È stato definito il peggior hack di internet della storia.
Il 9 dicembre, una vulnerabilità critica in uno strumento di registrazione del software online ampiamente utilizzato è emersa dopo che gli hacker lo hanno utilizzato per ottenere l'accesso ai server che ospitano Minecraft, la popolare piattaforma di gioco. Il difetto, noto come Log4Shell (CVE-2021-44228), è una minaccia globale perché consente agli hacker di accedere a sistemi e server di computer senza password.
Nei giorni da quando è emerso, i team di sicurezza informatica si sono affrettati a correggerlo mentre i criminali informatici hanno corso per sviluppare e distribuire strumenti per sfruttarlo. A meno che non sia risolto, i criminali, le spie e gli stati-nazione possono utilizzare il difetto per accedere alle reti aziendali e governative, piantare malware e rubare dati preziosi.
La vulnerabilità esiste in una libreria di registrazione Java open source che, come afferma Jim Kelly, vicepresidente della sicurezza degli endpoint di Tanium , “è incorporata in molte applicazioni aziendali, software open source e potenzialmente come dipendenza in molti altri servizi”. Kelly, un professionista dell’architettura di sicurezza, aggiunge: “La prevalenza delle variabili di configurazione e di installazione rende questa vulnerabilità estremamente difficile da identificare e target per la correzione”.
Con solo pochi giorni rimasti nel 2021, è difficile per i professionisti della sicurezza informatica anche esperti avvolgere le loro teste intorno alla grandezza di questo hack, così come al numero di attacchi che i criminali informatici e gli stati nazionali hanno effettuato quest’anno.
[Leggi anche: Cos'è Log4J e come proteggo la mia organizzazione?]
L’elenco delle principali aziende attaccate è la scorciatoia dell’epidemia informatica di oggi: Kaseya. Pipeline coloniale. Confezionamento JBS .Twitch. E, naturalmente , SolarWinds. (Tecnicamente un hack di 2020 , SolarWinds è stato scoperto esattamente un anno fa, ha assorbito gran parte di 2021’s pensieri sulla sicurezza informatica e ha ispirato un ordine esecutivo presidenziale.)
La gamma di obiettivi colpiti dagli attacchi informatici era così diffusa (tra cui un impacchettatore di carne, un fornitore di energia, un birraio e diverse agenzie federali) che sarebbe difficile dire che chiunque fosse al sicuro. “Letteralmente tutti i settori e le industrie sono stati colpiti”, afferma Brenda R. Sharton, partner e co-presidente della pratica globale di privacy e sicurezza informatica di Dechert LLP e un esperto riconosciuto a livello nazionale nell’area. “2021 è stato un evento di pari opportunità. Gli attacchi informatici sono aumentati esponenzialmente su tutta la linea sia in frequenza, livello di sofisticazione e certamente richieste di riscatto.
Settori più mirati
Il numero esatto di attacchi ransomware è difficile da individuare. Ma i settori più spesso presi di mira erano quelli con i dati più sensibili (banche e altri servizi finanziari) e quelli che hanno lottato per mantenere la sicurezza informatica (assistenza sanitaria e istruzione).
2021 è stato un evento di pari opportunità. Gli attacchi informatici sono aumentati in modo esponenziale su tutta la linea”.Barbara R. Sharton, partner e co-presidente, Dechert LLP
Ad esempio, a marzo, i criminali hanno attaccato CNA Financial, il settimo più grande assicuratore commerciale negli Stati Uniti, crittografando circa 15.000 dispositivi, inclusi i computer utilizzati dalla sua forza lavoro remota. Secondo quanto riferito, l'assicuratore ha pagato più di $ 40 milioni in riscatto. Due mesi dopo, gli hacker hanno colpito la divisione di assistenza Asia dell’assicuratore francese Axa, probabilmente utilizzando il ransomware Avaddon.
A maggio, gli hacker hanno lanciato un attacco ransomware contro l’Irish Department of Health e il suo Health Service Executive. Oltre a rilasciare dati sensibili sui pazienti online, il software degli aggressori ha costretto la cancellazione dei servizi ospedalieri e un ritardo nell’emissione dei certificati di nascita e morte e l’elaborazione dei test Covid-19.Il Centro medico universitario del Nevada meridionale è stato colpito da un attacco in estate che ha colpito i dati personali di 1,3 milioni di persone. Alcuni dei dati rubati sono stati avvistati sul sito darknet del gruppo ransomware REvil.
[Leggi anche: Ransomware 101—what è questo e come posso prevenire un attacco]
Paul Bischoff, redattore e difensore della privacy presso Comparitech, società di sicurezza dei consumatori, osserva che “il settore sanitario è particolarmente vulnerabile agli attacchi ransomware”. Questo perché le strutture sanitarie hanno molti punti di debolezza informatica, tra cui il personale sovraccaricato che non è formato da professionisti IT e che deve utilizzare computer connessi a Internet non protetti e reti Wi-Fi. Inoltre, tali strutture, fondamentali per l’assistenza sanitaria delle loro comunità, sono state sottoposte a pressioni per operare senza intoppi durante la pandemia. Ciò “li rende più propensi a pagare le richieste di ransomware, e quindi sono obiettivi più redditizi per gli hacker”, afferma Bischoff.
Denaro facile e anonimo
Mentre nessuno ha ancora calcolato 2021’s costi complessivi per la rettifica di un attacco ransomware all'assistenza sanitaria, Bischoff e altri dicono che probabilmente supererà l'anno scorso. Nel 2020, il costo medio degli attacchi informatici – per tempi di inattività, riscatti pagati, riparazioni e sostituzione di dispositivi e reti – nel settore sanitario degli Stati Uniti è stato di $ 1,27 milioni, secondo i dati del Dipartimento di Salute e Servizi Umani. In confronto, la media nel settore dei servizi finanziari è stata di $ 2,1 milioni. Nel frattempo, il settore dell'istruzione ha riportato la bolletta media più alta, a $ 2,73 milioni.
“Il settore sanitario è particolarmente vulnerabile agli attacchi ransomware”.Paul Bischoff, difensore della privacy, Comparitech
Quest’anno, il disegno di legge dovrebbe essere molto più alto. “Abbiamo visto le richieste di riscatto passare da 2020 a 2021 milioni di dollari”, dice Sharton.
Gli esperti del settore temono che il crescente uso di criptovaluta, che non è rintracciabile, per pagare le richieste di ransomware possa incoraggiare gli attacchi. Poiché le normative sulle criptovalute variano in tutto il mondo, Jon Brandt, direttore delle pratiche professionali e dell'innovazione presso l'associazione IT ISACA, ritiene che l'ambiguità globale della valuta probabilmente incoraggi i criminali informatici. Tuttavia, ciò non significa che la criptovaluta sia essa stessa responsabile degli attacchi. “Sarebbe come dire che le rapine in banca sono aumentate perché le automobili sono state inventate e hanno creato una fuga più facile”, dice Brandt.
L’ascesa degli attacchi alla supply chain
Il Covid ha esposto uno degli aspetti più vulnerabili di qualsiasi organizzazione: il suo utilizzo di fornitori esterni privi di una sicurezza sofisticata. Gli attacchi alla catena di approvvigionamento potrebbero essere aumentati di ben quattro volte quest’anno, secondo l’Agenzia dell’Unione europea per la sicurezza informatica. In due terzi di tali attacchi, osserva l’ENISA, gli hacker hanno prima preso di mira la base di codice di un fornitore per avanzare sul loro obiettivo principale.
“Le catene di approvvigionamento sono complesse, con beni e servizi provenienti da tutto il mondo, tutti vulnerabili a diversi livelli”, afferma Brandt. “La pandemia ha spinto molti verso i servizi cloud, il che aumenta esponenzialmente il rischio”.
Un esempio chiave di una violazione della catena di approvvigionamento si è verificato all’inizio di luglio quando Kaseya Ltd., un fornitore di software di gestione IT e antivirus, è stato compromesso dagli hacker dell’Europa orientale utilizzando ransomware realizzati dal gruppo REvil. Kaseya vende i suoi prodotti a fornitori di servizi terzi, che gestiscono l'IT per altre aziende, spesso piccole e medie imprese. Prendendo di mira il software di Kaseya, i cybercriminali hanno ottenuto l’accesso a una serie di reti diverse, interessando ben 1.500 aziende. Gli hacker hanno chiesto 70 milioni di dollari in riscatto.
[Leggi anche: I pagamenti per i ransomware dovrebbero essere illegali?]
I fornitori e i venditori sono sempre più presi di mira, dice Sharton, perché possono "fornire una porta sul retro nell'ambiente di un'organizzazione che potrebbe non essere così facilmente evidente al team di sicurezza delle informazioni".
Il phishing diventa più phishier
Con l’aumento della migrazione al lavoro da remoto durante la pandemia, sono seguiti attacchi di phishing via e-mail intelligenti, così come gli hack sui dispositivi di rete non protetti.
“Troppi attacchi informatici si verificano o si intensificano perché le organizzazioni non stanno facendo le cose facili, se non del tutto.”Jon Brandt, direttore delle pratiche professionali e dell'innovazione, ISACA
“Cose come il Wi-Fi domestico, il non conoscere nuovi colleghi, le vulnerabilità nei lavoratori che entrano nei sistemi da luoghi diversi e la pura paura e incertezza su tutte le cose che il Covid ha creato la tempesta perfetta per gli hacker per cercare di capitalizzare”, afferma Sharton. “Ho gestito circa 1.000 indagini sulla violazione dei dati dalla fine del 1990s. Ogni anno vedo un aumento della sofisticazione degli attacchi di phishing”.
In effetti, gli attacchi di phishing segnalati sono raddoppiati in 2020 con la pandemia, secondo il gruppo di lavoro anti-phishing del consorzio internazionale, e sono continuati forti in 2021. Nel giugno di quest’anno, l’APWG ha visto 222.127 attacchi.
Un attacco comune è stato il compromesso e-mail aziendale, in cui il truffatore impersona un collega dipendente dell'azienda o altra parte fidata e cerca di ingannare un lavoratore nell'invio di denaro o informazioni finanziarie, di solito inviando l'e-mail della vittima da account falsi o violati. Con così tanti dati personali condivisi sui social media, è abbastanza facile per i truffatori approfondire gli interessi e i gusti del loro target e creare campagne di phishing che siano spaventosamente accurate per le vulnerabilità di un utente.
Anche i truffatori di phishing quest'anno sono diventati più avidi. La richiesta media di bonifico in un attacco BEC è aumentata a $ 106.000, da $ 48.000 un anno prima, ha riferito APWG.
Il proiettile d’argento della sicurezza: l’igiene informatica di base
La migliore difesa di un’organizzazione contro l’hacking è l’ igiene informatica di base. Ciò inizia con la scoperta e l'inventario di tutto l'hardware e il software sulla rete. Il principio da applicare è zero trust, in cui ogni dispositivo che tenta di accedere alla rete viene trattato come una potenziale minaccia. L'autenticazione multifattore, la crittografia dei dati e i backup che vengono regolarmente testati sono fondamentali, così come le autorizzazioni concesse utilizzando le linee guida di minor privilegio e necessità di sapere.
“Molte organizzazioni sono davvero cattive nel limitare l’accesso a sistemi e dati. Troppi dipendenti hanno più accesso di quello di cui hanno bisogno per svolgere il proprio lavoro”, afferma Brandt. In poche parole, aggiunge, “troppi attacchi informatici si verificano o si intensificano perché le organizzazioni non stanno facendo le cose facili, se non del tutto”.
[Leggi anche: 6 consigli per proteggere la tua organizzazione dall'aumento del crimine informatico]
Sharton dice che una sorpresa di quest’anno è stata “vedere le richieste di riscatto che vanno nelle decine di milioni di dollari”, rispetto agli attacchi di molti anni fa che sono iniziati con migliaia di dollari.
La buona notizia, dice, è che “gli attori della minaccia sono finalmente diventati troppo avidi, e ora stiamo assistendo a tentativi di una risposta coordinata a livello governativo, mentre prima erano in grado di rimanere sotto il radar”.
