Tra le numerose minacce che prendono di mira le società di servizi finanziari — tra cui 2022—distributed attacchi denial-of-service (DDoS), ransomware, frodi di tipo “business email compromise” (BEC) e altro ancora — l’insicurezza della catena di approvvigionamento è in cima all’elenco dei rischi più urgenti per l’anno a venire, secondo una recente analisi sulla criminalità informatica che colpisce il settore dei servizi finanziari.
Si tratta di una conclusione fondamentale emersa dal rapporto “ : Navigating Cyber 2023”, un rapporto annuale redatto dal Financial Services Sharing and Analysis Center (FS-ISAC), un’organizzazione senza scopo di lucro dedicata alla condivisione di informazioni sulla sicurezza informatica che conta circa 5.200 istituzioni affiliate, tra cui banche, società di intermediazione, compagnie assicurative e cooperative di credito, che rappresentano un patrimonio complessivo di 100 trilioni di dollari in 75 paesi.
Le società di servizi finanziari, sebbene siano generalmente ben finanziate e in grado di implementare i migliori strumenti di sicurezza, continuano a rappresentare un bersaglio privilegiato per i criminali informatici.
Secondo l’FS-ISAC, i suoi membri hanno segnalato un aumento del 300% degli attacchi BEC ( ) nel 2022 rispetto all’anno precedente. Gli attacchi di tipo " " (DDoS) contro società finanziarie in Europa sono aumentati del 73% nello stesso periodo, rappresentando la metà di tutti gli attacchi DDoS nella regione. E sebbene i pagamenti in criptovaluta a favore degli autori di attacchi ransomware possano aver subito un calo nel 2022—likely a causa delle sanzioni contro tali pagamenti, come sottolinea il rapporto, i membri dell’FS-ISAC hanno comunque riscontrato un “flusso costante” di attacchi.
«Stiamo assistendo, anno dopo anno, a numerosi attacchi dello stesso tipo in tutto il settore, proprio come indicato nel rapporto», afferma Chris Blow, direttore della sicurezza offensiva presso Liberty Mutual Insurance.
Il rapporto illustra le minacce più rilevanti che hanno colpito le società di servizi finanziari nel 2022 e offre una panoramica di quelli che, secondo gli analisti dell’FS-ISAC, saranno i rischi più significativi per il resto del 2023. Spoiler: Grazie ai progressi tecnologici, è probabile che la maggior parte delle minacce osservate lo scorso anno si intensifichino.
I conflitti geopolitici e gli attacchi di bypass dell’autenticazione MFA assumono un ruolo centrale
Nel 2022, l’impatto più significativo sul rischio informatico nel settore dei servizi finanziari è risultato essere l’acuirsi dei conflitti geopolitici. «Le tensioni esistenti, esacerbate dall’ e invasione russa dell’Ucraina, hanno scatenato un’ondata di attività hacktivista che continua senza sosta», si legge nel rapporto. «La Cina e il suo obiettivo di riunificazione con Taiwan, nonché gli attacchi dell’Iran alle istituzioni finanziarie occidentali, motivati da ragioni ideologiche, contribuiscono a delineare il panorama delle minacce informatiche a livello geopolitico.»
“I was surprised software supply chain threats didn’t top the list for 2022. I’m not surprised to see it top the list for threats in 2023.”Chris Blow, responsabile della sicurezza offensiva presso Liberty Mutual Insurance
I team di sicurezza del settore dei servizi finanziari continueranno a monitorare le tensioni geopolitiche nel corso del prossimo anno, in particolare nelle zone calde quali Russia/Ucraina, Cina/Taiwan e Iran, prestando particolare attenzione agli hacktivisti che potrebbero agire per motivi politici. Le grandi società di servizi finanziari che intrattengono stretti legami con nazioni coinvolte in conflitti possono ritenere che saranno prese di mira.
Anche gli attacchi all’autenticazione multifattoriale (MFA) di hanno tenuto impegnate le squadre di sicurezza del settore finanziario lo scorso anno. A metà del 2022, i membri dell’FS-ISAC hanno registrato un aumento degli attacchi finalizzati al furto di credenziali e di phishing provenienti dai clienti di Office 365 . Questo tipo di attacco all’autenticazione MFA è tipicamente un attacco di tipo “adversary in the middle” (AitM), che consiste nell’interporre un sistema tra l’utente e il servizio a cui sta tentando di accedere, in modo da poter sottrarre credenziali quali i cookie di sessione.
[Leggi anche: L’autenticazione a più fattori (MFA) è all’altezza delle aspettative?]
Gli autori degli attacchi utilizzano le credenziali rubate per accedere alle risorse protette. Tali approcci AitM sono stati utilizzati contro istituzioni finanziarie negli Stati Uniti, nel Regno Unito, in Nuova Zelanda e in Australia.
Il ransomware fa notizia, ma le truffe BEC comportano costi (molto) più elevati
Gli attacchi ransomware di tipo “ ” continuano a rappresentare una minaccia formidabile, dimostrandosi un “modello di business più efficace che mai”, come sottolinea il rapporto.
Secondo gli analisti dell’FS-ISAC, i due settori maggiormente colpiti dagli attacchi ransomware nel 2022 sono stati quello manifatturiero e quello dei servizi professionali, scientifici e tecnici, mentre le società finanziarie e assicurative si sono classificate al terzo posto. Purtroppo, il terzo posto offre ben poca consolazione, dato che la maggior parte dei fornitori e dei venditori terzi del settore dei servizi finanziari proviene dal settore dei servizi professionali, scientifici e tecnici.
Ciò espone gli istituti finanziari a rischi anche quando non sono oggetto di attacchi diretti. Tra gli attacchi ransomware sferrati lo scorso anno contro fornitori terzi del settore finanziario figurano la società irlandese di software bancario CR2, l’azienda di software per la sicurezza digitale Entrust e il fornitore di soluzioni finanziarie e contabili Exela.
Mentre le bande di criminali informatici continuano a ricorrere ai fornitori di ransomware-as-a-service per diffondere i propri attacchi, anche le frodi BEC sono molto diffuse. «Il BEC è diventato una delle frodi più diffuse e costose che colpiscono le aziende di tutto il mondo», afferma il rapporto. Il BEC può assumere diverse forme, ma quelle segnalate più frequentemente all’FS-ISAC sono le richieste di dirottamento degli stipendi o le richieste di pagamento fraudolente, nell’ambito di truffe basate sull’usurpazione d’identità o di frodi da parte dei fornitori.
E questi attacchi si sommano. Secondo l’Internet Crime Complaint Center dell’FBI, l’FBI ha ricevuto segnalazioni relative a frodi BEC per un importo complessivo di 2,4 miliardi di dollari. Si tratta di una cifra notevolmente superiore ai 49,2 milioni di dollari di danni segnalati in seguito a denunce relative a attacchi ransomware.
I rischi legati alla catena di approvvigionamento del software e all’intelligenza artificiale potrebbero dominare l’anno a venire
Lo scorso anno, le minacce di tipo “ ” rivolte alla catena di fornitura del software hanno preso di mira un contesto aziendale sempre più digitalizzato, e tale digitalizzazione non mostra segni di rallentamento. Nel 2022, gli attacchi alla catena di approvvigionamento di tipo “ ” più diffusi segnalati dai membri dell’FS-ISAC sono stati il dirottamento degli aggiornamenti software, la firma fraudolenta del codice e la compromissione del codice open source.
«I nuovi strumenti, come l’intelligenza artificiale, stanno rendendo più facile per gli autori di attacchi meno esperti ottenere risultati efficaci.»Colpo
Si prevede che tali strategie siano destinate ad aumentare, vista la crescente disponibilità di malware-as-a-service e la popolarità in forte ascesa delle app di mobile banking e dell’open banking. Ampiamente diffusa nel 2018, l’open banking si basa su interfacce di programmazione delle applicazioni (API) che offrono un rapido accesso ai dati finanziari, consentendo ai consumatori di valutare facilmente i servizi bancari concorrenti. Secondo un rapporto dell’ , disponibile all’indirizzo, gli attacchi alle API lo scorso anno hanno registrato un aumento del 681%.
«Mi ha sorpreso che le minacce alla catena di approvvigionamento del software non figurassero in cima alla lista del 2022», afferma Blow. «Non mi sorprende che figuri in cima alla lista delle minacce nel 2023», aggiunge.
Gli hacktivisti, così come i criminali informatici in generale e i dilettanti animati da motivi personali, saranno tutti supportati dai progressi nella tecnologia dell’intelligenza artificiale (IA), che potrebbero rivelarsi un punto di svolta non solo quest’anno, ma anche nei decenni a venire.
Il chatbot ChatGPT , basato sull’intelligenza artificiale e in grado di generare testi, è stato lanciato solo a novembre e già è stato utilizzato per creare codice dannoso ed e-mail di phishing molto convincenti. I modelli linguistici generativi hanno inoltre dato origine a malware per il furto di dati, strumenti di crittografia e altro ancora. Minacce come questa terranno i professionisti della sicurezza in prima linea costantemente all’erta.
«Sono preoccupato per la criminalità organizzata e per gli hacker alle prime armi», afferma Blow. «I nuovi strumenti, come l’intelligenza artificiale, stanno rendendo più facile per gli autori di attacchi meno esperti ottenere risultati efficaci.»
Nonostante si preveda un'ondata di attacchi basati sull'intelligenza artificiale, gli analisti dell'FS-ISAC rimangono ottimisti riguardo all'efficacia delle difese basate sull'intelligenza artificiale. Prevedono inoltre un aumento degli investimenti in approcci automatizzati per la gestione delle vulnerabilità e delle patch . Ciononostante, ripongono la massima fiducia negli uomini e nelle donne che prestano servizio nei team di sicurezza dei servizi finanziari.
«L’automazione», conclude il rapporto, «non sostituirà il giudizio e la competenza di professionisti qualificati nel prossimo futuro».
