After taking a bit of a vacation in 2022, ransomware attacks are back with a vengeance and hitting financial institutions hard.
Lo scorso anno, grazie all’adozione da parte delle organizzazioni di un maggior numero di controlli di sicurezza e di un approccio più rigoroso nella gestione degli hacker che cercavano di ottenere un riscatto, gli attacchi riusciti sono diminuiti del 61% rispetto ai 2021 registrati in precedenza, secondo un rapporto di Delinea, un’azienda specializzata in software per la gestione degli accessi. Sebbene nessun professionista della sicurezza in possesso delle proprie facoltà mentali avrebbe mai dichiarato vittoria nella lotta contro queste minacce, i dati hanno comunque suscitato un senso generale di ottimismo circa il fatto che il settore stesse finalmente riuscendo a tenere sotto controllo il costoso flagello del ransomware.
Non così in fretta.
A marzo, per una serie di motivi, tutto è andato a rotoli. Corvus Insurance, which tracks hacker posts on the dark web, reported a 60% spike in successful ransomware attacks in the early part of 2023 compared to the same period the previous year. Ancora più preoccupante è il fatto che l’azienda abbia rilevato un’impennata del 300% degli scioperi contro le società di servizi finanziari .
Ryan Bell, responsabile dell’intelligence sulle minacce presso Corvus, ritiene che la minaccia degli attacchi informatici sia riemersa e possa causare gravi danni alle banche e ad altre istituzioni finanziarie.
«Con il calo degli attacchi registrato lo scorso anno, credo che molte persone si siano forse lasciate prendere da un eccesso di sicurezza», afferma. «Ma attenzione, spoiler: a cinque mesi dall’inizio di quest’anno, stiamo assistendo nuovamente a un aumento. «Pertanto, a questo punto, lo definiamo una tendenza, non un’anomalia».
Cause incerte
Cosa sta determinando questa tendenza? Bell e altri esperti di sicurezza possono solo avanzare ipotesi. Alcuni sostengono che gli hacker, lo scorso anno, non siano stati realmente sconfitti, ma semplicemente distratti da altre vulnerabilità allettanti legate a alla guerra della Russia contro l’Ucraina. Altri ipotizzano che i miglioramenti apportati al ransomware-as-a-service “ ”, venduto sul dark web, abbiano reso più agevole per i gruppi di hacker sferrare gli attacchi. Altri ancora indicano gruppi di hacker come e il gruppo russo CL0P , che sfruttano le vulnerabilità presenti nei programmi software più diffusi.
«. Attenzione: a cinque mesi dall’inizio dell’anno, si sta registrando nuovamente un aumento dei casi di [ransomware]. Pertanto, a questo punto, lo definiamo una tendenza, non un’anomalia.”Ryan Bell, responsabile dell’intelligence sulle minacce, Corvus Insurance
Sebbene queste teorie possano spiegare la recrudescenza del ransomware, l’ultimo punto, relativo alle bande criminali che sfruttano vulnerabilità note, potrebbe essere il più significativo.
Nel mese di giugno, appena una settimana dopo che l’FBI e la Cybersecurity and Infrastructure Security Agency (CISA) avevano segnalato che il gruppo CL0P aveva individuato una grave vulnerabilità nel software di trasferimento file MOVEit, ampiamente diffuso, la banda ha sferrato un massiccio attacco globale contro agenzie governative statunitensi, scuole e università, testate giornalistiche come la BBC, milioni di cittadini in Louisiana, Oregon e Illinois, nonché migliaia di aziende. [Da quando questo articolo è andato in stampa, il numero delle vittime ha continuato ad aumentare. Secondo quanto riportato su all’inizio di luglio, oltre 200 organizzazioni (tra cui il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti, l’UCLA e lo studio legale multinazionale Kirkland & Ellis) starebbero affrontando questa violazione, che ha interessato i dati di circa 17,5 milioni di persone.]
Nel settore dei servizi finanziari, secondo quanto riferito, tra le prime vittime figuravano importanti istituzioni finanziarie statunitensi , tra cui 1st Source, First National Bankers Bank, Putnam Investments e Umpqua Bank. A febbraio, CL0P ha inoltre affermato di aver sfruttato una vulnerabilità zero-day di tipo “ ” presente nello strumento di trasferimento sicuro dei file GoAnywhere MFT, che ha interessato oltre 130 organizzazioni. La piattaforma bancaria fintech Hatch Bank ha ammesso di essere stata vittima di tale attacco.
Passare all’azione
Bell sottolinea che il tempo medio che intercorre tra la divulgazione di una vulnerabilità di sicurezza e il suo sfruttamento da parte degli hacker si è ormai ridotto a due settimane, il che non lascia molto tempo al responsabile della sicurezza informatica (CISO) di una banca per reagire. Infatti, a volte gli hacker stanno già sfruttando una vulnerabilità prima ancora che i CISO abbiano avuto modo di correggerla, afferma.
«[Diverse] teorie potrebbero spiegare la recrudescenza del ransomware, ma quella relativa alle bande criminali che sfruttano vulnerabilità note potrebbe essere la più rilevante.”
Indipendentemente dalla rapidità o dalle cause di tali attacchi, gli esperti di sicurezza sostengono che gli istituti finanziari possano ridurre al minimo i potenziali danni causati dal ransomware adottando queste cinque precauzioni dettate dal buon senso:
1. Conoscete le vostre vulnerabilità
È fondamentale conoscere i sistemi e i software che avete implementato e tenersi aggiornati sulle vulnerabilità e sugli exploit noti, soprattutto alla luce della crescente rapidità di questi attacchi. Le compagnie di assicurazione contro i rischi informatici possono fornire assistenza in tal senso, afferma Bell. Infatti, Corvus effettuerà regolarmente delle scansioni dei sistemi dei clienti (ove consentito) per verificare se gli assicurati possano essere esposti a vulnerabilità note e, in tal caso, li avviserà.
2. Utilizzare strumenti di gestione della configurazione
Jeff Farinich, CISO dell’istituto di credito ipotecario New American Funding, raccomanda di mantenere configurazioni sicure utilizzando una varietà di strumenti di gestione delle configurazioni sui server e, in particolare, sugli endpoint. Sebbene vi sia sempre il rischio di un eccesso di strumenti di , l’utilizzo di due o tre di essi può fornire un quadro più completo del vostro stato di sicurezza.
[Legga anche: Che cos’è la gestione della configurazione?]
3. Si prega di prestare attenzione alle correzioni e alle linee guida
Non sempre sarà disponibile una patch di sicurezza quando dovrete risolvere una vulnerabilità zero-day in quelle poche settimane successive alla divulgazione pubblica della falla. Tuttavia, esperti come Farinich sostengono che attenersi a una cadenza di applicazione delle patch rigorosa possa prevenire molti problemi.
E, in caso di vulnerabilità critiche, è noto che i fornitori rilasciano aggiornamenti. Anche quando non sono in grado di farlo, spesso emanano avvisi su come comportarsi di fronte a una minaccia. Ad esempio, nel caso della vulnerabilità di MOVEit, il suo produttore, Progress Software Corp., , aveva inizialmente raccomandato di disabilitare tutto il traffico HTTP e HTTPS verso gli ambienti MOVEit fino a quando le organizzazioni non avessero potuto applicare una patch da esso sviluppata.
4. Prestino attenzione alle e-mail
Gli hacker riescono spesso a sferrare attacchi ransomware inducendo dipendenti ignari a cliccare su link contenuti in e-mail fasulle, il che apre la strada alle loro attività digitali illecite. Infatti, le perdite subite dalle aziende a causa delle truffe di tipo “Business Email Compromise” (BEC) , note come “”, lo scorso anno sono stimate in oltre 10 miliardi di dollari; pertanto, è fondamentale disporre di sistemi anti-phishing.
È inoltre importante investire nella formazione e nella sensibilizzazione dei dipendenti, poiché il 82% delle violazioni dei dati coinvolge il “fattore umano”, secondo il Rapporto Verizon 2022 sulle indagini relative alle violazioni dei dati.
5. Non affidatevi esclusivamente all’autenticazione a più fattori (MFA)
Bell mette inoltre in guardia dal ritenere che l’autenticazione a più fattori (MFA) di possa proteggervi dagli attacchi ransomware. Sebbene rappresentino un miglioramento incommensurabile rispetto alle password per la gestione delle identità e degli accessi, gli strumenti di “phishing-as-service” come EvilProxy e Greatness dispongono ora di potenti funzionalità di aggiramento dell’autenticazione a più fattori (MFA). In sintesi, gli hacker di hanno adattato.
«Se siete un CISO nel settore bancario, dovete alzare il livello delle vostre difese perché la soglia di accesso per gli hacker si sta abbassando, consentendo loro di aggirare persino le contromisure di base come l’autenticazione a più fattori (MFA)», afferma Bell.
