligence

Infine, il relatore ha sottolineato l’importanza del multilinguismo nei malware, che può aumentare significativamente la loro capacità di evadere i sistemi di rilevamento basati sull’analisi linguistica. Questo aspetto solleva questioni significative per la Threat Intelligence e la necessità di considerare approcci multilinguistici nell’analisi dei cyberattacchi.

Ricerca e Sviluppo nell’Analisi dei Cyberattacchi

La presentazione si è conclusa con un riconoscimento del contributo del team di ricerca e degli studenti dell’Università di Cagliari, essenziali per il supporto e la realizzazione degli studi presentati. Maiorca ha evidenziato come il lavoro in corso miri ad approfondire ulteriormente l’analisi e l’utilizzo dell’intelligenza artificiale per rafforzare la capacità di rilevamento e analisi degli attacchi cyber in lingua italiana, sottolineando l’importanza di una continua evoluzione nel campo della cybersecurity per fronteggiare minacce sempre più sofisticate e mirate.

Il programma completo della Cyber Crime Conference 2024 è disponibile al seguente link: https://www.ictsecuritymagazine.com/eventi/cybercrimeconference2024#programmazione

Iscriviti alla nostra newsletter per rimanere aggiornate sulle nostre iniziative: https://www.ictsecuritymagazine.com/newsletter/

https://www.ictsecuritymagazine.com/cybersecurity-video/the-italian-job-cyber-attacchi-in-lingua-italiana-davide-maiorca/

Il contesto normativo

La gestione della digital transformation richiede un approccio differente rispetto al passato, le analisi e le valutazioni dei processi aziendali devono basarsi sulle conoscenze tecniche delle attività che si vogliono eseguire e soprattutto della normativa che disciplina tali attività.

La digitalizzazione dei processi aziendali può essere avviata solo se i soggetti coinvolti gestiscano le risorse informatiche in modo consapevole e responsabile.

In questi ultimi anni il legislatore, sia italiano e sia Europeo, ha seguito con molto interesse l’evoluzione tecnologica. Dal 2016 ad oggi sono entrate in vigore numerose norme che hanno e stanno condizionando l’andamento del mercato e le scelte delle aziende. In particolare, il Regolamento eIDAS, la Direttiva NIS, il GDPR ed il Regolamento IA hanno di fatto disciplinato gli aspetti cruciali del processo di digitalizzazione delle principali attività di business, come ad esempio: l’identità digitale; la conservazione dei documenti informatici; la sottoscrizione dei contratti con una delle firme elettroniche, l’utilizzo della Pec e dei sistemi di recapito.

In questo contesto, sempre più aziende esternalizzano i propri processi lavorativi, affidando a terzi la loro gestione come, ad esempio, nel caso dell’emissione e conservazione della fattura elettronica, dell’utilizzo di software CRM in cloud e della gestione on line dei processi di vendita.

L’esternalizzazione dei processi aziendali comporta inevitabilmente sia il trasferimento di dati personali all’esterno della propria organizzazione e sia l’incarico a soggetti terzi di gestirli per nostro conto.

Esternalizzare il trattamento dei dati, di cosa dobbiamo preoccuparci?

Il GDPR definisce il responsabile del trattamento come quel soggetto che tratta i dati personali per conto del titolare del trattamento. Ciò significa che se un fornitore, tramite i propri servizi, tratta i dati personali del proprio cliente nell’interesse di quest’ultimo e per le finalità e secondo le istruzioni fornite dallo stesso cliente, allora ricopre il ruolo di Responsabile del trattamento[1].

In questo ambito la norma impone al titolare del trattamento di verificare se il soggetto a cui vuole affidare il trattamento dei propri dati personali presenti “…garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato.”

L’articolo 28 del GDPR stabilisce un metodo rigoroso per scegliere i fornitori di servizi che, quindi, dovranno essere valutati sia dal punto di vista commerciale e sia per la loro capacità di garantire l’attuazione di misure tecniche e organizzative idonee a garantire che il trattamento sia conforme alla normativa.

La verifica della capacità e conoscenze del fornitore rappresenta il punto di partenza per rendere compliance i trattamenti dei dati affidati a soggetti terzi.

E’ importante, quindi, predisporre degli strumenti, come ad esempio questionari o check-list, che permettano di intervistare il fornitore e raccogliere tutte quelle informazioni necessarie a valutare: le conoscenze specialistiche (ad esempio, le competenze tecniche in materia di misure di sicurezza e procedure per gestire le violazione dei dati), l’affidabilità (il possesso di certificazioni ISO, quali ad esempio la ISO/IEC 27001),e le risorse utilizzate per trattare i dati personali (ad esempio, il coinvolgimento di sub-fornitori).

Nell’ambito di questo processo valutativo anche la reputazione del fornitore sul mercato può essere un fattore pertinente che il titolare del trattamento deve tenere conto.

Devo formalizzare l’accordo con il fornitore?

Sottoscrivere un “Data processing Agreement” è l’altra condizione per rendere l’esternalizzazione del trattamento dei dati personali conforme al GDPR.

Il Titolare del trattamento, concluso il processo preliminare di valutazione, deve stipulare con il fornitore, che svolge il ruolo di responsabile del trattamento, in forma scritta anche in formato elettronico, un contratto o qualsiasi altro atto giuridico.

Il contratto dovrà avere ad oggetto il trattamento dei dati esternalizzati e deve prevedere l’obbligo per il fornitore stesso di rispettare i modi, i tempi e le istruzioni impartite dal titolare del trattamento su come trattare e proteggere i dati personali.

L’importanza di un DPA trova il suo fondamento nella necessità di stabilire in modo chiaro e puntuale i termini e le condizioni di trattamento dei dati personali, nonché i ruoli ed i compiti delle parti coinvolte. Questo accordo serve non solo a definire gli aspetti pratici del trattamento dei dati, ma anche a delineare le responsabilità legali e le procedure in caso di incidenti che coinvolgano i dati personali.

Il contratto stipulato con il responsabile del trattamento rappresenta, nell’ambito del GDPR, uno dei pochi casi in cui la presenza di un valido documento coincida con l’adempimento di un obbligo normativo.

Infatti, laddove, sussista un rapporto tra il titolare ed il responsabile del trattamento, in assenza di un accordo, l’Autorità di Controllo competente (Garante della privacy) potrà infliggere una sanzione amministrativa pecuniaria sia al Titolare sia al Responsabile del trattamento per violazione dell’Articolo 28, paragrafo 3.

Il Garante della privacy, in diversi provvedimenti sanzionatori, ha evidenziato e ribadito come “sia il Titolare sia il Responsabile del trattamento hanno la responsabilità di garantire l’esistenza di un contratto o di un altro atto giuridico che disciplini il trattamento”.[2]

Quali sono gli elementi chiave del Data Processing Agreement?

Il contenuto del DPA è delineato in modo puntuale nel terzo comma dell’articolo 28 del GDPR, che stabilisce i principali aspetti che l’accordo deve disciplinare.

Predisporre un contratto limitandosi a riportare in modo pedissequo quanto specificato dalla norma, vuol dire sottovalutare, o ignorare aspetti concreti che caratterizzano il trattamento dei dati (istruzioni su come trattare i dati o le garanzie di sicurezza) ed esporsi alle sanzioni amministrative e danni alla reputazione.

I provvedimenti sanzionatori adottati dal Garante della Privacy, anche recentemente, dimostrano che ancora oggi, dopo diversi anni dall’entrata in vigore del GDPR, si tende a considerare il DPA come un mero adempimento formale sottovalutando e non rispettando le indicazioni elencate nell’articolo 28 del GDPR.

L’accordo è una componente strategica per la conformità al GDPR, pertanto, è necessario che sia predisposto valutando ed analizzando attentamente e in modo concreto e non formale i rischi specifici legati al trattamento dei dati e le misure di sicurezza tecnico ed organizzative da attuare.

Il Garante, in un recente provvedimento[3], ha sanzionato il Titolare ed il Responsabile del trattamento perché il DPA si limitava a “a riportare pedissequamente le previsioni richieste dall’art. 28, par. 3, del Regolamento”.

Il DPA, quindi, deve essere predisposta in modo da rappresentare in modo chiaro:

1 – Contesto del trattamento:

Il contesto in cui i dati personali verranno trattati è di fondamentale importanza. Ogni DPA deve contenere una chiara definizione: dello scopo del trattamento, della tipologia dei dati trattati e delle categorie di interessati cui si riferiscono i dati. In questo modo viene delineato il perimetro entro il quale il Responsabile effettuerà il trattamento, assicurando così, che tutte le relative attività siano pertinenti e limitate allo scopo concordato.

Pertanto, limitarsi ad un semplice e formale collegamento tra il DPA ed il contratto di servizi potrebbe non essere sufficiente per definire tutti gli aspetti attinenti il trattamento dei dati.

2 – Obblighi di assistere il titolare:

L’accordo deve dettagliare l’obbligo del Responsabile del trattamento di assistere il titolare nel garantire la conformità con i vari requisiti del GDPR. In particolare, il responsabile deve assistere il titolare del trattamento:

• nella gestione, ove possibile, delle risposte alle richieste degli interessati nell’ambito dell’esercizio dei diritti riconosciuti dal GDPR;
• nel garantire il rispetto degli obblighi sulla sicurezza dei dati personali e sulla eventuale notifica di una violazione dei dati personali all’Autorità di Controllo ed agli interessati.
• nella predisposizione della valutazione d’impatto e consultazione preventiva quando sia richiesta dalla norma.
• Fornire tutte le informazioni necessarie per dimostrare il rispetto degli obblighi normativi.

Titolare e Responsabile del trattamento devono, quindi, prevedere procedure per gestire in modo efficace tutti questi aspetti ed in particolare modo per gestire eventuali violazioni dei dati personali senza ingiustificato ritardo.

3 – Obbligo di garantire la sicurezza e la riservatezza:

Un altro aspetto cruciale dell’esternalizzazione del trattamento dei dati personali riguarda l’adozione delle misure di sicurezza tecnico organizzative.

Ricordo che il GDPR attribuisce al titolare del trattamento la responsabilità, per qualsiasi trattamento di dati personali effettuato direttamente, o tramite altri che abbiano eseguito attività per suo conto, di adottare misure tecniche e organizzative adeguate, affinché il trattamento sia conforme alla disciplina in materia di protezione dei dati personali.

In ragione di questo obbligo, l’accordo deve contenere istruzioni pratiche su come trattare i dati, anche sotto il profilo della sicurezza, nonché l’obbligo per il Responsabile di adottare tutte le misure tecniche e organizzative necessarie per garantire un livello di sicurezza adeguato al rischio (Articolo 32 del GDPR)[4].

Il Titolare, considerato che in ogni caso rimane responsabile dell’attuazione delle misure tecniche e organizzative, anche dopo la stipula del DPA, deve verificare le garanzie offerte dal Responsabile anche mediante attività di revisione degli accordi e ispezioni presso la sua organizzazione. Pertanto, nell’accordo deve essere previsto il diritto del Titolare di effettuare audit e ispezioni per verificare la conformità del responsabile del trattamento con quanto previsto nel DPA. Questo aspetto è cruciale per fornire trasparenza e garantire che le misure di sicurezza siano adeguate e costantemente aggiornate.

4 – Sub responsabili

Il GDPR introduce la facoltà per il Responsabile di trattare i dati personali del titolare tramite un altro responsabile che, anche se non previsto dalla norma, comunemente prende il nome di Sub-responsabile.

Il DPA deve chiarire le modalità e le condizioni con cui il Responsabile può avvalersi di altri sub-responsabili. In particolare, il Titolare deve decidere se attribuire al fornitore una autorizzazione generale ad avvalersi di sub-responsabili, o subordinare questa decisione a singole e specifiche autorizzazioni rilasciate volta per volta.

La possibilità di creare nell’ambito del trattamento una filiera di soggetti determina di fatto un rapporto gerarchico tra tutti i soggetti coinvolti con la conseguenza che il Titolare impartisce delle istruzioni al Responsabile, il quale impartisce a sua volta istruzioni, nella misura in cui esse non siano incompatibili con quelle ricevute dal Titolare, al sub responsabile.

5- Durata del trattamento

La determinazione della durata del trattamento dei dati o il criterio per determinarla nonché e la gestione delle azioni post-scadenza sono aspetti critici per assicurare una gestione dei dati personale in modo conforme (privacy by design).

Il trattamento dei dati, tranne qualche eccezione espressamente previste dalla norma, deve essere limitato al tempo necessario per realizzare gli scopi per cui sono stati nascosti.

Definire la conclusione del trattamento e la conseguente cancellazione dei dati è anche un modo per attuare una strategia proattiva per mitigare i rischi, rafforzare la fiducia con gli interessati (la durata deve essere inserita nell’informativa privacy), e ottimizzare l’uso delle risorse.

Nel DPA, quindi, è importante definire sia la durata dell’accordo e le azioni da attuare post scadenza (restituzione o cancellazione dei dati) e sia la durata del trattamento durante la validità dell’accordo. Infatti, può succedere che durante la validità dell’accordo, venga raggiunto lo scopo del trattamento (ad esempio scadenza del termine legale di conservazione delle fatture elettroniche) o cessi la base giuridica (ad esempio revoca del consenso) i dati debbano essere cancellati e non trattati. Il titolare del trattamento, nonostante non sia espressamente previsto nell’art. 28, per queste casistiche deve prevedere e fornire al responsabile delle istruzioni sui tempi e le modalità di cancellazione o restituzione dei dati personali.

Conclusione

Nell’ambito di un modello organizzativo privacy definire ruoli e responsabilità di tutti i soggetti coinvolti nel trattamento dei dati personali è essenziale sia per rispettare i diritti degli interessati e sia per evitare danni provocati da sanzioni amministrativi, o danni di immagine.

Esternalizzare i processi aziendali solleva questioni giuridiche e tecniche importanti per la tutela dei dati personali. Valutare le capacità professionali e operative di un fornitore di servizi dev’essere un’attività non solo formale, ma soprattutto concreta.

Il titolare deve accertare in concreto se il fornitore che ricopre il ruolo di Responsabile del trattamento offra quelle garanzie e competenze necessarie per supportarlo nel processo di tutela dei dati personali.

I Provvedimenti del Garante sopra richiamati confermano che l’accordo tra Titolare e Responsabile, in cui vengono specificate pratiche operative efficaci, obblighi e responsabilità, permette di formalizzare e attuare una gestione responsabile della sicurezza dei dati personali garantendo così la conformità alla normativa, ma anche e soprattutto rafforzando la trasparenza e la fiducia con gli interessati.

Note

[1] Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR Versione 2.0 Adottate il 7 luglio 2021

[2] Provvedimento del 22 febbraio 2024 [9990659]

[3] Provvedimento del 22 febbraio 2024 [9990659]

[4] Provvedimento del 17 settembre 2020 [9461168] – Ordinanza di ingiunzione – 11 febbraio 2021 [9562852]

Articolo a cura di Andrea Battistella

https://www.ictsecuritymagazine.com/articoli/il-ruolo-del-responsabile-del-trattamento-nella-gestione-della-sicurezza-dei-dati-aspetti-contrattuali-e-pratici/

A report from Swimlane examines how security budgets and compliance strategies are impacted by the shifting regulatory landscape. This report surveyed 500 cybersecurity decision-makers throughout the United States and the United Kingdom. The survey focused on cybersecurity decision-makers at enterprises with at least 1,000 employees. 

The report found that a majority of organizations (93%) have reevaluated cybersecurity strategies in the past year due to new regulations. 58% report that their organization has reconsidered its cybersecurity strategy in its entirety. Furthermore, the report discovered that these strategy adjustments are affecting cybersecurity decision-makers, with 45% citing new role responsibilities.

Key findings from the report include: 

• 92% of respondents indicated an increase in their security budgets. Among them, 36% experienced budget increases between 20% and 49%, whereas 23% saw increases greater than 50%. 
• Only 40% are confident that their organization possesses the necessary resources, personnel and tools to comply fully with cybersecurity regulations. 19% say their organization has done very little to prepare. 
• One-third of respondents are fully confident that their organization can currently meet full requirements.

https://www.securitymagazine.com/articles/100693-new-rules-prompt-93-of-organizations-to-rethink-cybersecurity-plans

A report by SlashNext reveals an increase in malicious emails by 341% in the past six months. This includes a rise in BEC, phishing and other message-based attacks driven by generative AI. 

Notable findings from the report include: 

• Since November 2022 (the launching of ChatGPT) malicious emails have increased by 4,151%. 
• Credential harvesting phishing attacks have increased by 217% in the last six months. 
• BEC attacks have increased by 29% in the last six months. 
• 45% mobile threats are SMS smishing attacks. 

Security leaders weigh in 

Mika Aalto, Co-Founder and CEO at Hoxhunt:

“If you look closely, there’s some bad-news-good-news happening with this surge in phishing attack volume. The generative AI-enabled flood of sophisticated phishing emails is bad. But the fact that email filters still catch most of them is good. Most importantly, a well-trained workforce will spot and report the AI-boosted phishing emails as well as human-originated attacks, according to our own original research. 

“The bad news is that most companies are still relying on old-school SAT tools. These compliance-based exercises are based on yesterday’s threats and are proven to be ineffective. This SlashNext report brings into focus the need for targeted security training that keeps pace with the rapidly evolving threat landscape. BEC continues to be the top form of cybercrime, and AI is particularly concerning in a BEC attack because it can make the spoofed executive email seem more convincing via tone and deep fake technology. 

“Fluctuations in the threats hitting the technical perimeter are important, but it’s most crucial to know what attacks are bypassing technical protections, and how people are responding to attacks that land in their inboxes. For instance, we saw a 22x rise in QR phishing attacks that slipped past email filters, most of which redirected users to credential harvesters, which SlashNext reported had risen by over 200%. 

“The rise in mobile attacks such as SMS is a growing problem that can be addressed with targeted training. People click on malicious links more often on their phones, so security awareness training should help people stay alert against smishing attacks.”

Krishna Vishnubhotla, Vice President of Product Strategy at Zimperium:

“Organizations must protect their employees from phishing links, malicious QR codes and malicious attachments found in emails across all legacy and mobile endpoints. Bad actors are getting creative in designing email campaigns that bypass traditional detection mechanisms. Email attachments and links should be scrutinized by enterprises; adopting a zero-trust security model and using encrypted communication for sensitive exchanges will further guard against malicious emails. The best way to fight cybercriminals is to combine technological defenses with vigilant practices. 

“Today, we are exposed to an overwhelming number of scams. There are phishing scams, malware, lottery scams, tax scams, charity scams, fake invoices, package delivery scams, etc. And they don’t have the luxury of enterprise email filters of any sort, so they are really exposed. But even for consumers, the overall approach is the same. For protection, they should download tools to their laptops, desktops and mobile devices to help identify malicious emails. This is a good starting point. Once that’s done, the real work begins, which includes developing better cyber hygiene. We need to be watchful for destination URLs, spelling mistakes, sender emails, etc.” 

Darren Guccione, CEO and Co-Founder at Keeper Security:

“Over the past year, we have seen AI applications, like ChatGPT, gain remarkable ground in practical utilization. Cybersecurity is an arms race and bad actors are constantly evolving their tools to circumvent detection, while defenders are trying to adapt. ChatGPT or other popular artificial intelligence tools can be used on both sides of the cybersecurity landscape. For cybersecurity professionals, AI’s natural language processing capabilities enable it to streamline threat intelligence analysis, extracting valuable insights from vast datasets to stay abreast of emerging threats. ChatGPT can assist in real-time incident response by providing quick insights and suggestions during security incidents. Cybersecurity professionals can use these capabilities to analyze logs, identify potential attack vectors and recommend mitigation strategies.

“Meanwhile, a bad actor can utilize ChatGPT a number of ways, including to create convincing phishing emails. By leveraging ChatGPT or the natural language processing capabilities of other generative AI tools, bad actors can quickly and easily craft sophisticated messages tailored to specific individuals or organizations, making it more likely for recipients to fall victim to them. These emails can contain malicious links or attachments, leading to unauthorized access, data breaches or the deployment of malware. ChatGPT can also be utilized to generate deceptive content for social engineering, creating fake profiles or messages to manipulate individuals into disclosing sensitive information. 

“Not only can the tools help bad actors create content such as a believable phishing email or malicious code for a ransomware attack, but they can do so quickly and easily. The least-defended organizations will be particularly vulnerable, as the volume of attacks will likely continue to increase.

“AI in the hands of adversaries has the potential to ramp up social engineering exponentially, which is currently one of the most successful scamming tactics available. Cybercriminals can use AI for password cracking, phishing emails, deep fakes, impersonation and malware attacks. Phishing emails used to be easy to spot because they had frequent grammatical errors and spelling mistakes, but AI is now making it easy for cybercriminals to generate well-written, convincing content for phishing scams. Instead of writing their own phishing emails or text messages, cybercriminals are leveraging AI to write the scams for them. Because AI algorithms can analyze large amounts of data, they can also create fake personas, such as impersonating someone’s voice or creating a deep fake video.”

https://www.securitymagazine.com/articles/100687-the-last-six-months-shows-a-341-increase-in-malicious-emails

Mag 22, 2024 Marina Londei Attacchi, Minacce, News, Phishing, RSS 0

---

Nonostante siano in circolazione da quasi mezzo secolo, le email rimangono ancora uno dei punti di accesso preferiti dagli attaccanti per eseguire campagne di vario tipo: a dirlo è l’Email Threat Landscape Report, l’ultima analisi di Trend Micro sull’uso delle email nel panorama delle minacce informatiche.

Nel 2023 la compagnia ha bloccato più di 45 milioni di email ad alto rischio, divise tra file malware, attacchi di phishing alle credenziali e attacchi di Business Email Compromise (BEC).

Nel dettaglio, Trend Micro ha bloccato 19.1 milioni di file malware lo scorso anno, un aumento del 349% rispetto ai dati del 2022. L’incremento è strettamente legato all’aumento sostanziale di link di phishing negli allegati delle email. Il report evidenzia che gli attaccanti stanno usando tecniche sempre più avanzate e di conseguenza le aziende hanno grosse difficoltà a individuare e bloccare questi attacchi.

Tra i malware distribuiti tramite email più diffusi del 2023 si segnalano DarkGate contro Teams e Skype, Menorah, un malware sviluppato per il cyberspionaggio, Lumma Stealer che ha abusato di Discord e Bandit Stealer. 

Gli attacchi di phishing alle credenziali hanno registrato un aumento decisamente minore rispetto ai malware (5%), con 4,7 milioni di tentativi individuati da Trend Micro nel 2023. Il dato più interessante riguarda l’incremento di tecniche di Computer Vision, la tecnologia che combina l’analisi delle immagini e il machine learning per controllare form e contenuti con l’obiettivo di rilevare URL di phishing che mirano alla credenziali: in questo caso l’aumento di casi è stato del 263% rispetto al 2022.

Le campagne di BEC sono cresciute del 16%. Guardando al dettaglio, gli attacchi BEC rilevati tramite Writing Style DNA, la tecnologia basata su IA che confronta la scrittura reale dell’utente con una sospetta, sono aumentati del 23%, mentre i rilevamenti tramite motori antispam sono cresciuti del 13%.

Per proteggersi dalle email ad alto rischio, gli esperti di TrendMicro consigliano di scegliere una soluzione completa e multilayer che sia in grado di individuare e bloccare messaggi sospetti. È indispensabile inoltre investire sulla creazione di una cultura aziendale orientata alla cybersecurity, istruendo gli utenti sulle minacce più diffuse e su come difendersi. 

---

---

---

https://www.securityinfo.it/2024/05/22/email-rimane-uno-dei-punti-di-accesso-principali-per-gli-attacchi-informatici/?utm_source=rss&utm_medium=rss&utm_campaign=email-rimane-uno-dei-punti-di-accesso-principali-per-gli-attacchi-informatici

A report by Arctic Wolf shows that business email compromise (BEC) incidents are a common occurrence, as 70% of organizations experienced an attempted attack in the last year. 29% of these organizations became victims of one or more successful BEC attacks.

The report also discussed ransomware. 45% of the respondents state that their organization experienced a ransomware incident in the last 12 months, with 86% of those incidents involving successful data exfiltration. 

Among organizations that experienced a breach in the last year, 66% publicly disclosed the incident whereas 30% only informed involved parties. Other key findings from the report include: 

• Cyber insurance adoption is widespread, with 66% of organizations possessing an active policy. 29% are either in the process of obtaining a policy or intend to obtain one within the year, and only 5% are deciding against obtaining a policy. 
• 94% of organizations currently have or intend to have a usage policy on generative AI and large language models (LLM) tools. 

https://www.securitymagazine.com/articles/100688-in-the-last-year-70-of-organizations-were-targeted-with-bec-attacks

Healthcare cybersecurity and ransomware attacks were analyzed in a recent report by Software Advice. According to the report, more than 25% of ransomware attacks directly impact patient care, leading to disrupted medical services, lost data and compromised patient safety.

The report found that the vast majority (87%) of data held in today’s medical practices is digital. Fifty percent of healthcare organizations in the U.S. have now experienced a data breach, with 32% encountering one in the last three years. The survey found that 42% of practices have experienced a ransomware attack, with 48% of these attacks impacting patient data. More than one in four (27%) of these attacks directly affect patient care.

Despite the high risk, 63% of healthcare organizations have a cybersecurity response plan in place, leaving 37% without a formalized strategy to address cyber threats. Without a formalized plan in place, healthcare providers may face significant delays in response times and increased risk of data loss.

Human error and targeted attacks against data security systems are the main causes of breaches. In fact, 74% of healthcare organizations spent fewer than five hours on IT security and data privacy training for their employees in 2023, with 35% dedicating two hours or fewer. With more than half (55%) of healthcare organizations allowing employees to access more data than necessary for their job roles, an increase in employee training is essential to help staff recognize and respond to cyber threats, such as pervasive phishing scams.

Read the report.

https://www.securitymagazine.com/articles/100689-87-of-medical-practice-data-is-digital

The artificial intelligence (AI) landscape is constantly shifting. To maintain pace with these evolving technologies, CISOs must prepare for additional complexity in their security strategies. 

While AI presents a challenge for CISOs, it also offers an opportunity. Here, we talk with Jadee Hanson, Chief Information Security Officer at Vanta to discuss the risks and benefits of AI. 

Security magazine: Tell us about your title and background.

Hanson: I serve as Chief Information Security Officer at trust management provider, Vanta. As Vanta’s CISO, my responsibilities are to protect the organization from cyber threats and data loss. Because Vanta is selling to the security buyer, I also play a role in helping the organization understand the security landscape and buyer nuances. 

I’ve been in security for almost two decades. I became interested in technology very early on in high school, where I used to help the tech department build desktops. This eventually sparked my interest in pursuing a degree in information systems, and later a career as a security professional.

My first security job out of college was at Deloitte. There, I did a lot of work on security audits and consulting. I did a lot of pen testing, back when no one knew what pen testing was. 

I later joined Target. I was there for over seven years and led a number of security functions. During my time at Target, I was able to oversee the security aspects included with the acquisition Target Pharmacies to CVS Health. After that, I served as Chief Information Security Officer and Chief Information Officer at Code42 where I led the security and technology organizations and served as the technology strategy leader ensuring we purchase the right technology to move the organization forward. 

Security magazine: What new challenges and risks do CISOs have to contend with due to the proliferation of AI technologies?

Hanson: The risks largely stem from the fundamental unknowns. One of our customers recently described AI as an “alien-like technology.” I love that description because it’s accurate. AI is something completely new and different.

This is a challenge for security practitioners because we are cautious by nature. We like to understand how things work in order to figure out how to secure them.

I myself am on a continuous fact-finding mission to decode the fundamentals of AI models — especially given how quickly the space is evolving — in effort to understand how they work and how I can properly add security controls. 

Here are a few specific risks as I see them today.

1. One is training models on protected information. AI systems rely on data. Models contain data that we feed it for training or that it collects as part of their normal functionality. In many cases this data is pulled from public sources, but when private information is used to train models, we need to ensure that the model is isolated.
2. A second risk is when companies entrust AI to handle too much too early. We know AI is doing some really great things to create efficiencies throughout many of our everyday activities. That said, we all have seen AI get things wrong. For example, there was a recent case where a chatbot run by a major airline lied to customers about a bereavement policy. The chatbot told the passenger they could retroactively apply for a last-minute travel discount, which was not actually outlined in the airline’s policy. To be clear, I am not saying we shouldn’t use chatbots to help customers with service issues. I am merely saying that having chatbots deal with sensitive issues such as policies might be a bit premature, and we therefore should be prepared for the consequences should the chatbot get something wrong.
3. Then there is the use of AI by malicious adversaries. Whenever new technology is released, people are lured by its benefits, while bad actors are thinking of ways to use it in malicious and non-intended ways. We’re already seen this happen with deepfakes, misinformation campaigns, malware and phishing campaigns. 

So, as excited as I am about this technology, we need to make sure we fully think through risks and approach the use of the technology in a thoughtful manner. 

Security magazine: How can the top risks associated with AI be mitigated?

Hanson: First and foremost, we need to start figuring out how to adopt the tech and do it the right way. 

The security teams that are pushing back on AI will only get passed by, so it will be key to partner with business teams so they can adopt AI in a thoughtful way. 

As I see it, security teams should start by doing two important things.

First, understand what vendors you use that are leveraging AI in the software within your stack. Make sure you ask questions to understand the specific application of AI to your data. Find out if they are training models on the data you are providing and what that means in terms of further protecting the data. 

Second, find out what vendors are using models trained on your sensitive data. This is where things get risky, and you need to understand if this is something you feel comfortable with or not. 

The other thing to understand is that AI is like any other new technology and that the main security controls still apply. We need to be thinking about access controls, logging, data classification, etc. — the basic fundamental controls still apply to AI. 

Security magazine: What are the benefits that AI technology can provide CISOs?

Hanson: Machine Learning (or ML) has been used in security for years to perform functions like identifying anomalies in logs. This new wave of AI and Large Language Models (LLMs) will take this to a new level. 

We’re seeing this degree of acceleration with key security functions within our own AI product, which we use ourselves. For example, we’re seeing greater efficiencies in questionnaire automation, mapping of controls and tests and reporting advances. 

And it’s precisely these everyday tasks that we need the most help within security. By further automating these functions, we can stay focused on addressing the higher risks throughout the organization.

Security magazine: Anything else you would like to add?

Hanson: There’s one additional concern security pros are grappling with at the moment: the regulatory risk posed by the rapid development of AI.

To stay ahead of this, businesses can follow the AI Risk Management Framework (RMF) by the National Institute of Standards and Technology (NIST). The AI RMF was created to mitigate risks associated with the design, development, use, and evaluation of AI products. 

https://www.securitymagazine.com/articles/100635-challenges-and-opportunities-that-ai-presents-cisos