Cybercrime, le aziende italiane sotto scacco dei malware informatici. Il report
In Italia le aziende sono vittime di attacchi informatici attraverso l’uso di email e PEC malevole. Lo rivela il nuovo report “Cybersecurity Annual Report” pubblicato da Yoroi, che evidenzia come nel 2020 ogni tipo di violazione dei dati è iniziato con un attacco di phishing, come nel 2019.
Questo perché il phishing, spiega il report, viene realizzato tramite e-mail e utilizza sofisticate tecniche di ingegneria sociale che sfrutta le debolezze umane, in grado di aggirare le difese aziendali. La situazione pandemica ha costretto le aziende ad adottare cambiamenti radicali, come lo smart-working e le conseguenze hanno avuto un impatto negativo sulla sicurezza degli utenti che, in molti casi, operavano fuori dal perimetro di sicurezza.
<!-- LARGE RECTANGLE POST - CORPO TESTO
-->
Il settore dei Materiali da Costruzione (composto da industrie produttrici di gesso, cemento, acciaio, legno, vetro e argilla) è il target preferito dai criminal hacker, seguono Macchinari, Equipaggiamento e Componentistica, il comparto Software & IT Services (18,60%), molto sensibile al furto di proprietà intellettuale e i servizi finanziari.
Le aziende vittime dei Malware (e di Microsoft)
Più della metà degli attacchi malware in Italia, si legge nel report, sono condotti con malware trojan bancario, appartenente per il 40% da parte alla famiglia Ursnif, che si conferma essere la minaccia più persistente nel panorama informatico italiano seguito dal malware Emotet. Il malware sLoad che sfrutta la posta PEC, la tecnologia italiana di posta certificata, è risultato tra i più insidiosi.
Non solo i malware più diffusi. Per il “Cybersecurity Annual Report” il 75,6% di file malevoli utilizzati per attaccare le organizzazioni sono malware zero-day e malware appena conosciuti che riescono ad aggirare i tradizionali perimetri di sicurezza.
In aumento anche gli attacchi “Double Extortion” basati su ransomware che richiedono un doppio pagamento: per riscattare i dati e tacere dell’attacco da parte degli aggressori.
Il rapporto conferma inoltre che i documenti di Microsoft Office sono il vettore di distribuzione di malware più rilevante, rappresentando il modo più comune per diffondere la prima fase della catena di infezioni da malware. Infatti, i documenti Microsoft Word (35%) e i fogli di calcolo Excel (33,2%) rappresentano collettivamente il 68,2% di tutti gli allegati dannosi intercettati dai servizi di protezione e-mail di Yoroi.
Per approfondire
Clicca qui per scaricare il “Cybersecurity Annual Report”
Attacchi informatici e minacce ibride al centro del Consiglio Ue. Stefano Mele: “Ampliare la clausola di difesa reciproca”
Si chiude oggi la riunione del Consiglio europeo, riunitasi in videoconferenza per discutere dell’attuale situazione della pandemia Covid-19 e di come far fronte alle minacce per la salute, delle relazioni nel bacino del mediterraneo e soprattutto dei temi strategici della sicurezza e della difesa.
Proprio su questi ultimi punti, sulla politica di sicurezza e sulla difesa europea, i leader europei si sono confrontati oggi in maniera approfondita, concentrandosi su più fronti, dallo sviluppo dei partenariati dell’Unione nel settore della sicurezza e della difesa (in particolare con la NATO) al riesame delle iniziative in materia di investimenti nella difesa, di sviluppo delle capacità e prontezza operativa, fino al lavoro da svolgere per accrescere la resilienza europea, in special modo nei confronti degli attacchi cibernetici e delle cosiddette minacce ibride.
<!-- LARGE RECTANGLE POST - CORPO TESTO
-->
Tra gli interventi più rilevanti, quello del segretario generale della NATO, Jens Stoltenberg, centrato su come migliorare la nostra capacità collettiva di risposta alle sfide e alle minacce per la sicurezza.
Attacchi informatici e minacce ibride, infatti, sono temi considerati centrali per la cooperazione strategica tra Ue e NATO, tra cui rientrano anche le “capacità di difesa” e lo “sviluppo di capacità”.
Nell’ambito dell’iniziativa “EU Cyber Diplomacy Toolbox”, che delinea le potenzialità di risposta degli Stati membri dell’Unione in caso di cyber attacchi, il Consiglio sembra intenzionato a promuovere un confronto più attento proprio sulle misure e gli strumenti a disposizione per prevenire e contrastare adeguatamente gli attacchi cibernetici, con l’intento di definire anche nuovi strumenti di cui disporre per proteggere le infrastrutture critiche e le reti dei servizi essenziali.
Stefano Mele
Abbiamo chiesto a Stefano Mele, Avvocato specializzato in Diritto delle tecnologie, privacy e cybersecurity e Presidente della Commissione Sicurezza Cibernetica del Comitato Atlantico Italiano, di spiegarci in cosa consiste questo approccio dell’Unione Europea teso sia a potenziare i livelli di difesa delle infrastrutture critiche dagli attacchi informatici, sia a ridefinire capacità e strumenti di reazione a questi attacchi.
Stefano Mele. “Questa esigenza scaturisce dalla constatazione che la quasi totalità degli attacchi cyber che gli operatori strategici nazionali subiscono sono attacchi “sotto la soglia dell’attacco armato” . “Il diritto internazionale prevede che se uno Stato, o un attore la cui condotta sia giuridicamente imputabile ad uno Stato, compie un attacco cyber nei confronti delle infrastrutture fondamentali di un altro Stato causando danni fisicamente rilevabili o la morte di persone, chi ha subito tale attacco può legittimamente reagire, anche militarmente. Si tratta della cosiddetta “reazione in legittima difesa”. “Ecco perché gli Stati, da tempo, sono molto attenti nella fase di pianificazione delle operazioni cibernetiche a non oltrepassare questa soglia – ha proseguito Mele –, colpendo sì le infrastrutture critiche dei loro nemici o alleati, ma ponderando attentamente gli effetti dei loro attacchi cibernetici. Non è un caso, infatti, che registriamo giornalmente milioni di attacchi cyber alle nostre aziende e alla pubblica amministrazione, ma pochissimi di essi hanno un reale intento di danneggiamento dell’obiettivo. Non si tratta, quindi, di un tema legato alla mancanza di capacità cibernetiche degli attori statali, ma di conseguenze sul piano delle relazioni internazionale e su quello giuridico.”
Key4biz. E allora quali possono essere le soluzioni?
Stefano Mele. “Questo scenario reclama da tempo la ricerca di una soluzione davvero efficace e l’EU Cyber Diplomacy Toolbox è stato il primo strumento individuato a tale scopo. Il prossimo passo, invece, oggetto dell’odierna due giorni di incontri, è legato al valutare l’impiego da parte dell’Unione Europea anche degli strumenti normativi già previsti nel Trattato sul funzionamento dell’UE, al fine di cristallizzare che un attacco cyber alle infrastrutture critiche di uno Stato membro equivalga ad un attacco a tutta l’Unione. Si tratta, infatti, della possibilità di estensione al ciberspazio dell’operatività della clausola di solidarietà prevista all’interno dell’articolo 222 del Trattato sul funzionamento dell’UE e della clausola di difesa reciproca – la mutual defence clause – prevista sempre nel medesimo Trattato all’articolo 42(7). È proprio questa la sfida odierna oggetto, tra gli altri temi, della riunione del Consiglio europeo: cercare di ampliare l’efficacia di tali misure di contenimento e risposta anche all’ambito della cybersecurity, al fine di creare deterrenza”.
Key4biz.La clausola di solidarietà può essere la risposta onnicomprensiva?
Stefano Mele. “E’ un elemento importante, ma non una risposta unica e definitiva. Stiamo parlando, infatti, di un ulteriore strumento da offrire ai singoli Stati membri e da ricomprendere all’interno dei numerosi già previsti nella strategia in materia di sicurezza cibernetica del 2017 e oggi nella nuova “EU’s Cybersecurity Strategy for the Digital Decade”, pubblicata a dicembre dello scorso anno. Un percorso strategico di ampio respiro, che ha trovato già parziale attuazione in alcuni provvedimenti normativi rilevanti come la Direttiva NIS o il Cybersecurity Act. Il primo, infatti, è deputato ad obbligare gli Stati membri a strutturarsi per far fronte alla minaccia cibernetica sia a livello governativo, che industriale. Il secondo, invece, è dedicato – tra le altre cose – all’ormai imminente nascita della prima certificazione europea in ambito di cybersecurity di prodotti, servizi e processi”.
Key4biz. La Direttiva NIS, quindi, non è solo un punto di partenza, ma è anche il perimetro entro cui muoversi. È da considerarsi, però, anche come il punto di approdo?
Stefano Mele. “La Direttiva NIS ha rappresentato un cambio di passo importante per la sicurezza cibernetica europea e dei singoli Stati membri, tant’è che si sta già lavorando al suo aggiornamento. La cosiddetta “NIS 2”, infatti, amplierà il ventaglio degli attori coinvolti nella difesa cibernetica europea, spingendoli a condividere le informazioni sugli incidenti informatici subiti e sollecitandoli ad elevare i propri livelli di difesa. Ciò, al fine di ottenere sempre più nel tempo comportamenti virtuosi utili ad un approccio comune di difesa cibernetica europea”.
Key4biz. E in caso di attacco?
Stefano Mele. “E’ proprio in quest’ottica che acquistano particolare rilievo strumenti come l’EU Cyber Diplomacy Toolbox o come l’auspicabile estensione al ciberspazio della clausola di solidarietà e della clausola di difesa reciproca: l’approccio europeo nel settore della cybersecurity è finora basato sulla diplomazia e sulla deterrenza, non sulla forza.”
Rimanendo all’interno dei confini nazionali, invece, riguardo alla questione del Perimetro di sicurezza nazionale cibernetica, rimangono due rilievi sollevati nei giorni scorsi dalla Commissione Difesa della Camera. Il primo è prevedere misure, anche di carattere economico, che rendano più agevole l’attuazione delle misure di sicurezza cibernetica disposte all’interno della bozza del cosiddetto “DPCM2” di attuazione del Perimetro. Il secondo riguarda la defiscalizzazione degli oneri relativi alla messa in sicurezza dei sistemi informatici delle imprese e dei privati, strumentali al miglioramento della sicurezza cibernetica.
Key4biz.Qui Stefano Mele è stato inequivocabile.
Stefano Mele. “Sono almeno dieci anni che tutti gli esperti italiani di cybersecurity cercano di spingere il Governo nazionale a prendere in considerazione l’esigenza di defiscalizzare, o ridurre la pressione fiscale, per gli investimenti in materia di cybersecurity da parte delle aziende. Queste misure potrebbero rappresentare uno stimolo importante per innalzare gli investimenti nel settore. In tale ottica, se le richieste del cosiddetto “DPCM2” di attuazione del Perimetro di Sicurezza Nazionale Cibernetica dovessero restare quelle che possiamo vedere nell’ultima bozza in analisi alle Commissioni parlamentari di Camera e Senato, lo sforzo richiesto dal Governo agli operatori pubblici e privati sarebbero senz’altro considerevoli ed eccezionali, soprattutto sotto il punto di vista economico e dei tempi di attuazione. A mio avviso, dunque, è necessario pensare anche ad alcuni incentivi per i soggetti ricompresi all’interno del Perimetro, evitando di ribaltare su di loro ogni onere, soprattutto economico e a maggior ragione in un periodo difficile come quello che purtroppo stiamo vivendo”.
Key4biz. E a fronte di queste pressioni qualcosa può cambiare o sta cambiando?
Stefano Mele. “Le commissioni Difesa di Camera e Senatohanno evidenziato che, in questo senso, un elemento incentivante da tenere in considerazione potrebbe essere proprio la defiscalizzazione degli investimenti in sicurezza cibernetica imposti dal Perimetro. Seppure la sicurezza nazionale debba essere – giustamente – un tema di assoluta importanza e rilievo per ogni attore pubblico e privato ricompreso all’interno del Perimetro di Sicurezza Nazionale Cibernetica, che può portare anche alla richiesta di sforzi straordinari, non si deve dimenticare però che chiedere uno sforzo sproporzionato per numero di previsioni normative, tempistiche attuative complessive e ribaltamento unilaterale di ogni responsabilità senza una reale contropartita, rischia di vanificare tutto il buono che è alla base di questa normativa importantissima e pregevole nello scopo”.
Il dibattito è aperto e continueremo a seguire ciò che accadrà.
Lo scopo del rapporto è aiutare le autorità nazionali e normative a comprendere meglio l’ambiente di standardizzazione relativo alla sicurezza delle nuove reti di telecomunicazioni, alle specifiche di sicurezza 3GPP e ai controlli di sicurezza che gli operatori devono implementare per proteggere le loro reti. Il documento dell’Enisa invita inoltre le autorità competenti negli Stati membri dell’UE a garantire e valutare l’attuazione delle misure di sicurezza negli standard 5G esistenti (3GPP in particolare) da parte degli operatori e dei loro fornitori.
<!-- LARGE RECTANGLE POST - CORPO TESTO
-->
L’Enisa certificherà le reti 5G
Nel dicembre 2020, l’Agenzia dell’Unione europea per la sicurezza informatica ha pubblicato una versione aggiornata del suo rapporto di valutazione delle minacce 5G per affrontare i progressi nelle aree del 5G e per contribuire all’implementazione del Toolbox dell’UE, il pacchetto di misure per la mitigazione dei rischi informatici per le reti.
Proprio il mese scorso, a seguito di una richiesta della Commissione Europea, l’Agenzia ha annunciato la preparazione di un nuovo schema di certificazione per la sicurezza delle reti 5G. Lo schema, voluto fortemente da Thierry Breton, commissario europeo per il mercato interno, contribuirà a mitigare i rischi connessi alle vulnerabilità tecniche delle reti di quinta generazione e a rafforzarne ulteriormente la sicurezza.
Clubhouse, confermata falla di sicurezza nelle chat
Problemi di sicurezza per Clubhouse, il social network della voce che ha conquistato in pochissimo tempo numerosi fan anche in Italia.
Secondo quanto riportato da Bloomberg, un utente di cui non si conoscono le generalità, sarebbe stato in grado di ritrasmettere in streaming a un sito web di terze parti alcuni feed audio presi da “più stanze” di Clubhouse, evidenziando la scarsa sicurezza dellestanze, accessibili da chiunque con intenzioni malevole.
<!-- LARGE RECTANGLE POST - CORPO TESTO
-->
Clubhouse e sicurezza: un problema che si non finisce qui
Sebbene la società Alpha Exploration Co, proprietaria del social, abbia confermato l’accaduto, “bannato in modo permanente” l’utente e implementato nuovi livelli di protezione per evitare che ciò possa ripetersi, alcuni ricercatori sostengono che la piattaforma potrebbe non essere in grado di evitarlo di nuovo.
D’altronde su Key4biz abbiamo fin da subito focalizzato l’attenzione su come il social network gestisce la privacy degli utenti. Sulla vicenda è intervenuto anche il Garante privacy italiano che ha inviato una lettera alla società per capire meglio alcuni aspetti non chiari sulla protezione dei dati degli utenti, ad esempio la gestione della rubrica degli iscritti e la registrazione delle conversazioni.
L’insicurezza dei server di Agora a Shangai
Secondo i ricercatori della Stanford Internet Observatory (SIO) la piattaforma potrebbe però non essere in grado di evitare il ripetersi dell’accaduto e sull’app. Gli stessi ricercatori nei giorni scorsi hanno fatto notare che Clubhouse si affida alla startup cinese Agora per gestire gran parte delle operazioni e il traffico di dati, dipendenza che solleva preoccupazioni per la privacy.
Secondo l’inchiesta infatti la maggior parte dei dati viene trasmessa alla startup con sede a Shangai e il cui compito finale è quello di fornire l’audio delle conversazioni al governo cinese. Un altro problema rilevato riguarda l’obsolescenza della crittografia dell’applicazione che permette di intercettare, registrare e trascrivere ciò che viene condiviso all’interno delle stanze di discussione. I ricercatori americani hanno riscontrato infatti diversi difetti di sicurezza, incluso il fatto che i numeri ID univoci degli utenti e i numeri ID delle chat room create su Clubhouse venivano trasmessi in chiaro, senza end-to-end, fattore che permetterebbe di collegare gli ID a specifici profili utente.
Secondo la società di analisi App Annie, Clubhouse avrebbe superato la soglia degli 8 milioni di download nel mondo. Lanciata da Alpha Exploration Co. nel marzo 2020, la valutazione del social network ha raggiunto 1 miliardo di dollari.
Report Exprivia sulla cybersecurity: crescono i reati in Italia. Nel mirino PA e sanità
I cyber criminali non vanno in vacanza, non dormono e non si ammalano, sono sempre in agguato dietro ad ogni mail che ci arriva, ad ogni device connesso in rete, ad ogni transazione finanziaria e dietro ad ogni acquisto di prodotto o servizio.
Il 2020 è stato un anno terribile, che ricorderemo per il resto della nostra vita a causa della pandemia globale di Covid-19, delle sue conseguenze sulle nostre vite, dei costi umani, sociali ed economici che ha determinato.
<!-- LARGE RECTANGLE POST - CORPO TESTO
-->
Ricorderemo questo anno anche per l’impennata dei cyber attacchi e dei reati informatici nel nostro Paese.
Il nuovo Report Exprivia sul cybercrime
Secondo un nuovo Rapporto dell’Osservatorio Cybersecurity di Exprivia, nel periodo ottobre-dicembre 2020 si sono registrati 237 crimini informatici, in crescita del +60% sul trimestre precedente e quasi del +400% rispetto al periodo gennaio-marzo, quando furono solo 49.
Per i ricercatori, è il mese di marzo il vero spartiacque in termini di crescita degli attacchi: con l’iniziò della pandemia e, con essa, della diffusione dello smart working, si è assistito a un’impennata tra attacchi informatici, violazioni della privacy e incidenti in tutti i settori dell’economia e della pubblica amministrazione.
Il mese di dicembre, invece, con 96 eventi criminali, è stato quello che ha registrato il numero record di cyber attacchi nel 2020.
“Se da un lato la pandemia ha accelerato la digitalizzazione nel nostro Paese, dall’altro la sicurezza della rete è stata messa a dura prova. A stupirci maggiormente è che la vulnerabilità più sfruttata dagli attaccanti sia il fattore umano”, ha affermato Domenico Raguseo, direttore Cybersecurity Exprivia.
“È necessario quindi per tutti noi – ha aggiunto Raguseo – prendere consapevolezza dei rischi che si corrono in rete, iniziando a diffidare delle anomalie”.
“Ad esempio – ha concluso il direttore – dai video o dalle gif inattesi che riceviamo sulle app di messaggistica istantanea, dagli errori di sintassi contenuti nelle email sospette, dai domini non veritieri degli indirizzi di posta o dall’improvvisa velocità con cui navighiamo sul pc. Siamo noi i primi a poterci proteggere dagli attaccanti”.
Obiettivi e tipologia di attacco
In gran parte, i cyber attacchi hanno riguardato il furto di dati in Italia, con oltre il 60% degli eventi criminali.
Segue la violazione della privacy, con il 13% dei casi, dato praticamente triplicato rispetto all’inizio del 2020, e la perdita di denaro nel 10% degli attacchi.
In termini di tecniche informatiche più utilizzate dai criminali della rete, al primo posto c’è il “phishing-social Engineering”, con il 43% dei casi.
Questa soluzione colpisce in maniera particolare utenti distratti o con poca conoscenza delle modalità di adescamento tramite email o social network.
Seguono, gli attacchi “unknown” (24% sul totale degli eventi), ossia nuove metodologie sperimentate dagli hacker per non essere rilevati dai meccanismi di difesa tradizionali.
Non sono da meno i classici malware (23%), il cui utilizzo è quadruplicato nel corso dell’anno.
I settori più colpiti dai cyber attacchi
I settori, invece, più presi di mira sono stati la Pubblica Amministrazione, con 91 eventi, e il settore finanziario, con 81 eventi,.
E’ il risultato questo dei rapidi cambiamenti intercorsi nella digitalizzazione delle amministrazioni pubbliche e nella diffusione di applicazioni bancarie e di numerose soluzioni per i pagamenti digitali.
Particolare attenzione va infine rivolta al settore sanitario, al centro di rilevanti piani di investimento pubblici per potenziare il sistema nella lotta alla pandemia.
Se anche non è risultato un numero alto di attacchi ed eventi di cyber crime, comunque merita attenzione soprattutto per la criticità degli stessi, se si pensa al valore dei dati sanitari rubati e utilizzati nel dark web.
Dall’analisi degli esperti Exprivia, è emerso che nell’ultimo anno i dispositivi medicali sono stati esposti a molteplici vulnerabilità, a partire da quelli personali utilizzati da medici e pazienti per l’assistenza a distanza.
I cyber criminali, infatti, si impossessano del controllo di un dispositivo bloccando il servizio o manomettendo le funzionalità, con il fine di acquisire informazioni sensibili.
Sodinokibi Ransomware, nel 2020 rubati 21,6 terabyte di dati. Guadagno da 123 milioni di dollari
Non proprio belle notizie quelle che provengono dal report X-Force Threat Intelligence Index 2021 pubblicato da IBM Security riguardante il panorama della sicurezza informatica nel 2020.
Il report evidenzia come nel 2020 gli attacchi informatici siano stati in grado di evolversi e adattarsi sfruttando le difficoltà socioeconomiche, aziendali e politiche causate dalla pandemia.
<!-- LARGE RECTANGLE POST - CORPO TESTO
-->
Secondo l’analisi di IBM, l’industria manifatturiera e quella energetica sono state le principali vittime dei cyberattacchi nel 2020, seconde solo al settore finanziario e assicurativo, un primato dovuto anche all’aumento di quasi il 50% delle vulnerabilità nei sistemi di controllo industriale (ICS) da cui entrambe dipendono fortemente.
Nell’anno appena concluso ad essere preso di mira è stato anche il cloud: dato che molte infrastrutture aziendali sono ospitate nel cloud, i cybercriminali hanno aggredito proprio tale ambiente creando il 40% di malware in più per Linux, incrementando significativamente il numero di attacchi verso la piattaforma open-source che è alla base della maggior parte dell’offerta cloud. Con un numero sempre crescente di aziende che intende sposare il cloud come paradigma per le proprie infrastrutture informatiche, IBM prevede che il numero di attacchi continuerà a crescere.
Sodinokibi ransomware: il gruppo più attivo ha guadagnato 123 milioni di dollari nel 2020
Il ransomware è stato la causa di quasi un attacco su quattro a cui X-Force ha risposto nel 2020. Alcuni di questi si sono evoluti in modo aggressivo per attuare tattiche di doppia estorsione. Secondo le stime di X-Force, utilizzando questo modello, Sodinokibi, il gruppo di ransomware più monitorato nel 2020, avrebbe guadagnato oltre 123 milioni di dollari nell’ultimo anno, riuscendo ad estorcere il pagamento a circa due terzi delle vittime dei propri attacchi.
Secondo il report, nel 2020 il numero di attacchi ransomware è cresciuto rispetto al 2019: quasi il 60% di quelli analizzati da X-Force è caratterizzato da una strategia di doppia estorsione in base alla quale i dati sono crittografati e rubati e le vittime minacciate della loro diffusione qualora non avvenga il pagamento del riscatto. Il 36% dei data breach tracciati da X-Force nel 2020 era stato originato da attacchi ransomware, suggerendo che data breach e attacchi ransomware comincino a coincidere.
Il gruppo di ransomware più attivo segnalato nel 2020 è stato Sodinokibi (noto anche come REvil), che rappresenta il 22% di tutti i ransomware osservati da X-Force. IBM stima che Sodinokibi abbia esfiltrato circa 21,6 terabyte di dati, e che quasi due terzi delle vittime abbiano pagato il riscatto richiesto, mentre circa il 43% ha perso i propri dati. Il risultato è che i responsabili di Sodinokibi hanno guadagnato oltre 123 milioni di dollari nell’ultimo anno.
L’importanza della protezione degli accessi privilegiati
Come Sodinokibi, anche le altre tipologie di ransomware che più hanno avuto successo nel 2020 hanno fatto leva sul furto e sul leak di dati, sulla creazione di cartelli ransomware-as-a-service e sull’outsourcing di elementi chiave delle proprie operazioni a criminali informatici specializzati. In risposta a questi attacchi ransomware più aggressivi, X-Force consiglia di limitare l’accesso ai dati sensibili e proteggere gli account attraverso un sistema di gestione degli accessi privilegiati (PAM) e la verifica dell’identità degli accessi (IAM).
L’Europa è il continente maggiormente attaccato nel 2020
Il 31% degli attacchi a cui X-Force ha risposto nel 2020 era indirizzato a Paesi Europei, ai vertici della classifica mondiale per violazioni subite, tra cui, al primo posto, gli attacchi ransomware. Con origine nella maggior parte dei casi all’interno della stessa Europa, sono stati quasi il doppio di quelli perpetrati in Nord America e in Asia.
Inoltre il report ha evidenziato un’altra particolarità: l’individuazione e lo sfruttamento di vulnerabilità ha rappresentato il metodo più efficace per effettuare delle violazioni (35%), superando, per la prima volta da anni, il phishing (31%).
La gestione degli accessi privilegiati (PAM), la chiave per difendere le infrastrutture aziendali
L’accesso privilegiato è un termine utilizzato nel lessico della sicurezza informatica per descrivere accessi o poteri speciali più estesi rispetto a quelli concessi ad un utente standard.
Si tratta di una tipologia di privilegi spesso riconducibili alla figura di un amministratore di sistema, che, attraverso il proprio account, li utilizza per operare da qualunque dispositivo su tutte le risorse aziendali – siano esse a livello di rete, sistema o applicazione –, svolgendo dalle più semplici attività di manutenzione fino alle azioni più critiche. Questo genere di privilegi potrebbero essere visti, quindi, come le chiavi di accesso all’intera infrastruttura IT di un’azienda e, dunque, ai suoi dati più sensibili e pregiati.
<!-- LARGE RECTANGLE POST - CORPO TESTO
-->
Le minacce informatiche sono in costante trasformazione: al fine di proteggere il loro core business ed evitare perdite economiche sostanziali, le aziende dovrebbero continuamente aggiornarsi sull’attuale scenario e investire le risorse necessarie per proteggere una superficie d’attacco sempre più ampia e vulnerabile causata dalla crescente interconnessione tra sistemi, applicazioni, account M2M, ambienti sia cloud che ibridi, DevOps, RPA e dispositivi IoT. Il panorama delle minacce informatiche è cambiato drammaticamente e i relativi rischi per le reti rimangono elevati.
La domanda da porsi, però, è quanto si riesca a proteggere efficacemente da questi accessi privilegiati.
L’importanza di una corretta gestione degli accessi privilegiati
Da sempre, infatti, gli attacchi informatici tendono a sfruttare ampiamente proprio gli accessi privilegiati per colpire il cuore delle infrastrutture aziendali e per accedere alle informazioni più riservate. Per questo motivo la protezione e la gestione degli accessi privilegiati (PAM) rappresenta un elemento cardinale nella protezione di qualsiasi sistema informatico, al fine di rilevare questi attacchi prima che riescano a causare danni irreparabili.
Il mondo della criminalità informatica sta prendendo sempre più di mira i professionisti e le imprese.
A riprova di quanto affermato, basti pensare che, secondo molti dei report specialistici stilati nell’ultimo periodo, analizzando le decine di migliaia di violazioni dei dati avvenute nel 2020, quasi tutte hanno avuto come obiettivo primario anzitutto la ricerca di un accesso privilegiato. Questi dati, peraltro, evidenziano anche una notevole incidenza di questo approccio negli attacchi provenienti dall’esterno della struttura aziendale – nel 70% dei casi – rispetto al 30% di azioni provenienti dall’interno e quindi potenzialmente da dipendenti o da consulenti accreditati.
In un simile scenario, quindi, non può apparire strano che sempre più imprese ed organizzazioni ricorrano a sistemi per il monitoraggio degli accessi attraverso gli account privilegiati.
“In ambito aziendale la gestione degli account cosiddetti privilegiati fa riferimento a tutte quelle attività volte a proteggere accessi o poteri speciali all’interno di infrastrutture IT (reti, sistemi, applicazioni, cloud) e costituisce una delle tematiche di interesse all’interno della disciplina più ampia di gestione in generale delle identità e degli accessi”, spiega Osvaldo Bucci, capo del team di “Cyber Security” di N.I.D.O. S.p.A., e distributore ufficiale di Entrust in Italia.
PAM e Hardware Security Module (HSM) strumenti necessari per mitigare le minacce
“Alla luce di un numero costantemente in crescita di attacchi informatici e dell’impatto che questi hanno avuto sull’operatività, sulla reputazione e sul business delle aziende colpite, queste tematiche – continua Bucci – negli ultimi anni hanno assunto un rilievo di fondamentale importanza e sono state sviluppate una serie di contromisure (cito per esempio le soluzioni PAM di Privileged Access Management e il contestuale uso di HSM per la protezione delle chiavi crittografiche utilizzate per cifrare le credenziali) atte a contrastare questo trend crescente di incidenti relativi al furto di identità.
Il processo di violazione delle informazioni d’accesso parte, infatti, dall’individuazione delle vulnerabilità all’interno del sistema, per poter reperire le credenziali privilegiate e procedere poi con il furto di informazioni riservate, fino al danneggiamento dell’esercizio delle infrastrutture IT e di conseguenza dell’operatività e del business.Una corretta valutazione delle contromisure in essere per difendere gli account privilegiati e in generale le identità aziendali (siano esse relative a persone o a cose)” – conclude il manager – “deve prendere in considerazione un mix di componenti software e hardware atte a cooperare nel garantire accessi sicuri e certi, nonché un costante processo di sensibilizzazione in seno alle aziende su un corretto utilizzo delle credenziali.”
Con gli HSM si proteggono password e chiavi SSH
Quindi, molte delle piattaforme di protezione degli accessi privilegiati si possono integrare con l’uso di Hardware Security Module (HSM), dispositivi che, collegati alla rete, proteggono e gestiscono le chiavi fondamentali utilizzate dalle applicazioni crittografiche. Questi dispositivi, infatti, sono in grado di memorizzare le chiavi all’interno di un sistema certificato, chiuso e sicuro, proteggendole da quegli attacchi che potrebbero compromettere le informazioni riservate.
In questo modo non solo si potranno proteggere le credenziali, incluse password e chiavi SSH, ma si eseguirà anche un controllo costante degli accessi ai diversi account, isolando e registrando sessioni privilegiate che possono facilitare attività di auditing e analisi forense che permettono di individuare quelle attività sospette o potenzialmente rischiose.
‘‘Le minacce non provengono solo dal perimetro della rete, si sa, spiega Gianluca Boccacci, ethical hacker e Presidente dell’Associazione Cyberactors. ‘‘Oramai la maggior parte degli attacchi informatici avviene attraverso i client, magari con l’invio di una mail di phishing, attraverso il quale gli attaccanti iniziano a fare lateral movement e pivoting cercando di scalare i privilegi fino a diventare amministratore.
Le password amministrative, gli account predefiniti e le credenziali hardcoded, negli script e nelle applicazioni, spiega l’esperto, sono tutti punti di ingresso che gli attaccanti cercano di sfruttare come facciamo anche noi penetration tester.Spesso mi capita di ottenere accessi a delle macchine con privilegi bassi e quindi di iniziare a sfruttare tutti gli exploit e le tecniche per ottenere quella che si chiama una Privilege Escalation cercando di ottenere quelli più alti: un tempo si diceva infatti ROOT IS A STATE OF MIND (essendo root l’utente coi massimi privilegi nei sistemi Unix-like).
Quando, invece, continua Boccacci, mi sono trovato ad effettuare attività di sicurezza offensiva su reti in cui era stato configurato PAM (ed utilizzati moduli HSM), a meno che non fosse stato commesso qualche errore come, ad esempio, l’utilizzo di chiavi legacy precedenti all’implementazione di PAM o la presenza di connessioni M2M che non fossero registrate nel vault, è stato quasi impossibile scalare i privilegi.
Concedere privilegi agli utenti solo per i sistemi su cui sono autorizzati e quello conseguente di concedere l’accesso solo quando necessario e revocarlo quando non lo è più, conclude Boccacci, già aiuta molto a proteggersi dai ransomware ed aumenta notevolmente il tempo di exploitation da parte di un attaccante che alla lunga potrebbe desistere’’.
I vantaggi degli HSM
Proteggono chiavi che criptano le password all’interno di un sistema crittografico e garantiscono che le stesse vengano utilizzate per lo scopo preposto.
Garantiscono la disponibilità usando una sofisticata gestione, archiviazione e ridondanza delle chiavi, assicurandosi che queste siano sempre disponibili all’occorrenza.
Fornisce prestazioni elevate a supporto dei sempre più esigenti requisiti aziendali.
La resilienza delle infrastrutture critiche tra strategia nazionale e norme Ue. Il webinar venerdì ore 12
In questi giorni una tempesta di neve sta affliggendo il Texas con effetti drammatici sulla vita dei suoi cittadini. Non solo il freddo ha provocato in modo diretto circa 40 morti, a causa sia di fenomeni di assideramento che di incidenti stradali, ma soprattutto ha comportato paralisi ed interruzioni nella fornitura di molti servizi essenziali a partire dalla corrente elettrica. Infatti, si sono registrati diversi blackout in varie parti del paese con centinaia di migliaia di persone al buio. Questo ha indotto, oltre che acuito, altre problematiche a partire dall’assenza di acqua potabile dovuta sia alla rottura dei collegamenti che all’impossibilità, a causa dei blackout, di riempire i serbatoi. Tutto questo, unito alle difficoltà di mobilità, sta comportando seri problemi al sistema sanitario: gli ospedali sono al collasso, sia per l’assenza di corrente elettrica ed acqua potabile, che per l’impossibilità di garantire il regolare turn-over del personale a causa delle difficoltà negli spostamenti. Anche le derrate alimentari iniziano a scarseggiare.
Proposta di direttiva su Resilienza delle entità critiche
Questo episodio è significativo di uno scenario in evoluzione le cui implicazioni sono alla base della nuova proposta di direttiva che la Commissione Europea ha presentato lo scorso 16 dicembre in tema di “Resilienza delle Entità Critiche”.
<!-- LARGE RECTANGLE POST - CORPO TESTO
-->
La Commissione evidenzia, infatti, che il benessere delle popolazioni da un lato dipende da un insieme di infrastrutture tecnologiche che appaiono essere sempre di più interdipendenti e, dall’altro, che vi è un significativo incremento degli eventi estremi, come testimoniato da quanto sta succedendo in Texas.
Da qui la necessità di avere nuovi approcci per migliorare la robustezza, protezione e resilienza di queste infrastrutture con una visione in grado di contemperare le diverse problematiche. Infatti, il tema della corretta gestione dei rischi naturali è solo un aspetto di un contesto più articolato che vede aumentare l’esposizione di questi complessi sistemi ad eventi di varia natura, sia accidentali che dolosi. Senza trascurare la valenza economica connessa con la capacità di questi sistemi di erogare i loro servizi anche in termini di rilancio e tutela dell’economia di un Paese. Aspetti che impongono lo sviluppo di una visione complessiva del problema che possa vedere la cooperazione dei diversi soggetti, pubblici e privati, coinvolti nella gestione e tutela di queste infrastrutture.
Il webinar in live streaming venerdì 26 febbraio ore 12
Questo sarà l’oggetto dell’incontro che l’Università Campus Bio-Medico di Roma ha organizzato venerdì 26 febbraio in occasione della giornata conclusiva della XII edizione del Master in Homeland Security.
Il 26 febbraio 2021 alle 12 webinar “La protezione delle infrastrutture critiche tra strategia nazionale e normative UE”. Gli ospiti:
Paolo Ciocca, Commissario CONSOB già Vice Direttore del DIS
Andrea Chittaro, Global Security & Cyber Defence SNAM e Presidente AIPSA
Cap. Francesco Pagnotta, Consigliere Militare aggiunto – Presidenza del Consiglio dei Ministri
Modera il prof. Roberto Setola, Direttore Master Homeland Security
Come evidenziato da Setola, promotore dell’iniziativa “viviamo in una realtà molto più complessa di quella nella quale hanno vissuto i nostri padri, una realtà estremamente interconnessa, che se da un lato è in grado di facilitarci la vita quotidiana in molti aspetti dall’altro induce vulnerabilità sistemiche i cui impatti possono essere significativi: il Covid-19 è un esempio di come la globalizzazione ha favorito la diffusione di una pandemia con una rapidità senza precedenti, paralizzando in tutto il mondo intere filiere produttive. Ma nel contempo la stessa globalizzazione ci ha consentito di contenere il pur drammatico numero di morti al di sotto di un decimo di quello dell’influenza spagnola del 1918 oltre che poter disporre degli strumenti per contrastarla nell’arco di una manciata di mesi”.
Le infrastrutture rappresentano un elemento imprescindibile del benessere di un Paese anche dal punto di vista economico e finanziario
La crescente attenzione agli aspetti legati alla cyber security, la cui minaccia sta crescendo a ritmi vertiginosi, si evince sia dalle aziende che dai governi, che stanno attuando specifiche misure per contrastare e limitare tali incidenze. Quanto sta succedendo in Texas è però la riprova che la dimensione cyber è solo una parte di un problema che vede nella fisicità di queste infrastrutture il cardine per l’erogazione della stragrande maggioranza dei servizi, oltre che un elemento di vulnerabilità che persiste e che deve essere opportunamente gestito. Le cronache di questi mesi, peraltro, hanno evidenziato come le infrastrutture rappresentino un elemento imprescindibile del benessere di un Paese anche dal punto di vista economico e finanziario. I tentativi di sfruttare le difficoltà causate dalla pandemia e più in generale da situazioni di crisi da parte di soggetti esteri per acquisire le infrastrutture nazionali, sono alla base delle iniziative promosse in questi mesi nell’ambito del Golden Power.
Roberto Setola (Direttore Master Homeland Security): “Per la resilienza delle infrastrutture critiche necessario approccio cooperativo pubblico-privato”
“È fondamentale”, conclude Roberto Setola, “comprendere come l’attuale scenario infrastrutturale impone un approccio cooperativo che veda una forte sinergia fra soggetti pubblici ed operatori privati. Infatti, l’unico modo per cogliere, comprendere e gestire la crescente complessità sistemica è quello di favorire uno scambio di informazioni ed una collaborazione costante fra i diversi attori”.
Per attivare il promemoria e seguire il talk sui social:
YouTube, cliccando qui è già possibile impostare il “promemoria” ed avviare la condivisione.
Facebook di Key4biz, cliccando qui è già possibile attivare il “promemoria” e condividere il post.
Facebook di Cybersecitalia, cliccando qui è già possibile attivare il “promemoria” e condividere il post.
La protezione delle infrastrutture critiche tra strategia nazionale e normative UE
Come si profilerà la strategia nazionale italiana in tema di infrastrutture critiche alla luce dell’esperienza Covid e delle nuove proposte normative provenienti dalla Commissione Europea?
Questo sarà l’oggetto dell’incontro “La protezione delle infrastrutture critiche tra strategia nazionale e normative UE“ che l’Università Campus Bio-Medico di Roma ha organizzato in occasione della Giornata conclusiva della XII edizione del Master in Homeland Security.
<!-- LARGE RECTANGLE POST - CORPO TESTO
-->
Infrastrutture critiche: tra cybersecurity e Golden Power
La crescente attenzione agli aspetti legati alla cybersecurity, la cui minaccia sta crescendo a ritmi vertiginosi, sta acquisendo un peso rilevante sia tra i governi che tra le aziende, che stanno attuando specifiche misure per contrastare e limitare tali incidenze.
Le cronache di questi mesi hanno evidenziato come le infrastrutture rappresentino un elemento imprescindibile del benessere di un Paese anche dal punto di vista economico e finanziario. I tentativi di sfruttare le difficoltà causate dalla pandemia e più in generale da situazioni di crisi da parte di soggetti esteri per acquisire le infrastrutture nazionali, sono alla base non a caso delle iniziative promosse in questi mesi nell’ambito del Golden Power.
Infine, il tema è di scottante attualità anche in considerazione degli investimenti previsti nel quadro del Recovery Plan.
Interverranno
Dott. Paolo Ciocca, Commissario CONSOB già Vice Direttore del DIS
Dott. Andrea Chittaro, Global Security & Cyber Defence SNAM e Presidente AIPSA
Cap. Francesco Pagnotta, Consigliere Militare aggiunto – Presidenza del Consiglio dei Ministri
Modera
Prof. Roberto Setola, Direttore Master Homeland Security
Per attivare il promemoria e seguire il talk sui social:
YouTube, cliccando qui è già possibile impostare il “promemoria” ed avviare la condivisione.
Facebook di Key4biz, cliccando qui è già possibile attivare il “promemoria” e condividere il post.
Facebook di Cybersecitalia, cliccando qui è già possibile attivare il “promemoria” e condividere il post.
Attenzione alla false e-mail del Mise. In realtà veicola il trojan Ursnif/Gozi
Una nuova campagna malspam sta diffondendo una falsa e-mail afferente al Ministero dello Sviluppo Economico (MISE), con riferimenti ad agevolazioni fiscali e aiuti alle imprese, che in realtà, se si da seguito, distribuisce il trojan noto come Ursnif/Gozi.
Il trojan bancario Ursnif/Gozi
Il malware Ursnif, appartenente alla famiglia dei trojan bancari, purtroppo non è una novità.
<!-- LARGE RECTANGLE POST - CORPO TESTO
-->
Il suo codice sorgente, trapelato nel 2015 e reso disponibile pubblicamente su Github, ha consentito, negli anni, a vari gruppi criminali di aggiungere funzionalità e sviluppare varianti, diffondendole attraverso l’invio massivo di e-mail spam, spacciandole spesso come provenienti da sedicenti istituzioni pubbliche, sfruttando tematiche ispirate a situazioni e eventi contemporanei.
Finalizzato alla raccolta delle attività di rete delle vittime, alla registrazione delle sequenze di tasti e all’archiviazione e invio dei dati raccolti ai server di presidio C2, Ursnif/Gozi, continua periodicamente a ripresentarsi come una reale e puntuale minaccia. Non è un caso, infatti, che nel 2020 il Global Threat Index di Check Point Research lo abbia posizionato nella top 10 delle minacce rilevate a livello globale.
In particolare in Italia, nel mese di maggio, Ursnif ha fatto registrare un impatto sulle organizzazioni di oltre il 14%, attestandosi tra i primi strumenti malware impiegati dal cyber crime. L’ultima di una serie di campagne malspam, rilevate dal nostro CSIRT sin già da inizio anno 2021, ne dà purtroppo un’ulteriore evidenza.
La finta e-mail del MISE
La nuova variante Ursnif è stata osservata questa settimana dai ricercatori del CSIRT Italia all’interno di alcuni campioni e-mail riproducenti grafica e riferimenti al MISE.
Il testo del messaggio di posta elettronica così recita:
“Il Ministero dello Sviluppo Economico, dipartimento per lo sviluppo e la coesione economica, reparto per la promozione delle attività imprenditoriali, Dispone:
la presente circolare dispensa chiarimenti in merito alla tipologia, alle condizioni, ai termini, alla durata e alle modalità di fruizione delle agevolazioni fiscali e contributive per il pacchetto di aiuti alle imprese, al fine di portare a conoscenza di tutti i soggetti interessati, anteriormente in allegato il file recante i dettagli riguardanti le singole tipologie di attività e l’elenco delle varie modalità di fruizione…”
Come si può notare, il contenuto del finto messaggio del MISE potrebbe trarre in inganno perché, facendo riferimento ad una presunta circolare, indicata nell’oggetto come “Circolare10-feb-2021 , informazioni aiuti per la società”, e sfruttando le difficoltà economiche affrontate da molte aziende in questo periodo di emergenza sanitaria, prospetta agevolazioni fiscali e aiuti alle imprese riferendosi anche ad un ipotetico pacchetto di misure presumibilmente messo in opera dallo stesso Dicastero, e induce ad aprire l’allegato Word“dett_7522403.doc” per ulteriori dettagli.
In realtà, avverte il CSIRT come di consueto oramai, il documento nasconde del codice macro che autorizzandone l’esecuzione avvia la catena d’infezione del malware: una DLL viene scaricata dal dominio “megawatt[.]casa”, copiata nella cartella locale “C:/Users/Public/” con il nome “lo.jpg” e, successivamente, eseguita per infettare il sistema.
Come proteggersi
Come dimostrano anche le precedenti campagne rilevate, gli attori della minaccia tramite abili tecniche d’ingegneria sociale e phishing diffondono Ursnif prevalentemente tramite messaggi di posta elettronica portatori di falsi allegati.
Allora, per attenuare il rischio di subire un’infezione, senza dubbio, oltre che dotarsi di strumenti antivirus/antispam (che comunque potrebbero produrre dei falsi negativi) e non prestare particolare attenzione nel dare il consenso all’esecuzione di macro, occorre la massima cautela e prudenza nel leggere i messaggi e-mail e scaricare file che si ricevono in allegato o tramite link, evitando di visitare siti web verosimili e sospetti.
Saper interpretare in modo corretto la nomenclatura di un file, di un indirizzo web o di posta elettronica, dovrebbe diventare prassi comune, acquisendo, inoltre, la piena consapevolezza che dietro ogni forma di posta elettronica, messaggistica istantanea o documentazione digitale potrebbe nascondersi un tranello informatico.
Di seguito si riportano gli indici di compromissione pubblicati dal CSIRT Italia e che identificano la nuova variante malware.
![http://megawatt[.]casa/preview.jpg](http://megawatt[.]casa/preview.jpg){kind=link}