Nonostante il bizzarro (e sospetto) annuncio pubblicato la scorsa settimana su da 14 bande di cybercriminali, in cui affermavano di aver “deciso di ritirarsi”, gli esperti segnalano il persistere di attività criminali informatiche legate a una delle bande più famigerate del gruppo e invitano gli addetti all’help desk a mantenere alta la guardia. Questi gruppi hanno reinventato e trasformato vecchie tattiche che sfruttano la bontà d’animo delle persone.
Scattered Spider, un collettivo di giovani hacker noto per il proprio caos creativo, è in prima linea in questa campagna, prendendo di mira i servizi di assistenza tecnica negli Stati Uniti e nel Regno Unito almeno dalla primavera. Lungi dal ritirarsi, il gruppo sembra aver appena raggiunto il pieno slancio, avendo messo a punto una nuova forma di hacking che utilizza una serie di tecnologie all’avanguardia per portare l’ingegneria sociale a un livello superiore.
Quest’anno, tutto è iniziato con una telefonata al colosso britannico della grande distribuzione Marks & Spencer, poi al Co-op Group e infine a Harrods. L’offensiva contro i rivenditori ha dominato i titoli dei giornali britannici per settimane. In seguito hanno preso di mira le compagnie assicurative statunitensi.
Anziché ricorrere a un ransomware di tip o ad attacchi zero-day , questi hacker si sono spacciati per dipendenti, hanno inventato storie credibili e hanno convinto il personale dell’help desk IT a reimpostare le password e a disabilitare l’autenticazione a più fattori (MFA). Ciò ha fornito agli aggressori le chiavi del regno. Inoltre, in alcuni casi, gli intrusi non si sono limitati a crittografare i sistemi, ma hanno sottratto dati in modo discreto, dando vita a una nuova ondata di minacce di pura estorsione che non richiedevano affatto l’uso di malware.
Questa tecnica avanzata sta diventando sempre più diffusa. In molti casi di questo tipo, gli autori degli attacchi rendono più credibili i propri inganni utilizzando strumenti audio “deepfake” per impersonare dirigenti o personale IT, compresi gli stessi operatori dell’help desk. In definitiva, gli operatori dell’help desk si ritrovano a dover destreggiarsi tra chiamate urgenti, identità false e richieste disperate da parte di persone che sembrano — ma potrebbero non essere — veri colleghi.
«È come un classico attacco di ingegneria sociale del tipo “ ”», con la differenza che per realizzarlo si ricorre alla tecnologia moderna, afferma Errol Weiss, CSO di Health-ISAC (Information Sharing and Analysis Center). «Gli aggressori presentano una storia convincente — magari qualcuno ha smarrito il cellulare e ha bisogno di reimpostare l’autenticazione a più fattori — e l’help desk, nel tentativo di essere d’aiuto, finisce per concedere l’accesso.»
Benvenuti nell’inferno dell’assistenza tecnica.
Le voci sul loro ritiro sono state notevolmente esagerate
Sin dalla sua costituzione nel 2022, Scattered Spider, un collettivo prevalentemente anglofono composto da giovani e adolescenti provenienti dagli Stati Uniti e dal Regno Unito, si è rapidamente evoluto, passando dalle truffe basate sullo scambio di schede SIM ad attacchi di ransomware e di estorsione mirati con estrema precisione. In passato, gruppi come questi avrebbero potuto ricorrere a tattiche quali il phishing di tipo “ ” per indurre dipendenti poco diffidenti a compiere azioni sconsiderate, come cliccare su link che attivano malware. Attualmente, stanno utilizzando combinazioni di vishing (phishing vocale), smishing (un termine che unisce SMS e phishing) e strumenti di intelligenza artificiale per truffare i lavoratori in prima linea.
«Gli aggressori raccontano una storia convincente — magari qualcuno ha smarrito il cellulare e ha bisogno di reimpostare l’autenticazione a più fattori — e il servizio di assistenza, nel tentativo di essere d’aiuto, finisce per concedere l’accesso.»”Errol Weiss, CSO, Health-ISAC (Centro di condivisione e analisi delle informazioni)
La tattica funziona. Lo scorso anno, la sola Scattered Spider è stata responsabile di almeno sei campagne di grande impatto basate sul vishing, rivolte a dipendenti dei settori della vendita al dettaglio, assicurativo e aeronautico. I metodi del gruppo sono aggressivi e in continua evoluzione.
Il punto di partenza è banale. Le conseguenze possono essere enormi. L’attacco informatico ai danni di Marks & Spencer , ad esempio, costerà al rivenditore circa 400 milioni di dollari. Circa 6,5 milioni di persone hanno subito il furto dei propri dati a seguito dell’attacco alla Co-op. Inoltre, Harrods non è stato in grado di accettare ordini online di abbigliamento e articoli per la casa per una settimana. Non ha reso noto l’impatto finanziario. (L’Agenzia nazionale contro la criminalità del Regno Unito ha annunciato l’arresto di quattro presunti autori di questa serie di reati informatici: una donna di 20 anni e tre adolescenti di sesso maschile, di età compresa tra i 17 e i 19—in luglio.)
[Legga anche: Che cos’è la gestione delle identità e degli accessi?]
Una volta entrati, gli autori degli attacchi installano un ransomware oppure sottraggono di nascosto dati sensibili. Sempre più spesso si tratta di quest’ultima ipotesi. L'estorsione senza crittografia, in cui gli autori degli attacchi sottraggono dati e poi esigono un pagamento per non renderli pubblici, è più rapida, più discreta e più redditizia. Dragos, un’azienda specializzata in sicurezza informatica e in particolare negli attacchi alle infrastrutture, secondo quanto riportato da , questo modello di “pura estorsione di dati” sta prendendo rapidamente piede, soprattutto in Europa.
Attacchi all’help desk: quale settore sarà il prossimo?
Quest'anno le aziende del settore della vendita al dettaglio e le compagnie assicurative sono state gli obiettivi preferiti. Ma Scattered Spider segue uno schema ben preciso: colpire duramente un settore, per poi passare a un altro.
Si ritiene comunemente che sia responsabile dei 2023 attacchi informatici ai danni di MGM Resorts International e Caesars Entertainment, nel corso dei quali è stato utilizzato il vishing per ottenere l’accesso ai sistemi aziendali e distribuire ransomware. Le autorità sospettano che il gruppo “ ” sia responsabile di una serie di attacchi informatici sferrati quest’estate contro alcune compagnie aeree. Il gruppo è uno dei tre che, secondo quanto riportato da , hanno rivendicato la responsabilità del devastante attacco informatico sferrato questo mese contro Jaguar Land Rover, che ha provocato l’interruzione della produzione a livello mondiale e perdite stimate in centinaia di milioni di dollari. Inoltre, un recente rapporto di “ ” ( ), redatto da ReliaQuest, società specializzata nell’analisi delle minacce , suggerisce che i servizi finanziari e il settore tecnologico potrebbero essere i prossimi probabili obiettivi.
«Alcuni settori sono maggiormente a rischio», afferma Arda Büyükkaya, analista senior di intelligence sulle minacce informatiche presso EclecticIQ. “Il settore della vendita al dettaglio, quello dell’ e, quello sanitario e altri settori simili sono particolarmente vulnerabili poiché spesso presentano grandi strutture di assistenza tecnica, ambienti di lavoro frenetici e processi flessibili di verifica dell’identità che gli autori degli attacchi possono sfruttare più facilmente.”
Metodologia moderna: ecco come funzionano gli attacchi all’help desk
I criminali informatici attingono da LinkedIn, dai social media e dai database di dati rubati (banche dati contenenti nomi utente, password e altri dati personali sottratti) per creare profili dettagliati dei dipendenti. Successivamente effettuano una chiamata di vishing a un servizio di assistenza, spesso spacciandosi per un dirigente in viaggio che ha perso l’accesso al proprio telefono e alla propria posta elettronica. Usano quel tanto di gergo da addetti ai lavori e di tono urgente che basta per sembrare credibili. Alcuni arrivano persino a falsificare i numeri di telefono reali dell’azienda o a registrare domini di phishing, come “vpn-yourcompany-helpdesk.com”.
«I servizi diassistenza sono obiettivi allettanti e vulnerabili poiché il loro personale è addestrato a risolvere rapidamente i problemi.”Arda Büyükkaya, analista senior di intelligence sulle minacce informatiche, EclecticIQ
«I servizi di assistenza sono obiettivi allettanti e vulnerabili perché il loro personale è addestrato a risolvere rapidamente i problemi; gli autori degli attacchi sfruttano questa caratteristica creando scenari urgenti e carichi di emotività per spingerli a ignorare i protocolli di sicurezza», afferma Büyükkaya. “Inoltre, i servizi di assistenza tecnica dispongono spesso di accesso a funzioni con privilegi elevati, quali il ripristino delle password e l’autenticazione a più fattori, il che li rende punti di controllo fondamentali.”
Tale accesso non viene sempre utilizzato a fini dirompenti. Viene utilizzato sempre più spesso a fini di occultamento.
«Il vishing favorisce l’estorsione vera e propria, consentendo agli autori degli attacchi di accedere di nascosto ai sistemi senza ricorrere a malware o alla crittografia», afferma Büyükkaya. “Al contrario, rubano dati sensibili e poi minacciano di renderli pubblici a meno che non venga pagato un riscatto. «Questo metodo comporta un rischio limitato per gli autori degli attacchi, è rapido da mettere in atto e spesso passa inosservato fino al momento in cui viene avanzata la richiesta di riscatto.»
Pianificazione di una risposta agli attacchi all’help desk
Allora, cosa possono fare le aziende al riguardo?
«[Dare ai lavoratori la possibilità di contestare qualsiasi cosa] qualora ritengano davvero che ci sia qualcosa che non va, che una richiesta non sia legittima o che non abbia senso.»”Christopher Hadnagy, CEO, ingegnere sociale
«I team di sicurezza possono adottare misure immediate, quali richiamare sempre le persone utilizzando numeri di contatto affidabili, implementare processi di verifica in più fasi anziché affidarsi esclusivamente alle telefonate e richiedere frasi di accesso segrete per operazioni che comportano privilegi elevati, come la reimpostazione delle password», afferma Büyükkaya. “Dovrebbero inoltre verificare l’identità degli utenti tramite webcam o richiedere una verifica di persona per le operazioni sensibili. Anche la formazione periodica del personale dell’help desk, comprese le simulazioni di ingegneria sociale, e l’applicazione di regole chiare volte a bloccare le richieste urgenti o ad alto rischio rappresentano misure fondamentali.”
Una delle difese più efficaci consiste nel formare il personale dell’help desk su quali aspetti tenere sotto controllo, ha affermato Christopher Hadnagy, responsabile del reparto “ CEO” presso Social-Engineer, una società di consulenza e formazione in materia di sicurezza, in un recente webinar organizzato dall’ , disponibile all’indirizzo. Le vecchie regole empiriche, come quella di fidarsi delle voci che si conoscono e di diffidare di quelle sconosciute o di chi parla con un accento, non valgono più. La moderna tecnologia deepfake è in grado di generare registrazioni molto realistiche, e strumenti basati sull’intelligenza artificiale come FraudGPT possono persino far sembrare qualsiasi accento tipico del luogo, ha affermato.
Büyükkaya sostiene che parte di tale formazione dovrebbe vertere sull’istruire i dipendenti a riconoscere i segnali di allarme, quali richieste urgenti che spingono il personale a saltare le fasi di verifica, chiamanti che sembrano avere una conoscenza approfondita dei sistemi interni, richieste di reimpostazione di password o dell’autenticazione a più fattori (MFA) senza prove di supporto, chiamate provenienti da numeri sconosciuti o falsificati e richieste effettuate in orari insoliti o da luoghi insoliti.
Un altro tipo di “trucco” per l’help desk: il sospetto di assistenza
La formazione dovrebbe anche mirare all’empowerment.
I dipendenti dell’help desk devono sapere che «se hanno davvero l’impressione che qualcosa non quadri, che una chiamata non sia legittima o che non abbia senso», possono contestarla, interromperla e segnalarla senza subire conseguenze, anche se si trattasse del proprio superiore o di un membro dell CEOe, ha affermato Hadnagy durante il webinar.
Hadnagy ha citato un esempio di " 2024 " in cui un dirigente della Ferrari ha ricevuto messaggi e persino una telefonata manipolata tramite deepfake da parte di qualcuno che si spacciava per l' CEO e Benedetto Vigna. Insospettito, il dirigente chiese a chi aveva chiamato di ricordargli un libro che Vigna gli aveva consigliato di recente. Quando l’impostore non seppe rispondere, il tentativo fallì rapidamente.
«Quella singola domanda ha salvato la Ferrari da una grave violazione», ha affermato Hadnagy. «E perché?» Poiché il dirigente non temeva che, qualora avesse effettivamente messo in discussione il vero CEO, sarebbe stato rimproverato, sgridato o messo alla gogna. “Si sentì sicuro sapendo di avere l’autorità necessaria per contestare quel tizio al telefono, e questo ha impedito la violazione.”
Linee guida governative e di altri esperti rivolte alle imprese statunitensi e britanniche
Anche il Centro nazionale per la sicurezza informatica (NCSC), che fa parte del Government Communications Headquarters (GCHQ) britannico, un’organizzazione di intelligence e sicurezza, ha pubblicato una guida urgente destinata alle aziende del Regno Unito affinché rivedano e rafforzino i propri protocolli di assistenza tecnica.
Negli Stati Uniti, diversi ISAC di settore hanno pubblicato linee guida altrettanto utili. Weiss, che ha contribuito alla creazione del Cyber Intelligence Center di Citigroup, afferma che il modello di condivisione delle informazioni sulle minacce adottato dal settore finanziario potrebbe fungere da modello di riferimento per i settori del commercio al dettaglio e della sanità.
«Avevamo integrato le informazioni sulle minacce in ogni aspetto, dalla pianificazione strategica alle operazioni in tempo reale», afferma. «Questo livello di integrazione vi aiuta ad anticipare ciò che sta per accadere.»
Sebbene la biometria stia perdendo popolarità come strumento di verifica, Weiss sottolinea che la tecnologia può comunque svolgere un ruolo importante. «Esistono tecnologie di riconoscimento vocale e di verifica comportamentale in grado di segnalare anomalie in tempo reale», afferma. “Soluzioni come Clear stanno valutando l’introduzione di controlli attivi di verifica della vitalità per confermare l’identità. «Questo potrebbe essere parte della risposta.»
[Leggi anche: Un nuovo modello decentralizzato di difesa informatica sta prendendo piede nell’UE]
Ma lui e Büyükkaya concordano su quale sia la difesa più importante: la preparazione.
«Non si tratta di allenarsi una volta sola e poi passare ad altro», afferma Büyükkaya. “Eseguite le esercitazioni. Richiedere frasi di accesso segrete. E chiarisca che qualsiasi richiesta urgente costituisce un segnale di allarme, non una scusa per aggirare il protocollo.”
Nell’attuale panorama delle minacce, la vostra maggiore vulnerabilità potrebbe essere rappresentata da un dipendente ben intenzionato che cerca semplicemente di dare una mano.
«Lo ripetiamo continuamente alle aziende», afferma Weiss, «se non testate in modo proattivo il vostro help desk e non aggiornate le vostre procedure operative, siete già in ritardo».
