Una recente rapina nel mondo delle criptovalute – una delle più redditizie della storia – riflette una nuova e inquietante tendenza nel campo della criminalità informatica: la manomissione dei dati.
Lo scorso febbraio, i dipendenti di Bybit, una delle più grandi piattaforme di scambio di criptovalute al mondo , hanno notato qualcosa di strano: oltre 400.000 token Ethereum, per un valore di circa 1,5 miliardi di dollari, erano scomparsi senza lasciare traccia. Non sono state rinvenute note del ransomware “ ”, né segni di attacchi di forza bruta, né sono stati attivati allarmi evidenti.
L'indizio rivelatore era nascosto nel codice di un servizio di terze parti che l'azienda utilizzava per le transazioni con firma multipla. Una riga era stata modificata: l’indirizzo del portafoglio di destinazione.
Si ritiene che quella sottile modifica abbia consentito di dirottare quasi 300 milioni di dollari verso conti collegati al Lazarus Group , un gruppo di hacker nordcoreano facente parte dell’. (Sebbene l’infrastruttura compromessa abbia messo a rischio circa 1,5 miliardi di dollari in criptovalute, solo una parte di tale importo è stata effettivamente incassata ).
Non si è trattato semplicemente di una rapina con effrazione. Si è trattato di un sabotaggio mirato, un chiaro esempio di manomissione dei dati e di come questa possa minare silenziosamente anche i sistemi digitali più sicuri. E non si tratta di un problema che riguarda solo le piattaforme di scambio di criptovalute. La manomissione dei dati può causare danni a qualsiasi azienda, in qualsiasi settore, in modi inimmaginabili. Le banche, che stanno sperimentando con cautela la criptovaluta e i servizi basati sulla blockchain, sono particolarmente vulnerabili a questi attacchi. E, come sottolineano gli esperti, i responsabili della sicurezza informatica (CISO) di farebbero bene a non sottovalutare la minaccia.
«I CISO dovrebbero prestare particolare attenzione alla manomissione dei dati, poiché tali minacce comportano spesso conseguenze visibili e immediate, quali perdite finanziarie o danni alla reputazione», ha avvertito Kevin Curran, docente di sicurezza informatica presso l’Università dell’Ulster, nell’Irlanda del Nord.
Che cos’è la manomissione dei dati?
Ciò che rende la manomissione dei dati così problematica è il modo in cui può essere messa in atto in modo discreto e capillare.
«Modificando sottilmente i dati anziché rubarli o distruggerli, gli autori degli attacchi possono manipolare le decisioni, seminare sfiducia o mascherare la propria presenza, il tutto senza destare sospetti.”Kevin Curran, docente di sicurezza informatica presso l’Università dell’Ulster
Per definizione, si tratta della modifica intenzionale e non autorizzata di dati volta a indurre in errore i sistemi, gli operatori o le decisioni a valle. L’obiettivo non è necessariamente quello di rubare o danneggiare qualcosa, come avviene nella maggior parte degli attacchi informatici; si tratta invece spesso di manipolare di nascosto dati quali registri, letture dei sensori o informazioni sulle transazioni a fini finanziari, di spionaggio o di sabotaggio.
[Legga anche: Che cos’è il rilevamento e la risposta alle minacce? [Una guida pratica]
«La manomissione dei dati è un metodo potente e spesso sottovalutato nell’arsenale degli hacker, poiché mira all’integrità delle informazioni piuttosto che alla loro disponibilità o riservatezza», ha affermato Curran. «Modificando sottilmente i dati anziché rubarli o distruggerli, gli autori degli attacchi possono manipolare le decisioni, seminare sfiducia o mascherare la propria presenza, il tutto senza destare sospetti.»
La manomissione dei dati è e non avvelenamento dei dati – sebbene entrambe minino la fiducia
Sebbene talvolta venga confuso con il “data poisoning” ( ), che consiste nell’inserire dati dannosi o corrotti in un modello durante la sua creazione o il suo addestramento, il “tampering” (manomissione) riguarda invece le informazioni già esistenti. Modifica i dati su cui si basano i sistemi e le soluzioni, compresi gli agenti di intelligenza artificiale, per prendere decisioni e agire. Entrambe le tipologie di attacchi finiscono per minare la fiducia nell’integrità dei dati. Quando le organizzazioni non possono più essere certe che i propri dati rispecchino la realtà, ogni decisione, azione o verifica basata su tali dati diventa sospetta.
A 2024 Protiviti and the Institute of Internal Auditors survey ranked data governance and integrity among the top technology risks, reinforcing the growing recognition that tampering directly threatens the trustworthiness of systems. E man mano che le organizzazioni si orientano verso processi decisionali sempre più automatizzati , le conseguenze derivanti dall’agire sulla base di dati manomessi si moltiplicano.
Gartner prevede che entro il 2028, il 33% delle applicazioni software aziendali includerà un’intelligenza artificiale agentica, rispetto all’1% del 2024, e che il 80% delle comuni problematiche relative al servizio clienti potrebbe essere gestito da agenti anziché da esseri umani entro il 2029. Ma cosa accadrebbe se gli hacker manipolassero i dati operativi utilizzati dagli agenti per prendere decisioni?
E allora?
Secondo Jennifer Glenn, direttrice della ricerca per la sicurezza dei dati e delle informazioni presso IDC, società globale specializzata in analisi di mercato nel settore IT, le aziende che utilizzano agenti di intelligenza artificiale a contatto con i clienti dovrebbero prestare particolare attenzione ai dati corrotti che incidono sull’esperienza del marchio. Se un sabotatore, un hacktivista, una spia aziendale o uno Stato modificasse i dati in modo tale da indurre gli agenti a fornire un servizio inadeguato ai clienti, ciò potrebbe avere ripercussioni a lungo termine e di e per l’azienda, ha affermato.
«Da quando la GenAI ha fatto il suo ingresso sulla scena ed è diventata di uso comune, il settore della sicurezza delle informazioni e dei dati è letteralmente impazzito», ha affermato Glenn. «Ora è necessaria una protezione davvero elevata per quei dati relativi all’intelligenza artificiale. «Basta un solo contrattempo per far perdere a un’azienda ingenti somme di denaro e comprometterne la reputazione».
Ma la GenAI non è vulnerabile solo ai dati manomessi. Può inoltre fungere da potente strumento di manomissione dei dati. È proprio questo che preoccupa Curran.
«L’ascesa dell’intelligenza artificiale generativa accentua notevolmente l’importanza di affrontare la manomissione dei dati come vettore di minaccia per la sicurezza informatica, poiché introduce nuovi metodi, una portata e una complessità tali da consentire agli attori malintenzionati di manipolare i dati», ha affermato Curran. «Queste manipolazioni sono più difficili da Detect rispetto ai metodi di manomissione tradizionali, poiché i falsi generati dall’intelligenza artificiale possono eludere i controlli di integrità di base o il vaglio umano.»
Ad esempio, un bilancio modificato dall’intelligenza artificiale potrebbe fuorviare i revisori dei conti, oppure un video deepfake di potrebbe far passare un CEO per autorizzare transazioni fraudolente, ha aggiunto.
La sottile distinzione relativa alla manomissione dei dati
La manomissione può assumere diverse forme: potrebbe disattivare completamente il modello di IA oppure indurlo a produrre risultati imprecisi, distorti o offensivi, che minano la fiducia dei clienti. In alcuni casi, gli autori degli attacchi potrebbero utilizzarla come diversivo per sviare i team di sicurezza, proprio come in un film di rapine in cui un gruppo inscena una crisi mentre un altro colpisce il vero obiettivo.
«Da quando la GenAI ha fatto il suo ingresso sulla scena ed è diventata di uso comune, il settore della sicurezza delle informazioni e dei dati è letteralmente impazzito.”Jennifer Glenn, direttrice della ricerca in materia di sicurezza dei dati e delle informazioni presso IDC
«Gli aggressori potrebbero fare qualcosa da questa parte per impedirvi di vedere ciò che sta accadendo dall’altra parte», ha affermato Glenn. «Forse stanno manipolando i Suoi dati per generare risposte davvero negative che potrebbero metterLa nei guai.» Ma mentre voi vi occupate di risolvere il problema, loro stanno sottraendo dati a cui non dovrebbero avere accesso da un’altra sede. «Insomma, potrebbe essere una sorta di cover.»
Gli hacker potrebbero inoltre ricorrere alla manomissione dei dati per interferire con il codice durante la sua fase di sviluppo. Ad esempio, qualcuno potrebbe modificare leggermente i dati per rallentare i cicli di sviluppo, introdurre backdoor nel software o addirittura mettere da parte un progetto. Considerando che molti team IT sono a corto di personale, potrebbe risultare difficile affrontare tali problemi, ha affermato Glenn.
Finora, questo tipo di incidenti sembra verificarsi raramente. Tuttavia, si sono verificati casi di manomissione dei dati nell’ambito di attacchi di tipo “ ” () ai danni di infrastrutture critiche. Ad esempio, nell’articolo “ novembre 2023”, un impianto di trattamento delle acque nei pressi di Pittsburgh ha scoperto che il proprio controllore logico programmabile (PLC) era stato compromesso. Anziché le normali indicazioni, gli operatori hanno visto un messaggio anti-israeliano scarabocchiato sul touchscreen. L'incidente non ha causato l'arresto dell'impianto. Ciononostante, ciò ha costretto l’azienda a ricorrere ai comandi manuali e ha sollevato preoccupazioni riguardo alla facilità con cui gli aggressori potrebbero manipolare ciò che gli operatori vedono (una forma visiva di manomissione dei dati).
Qualche settimana dopo, a Muleshoe, in Texas, alcuni hacker filo-russi hanno attivato da remoto le pompe dell’acqua e manomesso gli allarmi, provocando il traboccamento di un serbatoio. I dati visualizzati sullo schermo indicavano un funzionamento normale, nonostante il serbatoio si stesse traboccando. Non si è trattato di un attacco di forza bruta. Si è trattato di un sottile sabotaggio attuato attraverso la manipolazione del controllo.
Altre campagne sono andate ancora oltre. Secondo quanto riferito, gruppi legati alla Cina, quali BlackTech e UNC3886 , avrebbero manomesso il firmware e i log dei router – che controllano il funzionamento dei dispositivi e registrano l’attività di rete – al fine di mantenere un accesso a lungo termine e non rilevabile alle reti di organizzazioni operanti nei settori della difesa, della pubblica amministrazione, delle telecomunicazioni, dell’alta tecnologia e dei media. In alcuni casi, hanno disattivato del tutto la registrazione dei log, impedendo così ai responsabili della sicurezza della rete di rilevare la loro presenza.
Glenn osserva che gli Stati-nazione spesso favoriscono la manomissione dei dati poiché, una volta scoperta, tale manomissione può apparire come una semplice configurazione errata del sistema o un errore di programmazione, piuttosto che come l’opera di un intruso straniero.
Inoltre, i sistemi di difesa tradizionali non sono progettati per individuare violazioni dell’integrità di natura sottile. Inoltre, molte organizzazioni non dispongono degli strumenti necessari per distinguere tra una modifica di configurazione legittima e una dolosa, effettuata per cancellare le tracce o compromettere i sistemi.
5 strategie per contrastare la manomissione dei dati
Per impedire la manomissione dei dati è necessario passare da una difesa perimetrale a una garanzia di integrità approfondita. Ecco cinque strategie approvate dagli esperti:
1. Prestino attenzione alle anomalie
Sappiate qual è il valore “normale” per i dati e le configurazioni chiave. Deploy endpoint strumenti per il monitoraggio dei dati sensibili, endpoint la visibilità e il controllo, in tempo reale il rilevamento delle minacce, il monitoraggio dell’integrità e la prevenzione della perdita di dati (DLP).
2. Rimanete vigili
Tracciare la provenienza dei dati e il loro percorso all’interno di un sistema rende più facile individuare i segni di manomissione e attribuire le responsabilità ai soggetti competenti.
3. Utilizzare controlli di integrità crittografici
Protegga i log e i file di configurazione critici utilizzando metodi che ne verifichino l'autenticità. Tali controlli garantiscono che eventuali modifiche non autorizzate vengano individuate immediatamente, contribuendo a impedire manipolazioni occulte e a preservare la fiducia nei dati di sistema.
4. Centralizzare i registri su un supporto di archiviazione a prova di manomissione
Inviate i log a sistemi sicuri e di sola scrittura (come i sistemi WORM [Write-Once-Read-Many] o i supporti di archiviazione WORM [ ]), in cui gli autori degli attacchi non possano cancellare silenziosamente le proprie tracce qualora compromettessero un sistema.
5. Adottare i principi della “sicurezza fin dalla progettazione”
Il concetto di “Secure by design” implica l’integrazione delle considerazioni relative alla sicurezza in ogni fase dello sviluppo del sistema, sin dalle fasi iniziali. Secondo Curran, le organizzazioni possono prevenire la manomissione dei dati anticipando le minacce attraverso la modellizzazione, preparando piani di risposta agli incidenti che includano le violazioni dell’integrità dei dati e proteggendo la propria catena di fornitura verificando i componenti di terze parti e applicando pratiche di sviluppo sicure.
Il rischio maggiore
L’integrità dei dati è sempre stata una priorità sia a livello aziendale che informatico; tuttavia, secondo una ricerca di Precisely intitolata “ ” (), il 67% dei responsabili delle decisioni basate sui dati non nutre piena fiducia nei propri dati. Poiché sempre più aziende stanno valutando l’adozione di agenti basati sull’intelligenza artificiale il cui funzionamento dipende da dati affidabili, i CISO devono ripensare le proprie strategie relative ai dati, ha affermato Curran.
«Gli episodi di manomissione dei dati sono destinati ad aumentare», ha affermato. «Ignorare questa minaccia comporta il rischio di interruzioni operative, sanzioni normative e una perdita di fiducia.»
