Nonostante il bizzarro (e sospetto) annuncio della scorsa settimana da 14 bande informatiche che affermano di aver "deciso di oscurarsi", gli esperti sottolineano l'attività criminale informatica in corso legata a una delle bande più famose del gruppo e avvertono i lavoratori dell'help desk di essere in allerta. Questi gruppi hanno reinventato e trasformato vecchie tattiche che sfruttano la gentilezza umana.
Scattered Spider, un collettivo di criminali informatici di giovani hacker noto per il suo caos creativo, ha guidato questa carica, prendendo di mira gli sportelli di tutti gli Stati Uniti e Regno Unito almeno dalla primavera. Lungi dal ritirarsi, il gruppo sembra solo colpire il suo passo, dopo aver messo a punto un nuovo marchio di hacking che utilizza una gamma di tecnologie all'avanguardia per elevare l' ingegneria sociale al livello successivo.
Quest'anno, è iniziato con una telefonata al gigante della vendita al dettaglio britannico Marks & Spencer, poi Co-op Group, poi Harrods. Il blitz sui rivenditori ha dominato i titoli del Regno Unito per settimane. Successivamente hanno colpito le compagnie di assicurazione statunitensi.
Anziché sfruttare ransomware o attacchi zero-day, questi hacker hanno impersonato dipendenti, raccontato storie credibili e convinto il personale dell’help desk IT a reimpostare le password e disabilitare l’autenticazione a più fattori (MFA). Questo ha dato agli aggressori le chiavi del regno. Inoltre, in alcuni casi, gli intrusi non si sono limitati a crittografare i sistemi; hanno tranquillamente esfiltrato i dati, creando una nuova ondata di minacce di pura estorsione che non aveva bisogno di malware.
Questa tecnica evoluta sta diventando sempre più popolare. In molti di questi casi, gli aggressori aggiungono realismo ai loro inganni utilizzando strumenti audio deepfake per impersonare dirigenti o personale IT, compresi gli stessi agenti dell’help desk. In definitiva, i veri agenti dell'help desk sono lasciati a destreggiarsi tra chiamate urgenti, identità false e richieste di panico da parte di ciò che sembrano - ma potrebbero non essere - veri colleghi.
"È come un classico attacco di ingegneria sociale", tranne per il fatto che utilizza la tecnologia moderna per tirare fuori, dice Errol Weiss, CSO per Health-ISAC (Information Sharing and Analysis Center). “Gli avversari raccontano una storia convincente – forse qualcuno ha perso il telefono e ha bisogno del ripristino dell’autenticazione a più fattori – e l’help desk, cercando di essere utile, finisce per cedere l’accesso”.
Benvenuti all'inferno dell'help desk.
Le notizie sul loro pensionamento sono state molto esagerate
Da quando si è formato nel 2022, Scattered Spider, un collettivo prevalentemente di lingua inglese composto da giovani uomini e adolescenti provenienti dagli Stati Uniti e dal Regno Unito, si è rapidamente evoluto da truffe SIM-swapping a ransomware guidati da precisione e attacchi di estorsione. In precedenza, gruppi come questi avrebbero potuto impiegare tattiche come il phishing per ingannare i dipendenti fidati a intraprendere azioni sconsiderate, come fare clic su link che lanciano malware. Ora stanno utilizzando combinazioni di vishing (phishing vocale), smishing (una miscela di SMS e phishing) e strumenti di intelligenza artificiale per contrattare i lavoratori in prima linea.
“Gli avversari raccontano una storia convincente – forse qualcuno ha perso il telefono e ha bisogno del ripristino dell’autenticazione a più fattori – e l’help desk, cercando di essere utile, finisce per cedere l’accesso”.Errol Weiss, CSO, Health-ISAC (Information Sharing and Analysis Center)
La tattica funziona. L’anno scorso, Scattered Spider era dietro almeno sei campagne di vishing di grande impatto, rivolte ai dipendenti nei settori della vendita al dettaglio, delle assicurazioni e dell’aviazione. I metodi del gruppo sono aggressivi e in continua evoluzione.
Il punto di ingresso è banale. Le conseguenze possono essere enormi. L' attacco Marks & Spencer, ad esempio, costerà al rivenditore circa $ 400 milioni. Circa 6,5 milioni di persone hanno subito il furto dei loro dati nell’attacco Co-op. E Harrods non è stato in grado di prendere online vestiti e ordini per la casa per una settimana. Non ha divulgato l’impatto finanziario. (La National Crime Agency del Regno Unito ha annunciato gli arresti di quattro presunti autori di questa cyber baldoria: una donna di 20 anni e tre ragazzi maschi, di età compresa tra 17 e 19—in luglio).
[Leggi anche: Che cos'è la gestione dell'identità e dell'accesso?]
Una volta all’interno, gli aggressori installano ransomware o sottraggono silenziosamente dati sensibili. Sempre più spesso, è la seconda. L’estorsione senza crittografia, in cui gli aggressori rubano i dati e chiedono il pagamento per mantenerli privati, è più veloce, più silenziosa e più redditizia. Dragos, una società di sicurezza informatica specializzata in attacchi alle infrastrutture, riferisce che questo modello di “estorsione pura dei dati” sta guadagnando rapidamente terreno, soprattutto in Europa.
Attacchi all’help desk: quale settore è il prossimo?
Le aziende di vendita al dettaglio e gli assicuratori sono stati gli obiettivi prescelti quest'anno. Ma Scattered Spider ha uno schema: colpire duramente un settore, poi andare avanti.
È ampiamente creduto di essere dietro i 2023 attacchi informatici di MGM Resorts International e Caesars Entertainment, che hanno coinvolto l'uso di vishing per ottenere l'accesso ai sistemi aziendali e distribuire ransomware. Le autorità sospettano che il gruppo sia dietro una serie di attacchi informatici questa estate alle compagnie aeree. Il gruppo è tra i tre che hanno rivendicato la responsabilità del devastante attacco informatico di questo mese a Jaguar Land Rover, che ha provocato chiusure della produzione globale e perdite stimate per centinaia di milioni di dollari. E un recente rapporto della società di analisi delle minacce ReliaQuest suggerisce che i servizi finanziari e il settore tecnologico potrebbero essere i prossimi obiettivi.
“Alcune industrie sono più a rischio”, afferma Arda Büyükkaya, senior cyber threat intelligence analyst di EclecticIQ. “I settori retail, healthcare e simili sono particolarmente vulnerabili perché spesso hanno grandi operazioni di help desk, ambienti di lavoro frenetici e processi di verifica dell’identità flessibili che gli aggressori possono sfruttare più facilmente”.
Metodologia moderna: ecco come funzionano gli attacchi all’help desk
I criminali informatici estraggono LinkedIn, i social media e i dump delle violazioni (database di nomi utente, password e altri dati personali rubati) per creare profili dettagliati dei dipendenti. Quindi effettuano una chiamata vishing a un help desk, spesso fingendosi un dirigente in viaggio che ha perso l'accesso al loro telefono e alla loro e-mail. Rilasciano quel tanto di gergo e urgenza da sembrare legittimi. Alcuni addirittura falsificano i numeri di telefono reali dell’azienda o registrano domini di phishing, come “vpn-yourcompany-helpdesk.com”.
“Gli help desk sono obiettivi attraenti e vulnerabili perché il loro personale è addestrato a risolvere rapidamente i problemi”.Arda Büyükkaya, analista senior di intelligence sulle minacce informatiche, EclecticIQ
“Gli help desk sono obiettivi attraenti e vulnerabili perché il loro personale è addestrato a risolvere rapidamente i problemi, che gli aggressori sfruttano creando scenari urgenti ed emotivi per spingerli a bypassare i protocolli di sicurezza”, afferma Büyükkaya. “Inoltre, gli help desk hanno spesso accesso a funzioni altamente privilegiate come la reimpostazione delle password e l’autenticazione a più fattori, rendendoli punti di controllo chiave”.
Tale accesso non è sempre utilizzato per interrompere. Sempre più spesso viene utilizzato per la furtività.
“Il vishing supporta la pura estorsione consentendo agli aggressori di ottenere un accesso silenzioso ai sistemi senza l’uso di malware o crittografia”, afferma Büyükkaya. Invece, rubano dati sensibili e poi minacciano di rilasciarli a meno che non venga pagato un riscatto. Questo metodo è a basso rischio per gli aggressori, veloce da eseguire e spesso passa inosservato fino a quando non viene presentata la richiesta di estorsione.
Pianificare una risposta agli attacchi dell'help desk
Quindi, cosa possono fare le aziende al riguardo?
“[Consenti ai lavoratori di sfidare qualsiasi cosa] se sentono davvero che qualcosa non va, che una chiamata non è legittima o che non ha senso.Christopher Hadnagy, CEO, ingegnere sociale
“I team di sicurezza possono intraprendere azioni immediate come richiamare sempre le persone utilizzando numeri di contatto affidabili, implementare processi di verifica in più passaggi invece di affidarsi esclusivamente alle telefonate e richiedere passphrase segrete per azioni ad alto privilegio come la reimpostazione delle password”, afferma Büyükkaya. Dovrebbero anche verificare le identità attraverso una webcam o richiedere una verifica di persona per azioni sensibili. Anche la formazione regolare per il personale dell’helpdesk, comprese le simulazioni di ingegneria sociale e l’applicazione di regole chiare per l’interruzione di richieste urgenti o ad alto rischio sono passaggi critici”.
Una delle difese più efficaci è la formazione dei dipendenti dell'help desk su cosa tenere d'occhio, ha affermato Christopher Hadnagy, CEO di Social-Engineer, una società di consulenza e formazione sulla sicurezza, in un recente webinar. Le vecchie regole empiriche, come fidarsi delle voci che conosci e diffidare di quelle sconosciute o di quelle con un accento, non si applicano più. La moderna tecnologia deepfake può generare registrazioni convincenti e strumenti basati sull’intelligenza artificiale come FraudGPT possono persino rendere locale qualsiasi accento.
Büyükkaya afferma che parte di tale formazione dovrebbe riguardare la formazione dei dipendenti sui segnali di allarme, come le richieste urgenti che spingono il personale a saltare le fasi di verifica, i chiamanti che sembrano avere una conoscenza approfondita dei sistemi interni, le richieste di password o di ripristino MFA senza prove di backup, le chiamate da numeri sconosciuti o falsificati e le richieste fatte in orari strani o da luoghi insoliti.
Un altro tipo di “hack” dell’help desk: supporta i sospetti
La formazione dovrebbe riguardare anche l’empowerment.
I dipendenti dell'help desk devono sapere che "se sentono che qualcosa non va, che una chiamata non è legittima o che non ha senso", possono contestarlo, spegnerlo e segnalarlo senza conseguenze, anche se era il loro capo o CEO, ha detto Hadnagy nel webinar.
Hadnagy ha indicato un esempio 2024 in cui un dirigente della Ferrari ha ricevuto messaggi e persino una telefonata approfondita da qualcuno che si atteggiava a CEO Benedetto Vigna. Sospettoso, il dirigente chiese al chiamante di richiamare un libro che Vigna aveva recentemente raccomandato. Quando l’impostore non riuscì a rispondere, il tentativo si dipanò rapidamente.
“Quella domanda ha salvato la Ferrari da una massiccia violazione”, ha detto Hadnagy. “E perché? Perché il dirigente non temeva che se avesse effettivamente messo in discussione il vero CEO, sarebbe stato rimproverato, rimproverato o vergognoso. Ha avuto il potere di sapere che aveva il potere di interrogare quel tizio al telefono, e questo ha fermato la violazione. "
Guida governativa e di altri esperti per le imprese statunitensi e britanniche
Il National Cyber Security Center (NCSC), parte del Government Communications Headquarters britannico (GCHQ), un’organizzazione di intelligence e sicurezza, ha anche emesso una guida urgente per le aziende del Regno Unito per rivedere e rafforzare i loro protocolli di help desk.
Negli Stati Uniti, vari ISAC del settore hanno pubblicato indicazioni altrettanto utili. Weiss, che ha contribuito a costruire il Cyber Intelligence Center di Citigroup, afferma che il modello di condivisione delle minacce del settore finanziario potrebbe servire da modello per i settori della vendita al dettaglio e della sanità.
“Avevamo informazioni sulle minacce integrate in tutto, dalla pianificazione strategica alle operazioni in tempo reale”, afferma. “Questo livello di integrazione ti aiuta a anticipare ciò che sta arrivando.”
Mentre la biometria potrebbe essere in disgrazia come dispositivo di verifica, Weiss osserva che la tecnologia può svolgere un ruolo. “Esiste una tecnologia di riconoscimento vocale e di verifica comportamentale in grado di segnalare anomalie in tempo reale”, afferma. “Soluzioni come Clear stanno esplorando controlli attivi di prova della vita per confermare l’identità. Questo potrebbe essere parte della risposta”.
[Leggi anche: Un nuovo modello decentralizzato di cyberdefense guadagna trazione nell'UE]
Ma lui e Büyükkaya concordano sulla difesa più importante: la preparazione.
“Non allenarti una volta sola e vai avanti”, dice Büyükkaya. “Esegui le esercitazioni. Richiedi passphrase segrete. E chiarisci che qualsiasi richiesta urgente è una bandiera rossa, non una scusa per saltare il protocollo.
Nel panorama delle minacce odierne, la tua più grande vulnerabilità potrebbe essere un dipendente ben intenzionato che cerca solo di aiutarti.
“Lo diciamo sempre alle aziende”, afferma Weiss, “se non stai testando in modo proattivo il tuo help desk e aggiornando i tuoi playbook, sei già indietro”.
