Quando Uber è stata vittima di un attacco informatico nel mese di settembre, non era certamente la prima volta che i sistemi della società di ride-sharing subivano una violazione, né la più grave in termini di perdita di dati. Ma forse è stata la più umiliante.
Tra le altre cose, l’autore dell’attacco ha ottenuto pieno accesso amministrativo a diverse piattaforme cloud di Uber ed è riuscito ad accedere ai dati finanziari dell’azienda. A differenza della maggior parte degli hacker moderni, tuttavia, egli non si è limitato a rubare dati o a trattenerli per ottenere un riscatto. Ha effettuato l'accesso all' Slack e interna di Uber e se ne è vantato. Ha poi pubblicato sul canale dei link a immagini pornografiche, oltre a chiedere che l’azienda retribuissero meglio i propri autisti.
Successivamente, a riprova dell’attacco, l’autore dell’attacco ha condiviso con i ricercatori di sicurezza alcuni screenshot dei pannelli di controllo degli amministratori di sistema a cui aveva avuto accesso utilizzando le credenziali sottratte a un ingegnere senior di Uber, pubblicandoli su un canale Slack dedicato agli hacker “white hat” che operano a sostegno delle aziende.
"Ehi, ha violato Uber?" ha affermato un importante aggregatore di malware rivolgendosi all’hacker, in una presunta conversazione condivisa in un thread su Twitter .
Quando il presunto autore dell’attacco è stato arrestato dalle autorità del Regno Unito, si è scoperto che si trattava di un diciassettenne, sospettato anche di aver ottenuto il codice sorgente del videogioco di prossima uscita Grand Theft Auto 6. Si ritiene che l’adolescente dell’Oxfordshire sia un membro del famigerato gruppo di ricattatori Lapsus$, i cui membri hanno un’età compresa tra i 16 e i 21 anni e che annovera tra le proprie vittime Microsoft, Nvidia e Okta . Il Cyber Safety Review Board, un organismo pubblico-privato del Dipartimento della Sicurezza Interna degli Stati Uniti, , ha annunciato all’inizio di questo mese che intende formulare raccomandazioni concrete, come già fatto in occasione del primo rapporto “ ” nel 2022 in relazione agli attacchi Log4j, su come le organizzazioni possano proteggersi dalle strategie subdole degli attacchi informatici in stile Lapsus$.
Per i CISO oberati di lavoro e con risorse insufficienti, gli attacchi informatici perpetrati da persone che hanno a malapena l’età per guidare rappresentano un’ulteriore minaccia di cui preoccuparsi: una nuova generazione di malintenzionati che agiscono tanto per mettersi in mostra davanti agli amici (come avveniva un tempo con il gruppo di hacker Lulz) quanto per trarne profitto, e i cui obiettivi e vettori di attacco potrebbero risultare più difficili da prevedere.
Cani nuovi, vecchi trucchi
Se tutto ciò vi suona stranamente familiare, c’è una buona ragione.
Molto prima che la criminalità informatica diventasse un settore da svariati trilioni di dollari , l’hacking era un’attività che gli adolescenti praticavano per divertimento: per mettere alla prova le proprie competenze informatiche, dimostrare la propria credibilità da “geek” o fare scherzi agli amici.
«Gli adolescenti hanno sempre avuto la tendenza a curiosare in cose che non dovrebbero. Inoltre, tendono a provare sia una curiosità travolgente sia un senso di invincibilità.”Chris Prewitt, Direttore tecnico (CTO) e Responsabile della sicurezza informatica (CISO), Inversion6
Nel 1982 , il primo malware diffuso in rete si chiamava Elk Cloner. Il virus fu creato quell’anno da un quindicenne di nome Rich Skrenta, il quale diffuse il codice tramite floppy disk. Visualizzava una poesia sugli schermi dei computer Apple II ed era del tutto innocuo.
Ci sarebbero voluti quasi due decenni prima che gli hacker creassero malware finalizzato al furto intenzionale di dati, e altri sei anni prima che sviluppassero il primo software di tipo “ ” (ransomware) .
Ora sembra che si sia chiuso il cerchio, osserva Chris Prewitt, CTO/CISO di Inversion6, un fornitore di servizi di gestione dei rischi legati alla sicurezza informatica. Come molti CISO, Prewitt è cresciuto dedicandosi all’hacking, utilizzando i cosiddetti “war dialer” per scansionare ogni numero di telefono locale al fine di individuare i modem da attaccare.
«Gli adolescenti hanno sempre avuto la tendenza a curiosare in cose che non dovrebbero», afferma Prewitt. "E tendono a provare sia una curiosità travolgente sia un senso di invincibilità."
Qual è la differenza fondamentale tra allora e oggi? I social media, in particolare YouTube e TikTok. In passato, gli hacker potevano diventare famosi tra i propri pari su una bacheca elettronica o in un gruppo di chat su Internet (IRC) dedicato all’hacking, osserva Prewitt. Ora il pubblico è il mondo intero.
Una ricerca con le parole chiave “uber hacker” su TikTok restituisce oltre 5.000 video che, complessivamente, hanno totalizzato milioni di visualizzazioni. (I video online costituiscono inoltre una ricca fonte di tutorial per gli aspiranti hacker, afferma Prewitt.)
"Ciò che fa la differenza è il livello di visibilità che una persona può ottenere grazie a uno di questi 'attacchi dimostrativi'", aggiunge David Maynor, direttore senior del reparto di intelligence sulle minacce presso Cybrary, una piattaforma di formazione sulla sicurezza. "Dieci o 20 anni fa, forse solo alcune comunità di nicchia ne avrebbero preso atto, ma oggi fa parte del ciclo informativo 24 ore su 24 con una portata mondiale." "Per gli hacker alla ricerca di una conferma delle proprie capacità, non esiste palcoscenico più importante di quello."
Per amore o per denaro?
L’idea che i giovani siano tornati a dedicarsi all’hacking semplicemente per divertimento o per farsi notare è quasi rassicurante, afferma Sam Curry, un ricercatore indipendente di sicurezza di 23 anni che ha iniziato la propria carriera individuando errori nel software come “cacciatore di bug” quando frequentava ancora la scuola superiore.
Curry ha comunicato con l'hacker di Uber, noto come "TeaPot", tramite l' App a di messaggistica Telegram e ha confermato i dettagli dell'attacco.
“Ehi, ha violato Uber?””Un importante aggregatore di malware
«Occuparsi di questioni di sicurezza è un modo davvero semplice per sentirsi importanti e alimentare il proprio ego», afferma Curry. "Se questa persona fa parte di Lapsus$, allora ha già accesso a milioni di dollari. "Potrebbe davvero essere stanco di fare soldi e voler semplicemente divertirsi."
TeaPot ha utilizzato le credenziali di accesso sottratte a un collaboratore di Uber, per poi sfruttare le vulnerabilità del processo di autenticazione a più fattori dell’azienda, inviando ripetutamente richieste al collaboratore affinché approvasse l’accesso, finché questi non ha ceduto. Da lì, è riuscito a spostarsi lateralmente all’interno della rete, accedendo a diversi sistemi lungo il percorso.
“La stanchezza da MFA è un problema reale”, afferma John Gunn, direttore del reparto di ricerca e sviluppo ( CEO ) di Token, azienda che sta sviluppando un anello in grado di autenticare gli utenti sulla base delle loro impronte digitali. Un buon modo per contrastare i tentativi di hackerare i sistemi di Single Sign-On che consentono agli utenti di accedere a più piattaforme è quello di utilizzare metodi di autenticazione che non possano essere attaccati da remoto, come ad esempio la biometria, afferma Gunn.
Mettersi in difesa contro gli hacker della Generazione Z
Una delle differenze tra gli hacker più giovani e quelli più anziani è che i giovani talenti tendono ad avere molto più tempo a disposizione, aggiunge Gunn. Potrebbero essere disposti a dedicare da quattro a sei mesi a sperimentare diverse tecniche per trovare un modo di entrare. Per il resto, non stanno facendo nulla di particolarmente originale.
«Il modo migliore per affrontare gli hacker è metterli al lavoro.”David Maynor, direttore senior del reparto di intelligence sulle minacce, Cybrary
La soluzione per proteggersi dagli hacker adolescenti è la stessa utilizzata per difendersi dai criminali informatici professionisti e dagli attori statali: una buona igiene informatica.
I CISO non possono proteggere tutto allo stesso modo, pertanto devono stabilire le priorità in base al rischio, individuare quali dati e sistemi siano più critici per le operazioni aziendali e concentrare le proprie risorse su di essi, aggiunge Prewitt.
"Dal punto di vista del rischio, in quale settore opera la Sua azienda?" dice. "Quali tipi di avversari vorranno attaccarvi? "In base alla mia esperienza, il problema non è che i CISO non gestiscano bene le tecnologie di sicurezza, bensì che non comprendano a sufficienza l’azienda per sapere come proteggerla."
L’adozione di un framework di sicurezza informatica “zero trust” può inoltre rendere più difficile agli aggressori muoversi lateralmente una volta ottenuto l’accesso, afferma Prewitt. Ciò può ridurre la superficie di attacco e limitare notevolmente i danni.
Un altro modo per gestire i giovani attaccanti? “Assumeteli”, afferma Maynor di Cybrary.
"Sono sinceramente convinto che il modo migliore per affrontare gli hacker sia metterli al lavoro", afferma. "I CISO dovrebbero sapere che, se l’hacker non ha commesso reati gravi, potrebbe rivelarsi uno stagista o un dipendente alle prime armi perfetto."
