L’ex istruttore israeliano di cyberintelligence Ohad Zaidenberg conosce fin troppo bene i mille modi in cui gli avversari stranieri approfittano dei periodi di incertezza per minare la sicurezza nazionale.
Nel libro * marzo 2020*, preoccupato dal fatto che le strutture sanitarie, notoriamente poco protette, avrebbero presto dovuto affrontare gravi attacchi informatici mentre il mondo si preparava ad affrontare una pandemia globale, Zaidenberg ha cofondato la CTI League, per l’intelligence sulle minacce informatiche. La consideri come una forza di difesa globale, un’organizzazione senza scopo di lucro che si avvale di esperti di sicurezza informatica volontari per contrastare gli attacchi alle strutture sanitarie.
«Ho creato la CTI League per partecipare a questa lotta globale contro la pandemia e per garantire che nessuno perdesse la vita a causa di un attacco informatico in questo momento così delicato», afferma Zaidenberg. Tra i cofondatori dell’ , , figurano anche i responsabili della sicurezza Marc Rogers di Okta e Christopher Mills e Nate Warfield di Microsoft.
Quando è scoppiata la pandemia di COVID-19, l’idea che qualcuno potesse approfittare di una situazione così grave per compromettere l’assistenza sanitaria poteva sembrare inconcepibile. Tuttavia, più o meno nello stesso periodo, alcune bande di criminali informatici hanno iniziato a ricattare le strutture che effettuano i test sui vaccini. Un grave attacco ransomware ha interrotto le attività e causato ritardi negli interventi chirurgici presso l’Ospedale universitario “ ” di Brno nella Repubblica Ceca, un’altra importante struttura dedicata ai test per il COVID-19.
Dall’inizio della pandemia, la CTI League ha aiutato numerosi ospedali, aziende farmaceutiche e fornitori a far fronte a una minaccia alla sicurezza in rapida escalation, proveniente da soggetti malintenzionati che prendono di mira la popolazione mondiale proprio nel momento in cui questa si trova più vulnerabile. Il messaggio della lega: il settore sanitario deve prepararsi al peggio.
Aumentano gli attacchi ransomware
Gli attacchi ransomware, che quasi sempre hanno inizio con una truffa di phishing del tipo “ ” (), hanno colpito in modo particolarmente duro il settore sanitario con la diffusione del COVID-19. A 2021 Netwrix survey found that nearly 40% of healthcare organizations faced cloud-based ransomware attacks in 2020, and 32% needed days to discover accidental data leakage and supply chain compromises, leaving them dangerously exposed. Da parte loro, i ricercatori di Carbon Black di VMware hanno rilevato 239,4 milioni di tentativi di attacchi rivolti a organizzazioni sanitarie in 2020, con una media di 816 tentativi per endpoint, ovvero un aumento del 9.851% rispetto a 2019.
Molti attacchi hanno comportato quella che è nota come strategia “” (salto da un’isola all’altra), in cui i malintenzionati sfruttano un attacco sferrato contro un’organizzazione per provocare infezioni secondarie tra altre organizzazioni, partner e pazienti.
Tale pratica è simile al modo in cui si ritiene che le spie russe abbiano messo a segno un massiccio attacco informatico alla catena di approvvigionamento dei sistemi del governo statunitense alla fine del 2019. L’anno scorso, alcuni agenti dell’ hanno inserito del codice nei server di proprietà di SolarWinds, un’importante azienda fornitrice di software. Tale modus operandi è simile a quello descritto all’indirizzo , ovvero una serie di attacchi informatici che si ritiene siano stati opera del governo nordcoreano, il quale si è infiltrato in aziende e amministrazioni pubbliche incaricate della distribuzione del vaccino contro il coronavirus della Pfizer.
I ricercatori del Dipartimento per la Sicurezza Interna e dell’ IBM e ritengono che i criminali stessero tentando di sottrarre le credenziali di accesso alla rete a dirigenti e funzionari coinvolti nel processo di conservazione refrigerata della “catena del freddo” per il vaccino Pfizer, che deve essere mantenuto a una temperatura minima di meno 76 gradi Fahrenheit fino a poco prima della somministrazione.
Gli attacchi si scatenano
«Il settore sanitario ha registrato un aumento vertiginoso degli attacchi, molti dei quali hanno origine dalla catena di approvvigionamento», afferma Marc Moring, direttore dei clienti strategici presso Tanium. «Se ci pensate bene, il settore si sta allontanando dall’uso di penne e blocchi per appunti. Tutto sta diventando digitale. Un’organizzazione sanitaria, un fornitore o un distributore medio dispone probabilmente di centinaia di applicazioni utilizzate su migliaia di dispositivi endpoint da decine di migliaia di utenti. «Tutte queste piattaforme digitali rappresentano potenziali obiettivi — opportunità per compromettere la somministrazione dei vaccini e di altre terapie indispensabili».
Moring afferma che gli attacchi contro le organizzazioni sanitarie, i fornitori e i distributori rischiano di intensificarsi e di provocare gravi danni. Ad esempio, gli hacker potrebbero potenzialmente ridurre il numero di dosi di vaccino che un operatore sanitario riceve da un’azienda farmaceutica, ad esempio da 1 milione a 100, costringendo le strutture a respingere i pazienti. Gli hacker potrebbero inoltre alterare il numero degli appuntamenti in modo da far risultare che non vi sia alcun paziente in attesa, quando in realtà centinaia di persone stanno aspettando di essere visitate da medici o infermieri. Oppure gli hacker potrebbero ordinare agli autisti addetti alle consegne di trasportare le merci in luoghi isolati, nella speranza che i vaccini, sensibili alla temperatura, vadano a male.
Secondo gli esperti, dietro molti attacchi si celano bande di criminali informatici intenzionate a sottrarre e vendere dati riservati dei pazienti sul dark web. Mentre gli operatori sanitari si affrettano a somministrare i vaccini al maggior numero possibile di persone, gli hacker inducono ignari operatori sanitari e pazienti a cliccare su link e allegati contenuti in e-mail di phishing apparentemente innocue, che lanciano TrickBot e ransomware come Ryuk per infettare le organizzazioni.
La minaccia è diventata talmente diffusa alla fine dello scorso anno che la Cybersecurity and Infrastructure Security Agency (CISA), il Dipartimento della Salute e dei Servizi Umani (HHS) e l’FBI hanno diffuso un avviso dal tono deciso in merito a «una minaccia crescente e imminente di criminalità informatica nei confronti degli ospedali statunitensi e di altri operatori sanitari».
«Non è sorprendente che i criminali compiano atti crudeli», afferma John Pescatore , e direttore del settore “Tendenze emergenti in materia di sicurezza” presso il SANS Institute. «Stanno cercando modi per guadagnare rapidamente. «E ogni volta che c’è fretta, come nel caso della distribuzione dei vaccini durante la pandemia, sanno bene che gli esseri umani commetteranno degli errori».
Protezione degli endpoint
Il dottor Russell Handorf, ex informatico dell’FBI e capo hacker specializzato in intelligence sulle minacce presso White Ops, afferma che il modo più logico per le organizzazioni sanitarie di aumentare la sicurezza sarebbe quello di valutare le pratiche relative all’identità e all’accesso relative ai milioni di dispositivi “ endpoint ” che attualmente utilizzano.
«Tutto inizia con l’ endpoint, poiché rappresenta il punto di accesso alla rete», afferma. «È possibile disporre firewall e altri sistemi di sicurezza distribuiti in modo uniforme lungo tutta la rete per erigere delle mura difensive. «Ma i vostri endpoint sono comunque dei varchi che tutti devono attraversare per entrare nel castello.»
«Gli endpoint sono ancora i portali attraverso i quali tutti passano per entrare nel castello.»Il dott. Russell Handorf, ex informatico dell’FBI e capo hacker per l’intelligence sulle minacce presso White Ops
Handorf afferma che molte organizzazioni si concentrano sul monitoraggio e sulla limitazione del traffico che tenta di infettare i dispositivi endpoint tramite attacchi di tipo “distributed denial of service” (DDoS) o attacchi di tipo “Structured Query Language” (SQL) injection. Egli sostiene tuttavia che le misure strategiche più efficaci al giorno d’oggi consistano nel verificare l’identità degli utenti autorizzati e nel concedere loro l’accesso, bloccando al contempo le numerose altre richieste non autorizzate.
«Se dovessi temere qualcosa in questo momento nel settore sanitario, sarebbe il rischio legato alla somministrazione di vaccini e altri farmaci che utilizzano questi endpoint», afferma Handorf. “Sono certo che le aziende farmaceutiche stiano adottando le misure adeguate per produrre, spedire e tracciare i propri prodotti. «Ma basta che una sola persona colleghi accidentalmente un computer portatile non protetto perché l’ultimo tratto della consegna vada a monte».
Adottare buone pratiche di sicurezza
I dispositivi endpoint rappresentano il punto debole della sicurezza nel settore sanitario. Gli esperti sostengono che le organizzazioni debbano disporre di visibilità su un’infrastruttura IT integrata. Tra le buone pratiche di sicurezza informatica figurano l’esecuzione di programmi di rilevamento e prevenzione delle anomalie comportamentali, lo svolgimento di esercitazioni periodiche di “cyberthreat hunting” volte a individuare i sistemi compromessi e l’applicazione dell’autenticazione a più fattori, in grado di sventare la maggior parte, se non tutti, i tentativi di phishing.
I dirigenti dovrebbero inoltre aggiornare gli accordi sul livello di servizio (SLA) con le organizzazioni partner, stabilendo i livelli di sicurezza delle informazioni, le procedure di notifica e di risposta in caso di incidenti, e definendo poi le conseguenze del mancato rispetto di tali accordi. Tali SLA non dovrebbero applicarsi solo alla catena di approvvigionamento tradizionale, ma anche alla catena di approvvigionamento delle informazioni, spesso trascurata, che comprende studi legali esterni, agenzie di marketing e altri fornitori, spesso presi di mira dagli hacker.
[Legga anche: L’igiene informatica inizia con l’individuazione e l’inventario delle risorse]
Pescatore concorda sull’importanza di rendere obbligatori i requisiti di sicurezza lungo l’intera catena di approvvigionamento. Egli sostiene tuttavia che anche le organizzazioni sanitarie e farmaceutiche debbano assicurarsi di agire in modo corretto.
«Non basta imporre i requisiti di sicurezza più elevati che si possano immaginare se poi non li si rispetta», afferma. «Se non lo è, lei rappresenta l’anello debole della catena. Per prima cosa deve mettere in sicurezza la propria casa. “E poi potrete iniziare a valutare i fornitori per portarli al vostro livello.”
