I dettagli tecnici di quello che potrebbe rivelarsi il più grande attacco informatico ai danni delle criptovalute mai verificatosi finora dovrebbero far suonare un campanello d’allarme per le aziende che stanno valutando di affacciarsi al mondo digitale emergente noto come metaverso.
Alla fine di marzo, alcuni hacker nordcoreani avrebbero sfruttato una vulnerabilità in un metodo utilizzato per convalidare le transazioni nel metaverso, al fine di sottrarre oltre 615 milioni di dollari in criptovaluta ether e nella stablecoin USDC del gioco “play-to-earn” Axie Infinity. The game is built on a blockchain, a Web3 technology powering the metaverse that relies on a decentralized digital ledger to record transactions widely across the internet.
Considerato il crollo dei prezzi delle criptovalute e la difficoltà degli hacker di ricettare le monete sottratte, il furto potrebbe non rivelarsi così redditizio come sembrava inizialmente. Tuttavia, il fatto che gli hacker abbiano preso di mira un’azienda operante nel metaverso in una fase così precoce dello sviluppo dell’ecosistema fa supporre che siano in arrivo reati informatici più gravi. E ciò dovrebbe destare preoccupazione in qualsiasi dirigente che speri di effettuare transazioni o tenere riunioni in tutta sicurezza utilizzando il metaverso.
«Probabilmente questo è solo l’inizio di una lunga serie di attacchi al metaverso che avranno successo», afferma Caroline Wong, responsabile della strategia di Cobalt, un fornitore di servizi di test di penetrazione. «Man mano che il metaverso acquista popolarità e diffusione, aumentano anche i potenziali guadagni per gli hacker malintenzionati
.»
Aumento degli investimenti nel metaverso
Sebbene le definizioni possano variare, il metaverso viene generalmente considerato come uno spazio virtuale condiviso che fonde il mondo fisico e quello digitale. Spesso si avvale della realtà virtuale (VR), della realtà aumentata (AR), di telecamere, sensori e altre tecnologie per consentire esperienze immersive 3D condivise con altre persone. Una volta entrati in questo mondo digitale, le persone assumono la forma di avatar che si riuniscono per giocare, socializzare e svolgere attività commerciali.
Tale descrizione potrebbe sembrare tratta da * * , *The Matrix*o **. Ma è una realtà, e alcuni sostengono che sia i consumatori che le aziende stiano già utilizzando il metaverso, ne siano consapevoli o meno. I giochi di realtà mista come Fortnite, Roblox e Minecraft stanno aprendo la strada. Aziende quali Accenture, Microsoft e il Forum economico mondiale, nonché agenzie di marketing quali Starr Conspiracy, stanno comunicando, collaborando e incontrandosi nel metaverso. Marchi di abbigliamento come Ralph Lauren e Nike offrono già esperienze di shopping virtuali, mentre la casa automobilistica BMW sta realizzando gemelli digitali delle proprie fabbriche per condurvi esperimenti.
In effetti, il metaverso ha il potenziale per diventare un grande business. Citi prevede, secondo quanto riportato su , che le transazioni digitali, i dispositivi e le altre attività economiche legate al metaverso potrebbero raggiungere un valore di 13 trilioni di dollari entro il 2030, con una popolazione di circa 5 miliardi di utenti. E i giganti della tecnologia — da Meta, che ha cambiato nome in modo appropriato, a Microsoft, Google, Adobe Systems, Snap e Nvidia — stanno investendo massicciamente nelle piattaforme, negli strumenti e nei servizi tecnologici necessari per renderlo possibile.
«Il metaverso offre un enorme potenziale positivo per creare nuove economie di scala e entrare in contatto con persone di tutto il mondo in modi significativi», afferma Wong.
Non mancano certo obiettivi redditizi
Naturalmente, quando il denaro affluisce verso qualsiasi ambito digitale, i criminali informatici
non tardano a seguirlo. E nel metaverso, gli obiettivi allettanti sono numerosi
e in continua crescita.
«La quantità di dati personali che genereremo... nel metaverso diventa un obiettivo incredibilmente allettante per i malintenzionati.»Sean Spradling, analista senior presso Wainhouse Research
Il commercio, ad esempio, viene sempre più spesso effettuato utilizzando valute digitali. Numerosi siti dedicati al gaming, all’intrattenimento e alla vendita al dettaglio si occupano della creazione, dello scambio e della vendita di token non fungibili (NFT, ), ovvero certificati che attestano la proprietà di oggetti digitali unici, quali opere d’arte , oggetti da collezione legati allo sport, brani musicali, giochi o film. Anche i portafogli digitali utilizzati per effettuare acquisti nel metaverso possono diventare bersagli.
«La quantità di dati personali che genereremo e che dovremo gestire nel metaverso diventa un obiettivo incredibilmente allettante per i malintenzionati», afferma Sean Spradling, analista senior presso Wainhouse Research. «Qualcuno dovrà fare un grande passo avanti e guidare l’impegno necessario per garantire tutto ciò.»
I metodi utilizzati dai criminali informatici per penetrare nel metaverso, assumerne il controllo e appropriarsi dei dati e delle ricchezze in esso contenuti non saranno necessariamente sofisticati. Almeno non all’inizio.
[Leggi anche: I Jetsons sono arrivati — e con loro anche la rivoluzione tecnologica del futuro]
Hermes Frangoudis, direttore delle relazioni con gli sviluppatori presso Agora, un fornitore di piattaforme per il metaverso, afferma che gli hacker utilizzeranno molte delle stesse tecniche che impiegano oggi sul Web. Prenderanno di mira le persone che non prestano la dovuta attenzione e metteranno in atto attacchi di phishing o truffe basate sull’ingegneria sociale per ottenere l’accesso.
«Attaccare le persone sarà un bersaglio facile, proprio come la maggior parte dei banditi del Far West che prendevano di mira le persone invece di rapinare le banche.» afferma Frangoudis. «Certamente, le banche e le borse saranno prese di mira. «Tuttavia, tali attacchi non si verificheranno con la stessa frequenza e vedranno coinvolti criminali informatici più sofisticati».
Wong, di Cobalt, afferma che gli “attacchi tramite sovrapposizione dello schermo” potrebbero diventare un metodo di hacking diffuso. Si tratta di dispositivi simili agli skimmer digitali che i criminali informatici installano sui bancomat per sottrarre i dati delle carte di credito. Solo nel metaverso un malintenzionato crea una replica della schermata di accesso che si sovrappone a quella reale e cerca di indurre un utente di dispositivo mobile o desktop a divulgare dati privati o sensibili. Peggio ancora, se un utente dovesse indossare un visore VR o AR in quel momento, questa tecnica potrebbe trasformarsi in un’arma virtuale con conseguenze fisiche nel mondo reale.
«I criminali informatici potrebbero utilizzare un attacco di tipo “overlay” per indurre un utente a scendere una scala reale, spingerlo a camminare in mezzo alla strada o mostrargli immagini o suoni inquietanti», avverte.
[Leggi anche: Cryptojacking: come impedire ai miner di criptovalute di attaccare la vostra rete]
Un altro vettore di attacco nuovo e problematico potrebbe essere proprio l’hardware del metaverso. Dispositivi AR e VR, fotocamere, sensori, cavi, dispositivi " endpoint ": qualsiasi strumento utilizzato per connettersi ai mondi virtuali potrebbe mettere a rischio la sicurezza e la privacy degli utenti, esponendoli al pericolo di appropriazioni indebite degli account, attacchi “man-in-the-middle” e altre vulnerabilità.
La ricerca ha dimostrato, ad esempio, che se un hacker dovesse monitorare digitalmente una persona che indossa un visore VR, tutte le sue caratteristiche fisiche specifiche — i movimenti oculari, i gesti delle mani, i movimenti della testa e altre caratteristiche comportamentali — potrebbero consentire di identificare correttamente il 95% degli individui in cinque minuti o meno. In teoria, un hacker potrebbe utilizzare tali dati biometrici per accedere ai portafogli digitali degli smartphone o ai siti web.
Adottare le precauzioni del caso
Frangoudis ritiene che i produttori di hardware potrebbero realizzare interruttori o altri meccanismi di disattivazione per disabilitare o limitare le funzionalità dei dispositivi suscettibili di essere hackerati, proprio come funzionano i pulsanti di silenziamento dei cellulari. Tuttavia, egli osserva che lo sviluppo di tali strumenti e tecniche richiederà del tempo. E finché non saranno diventate di uso comune, gli utenti dovrebbero prestare attenzione.
«In qualità di consumatore, deve comprendere che questi dispositivi consentono di raccogliere una grande quantità di dati che la riguardano», afferma. «Prima di utilizzarli, è opportuno sapere quali tipi di dati raccolgono su di voi e sull’ambiente che vi circonda.» Dovrebbe sapere in che modo tali dati vengono archiviati e se sono crittografati in modo sicuro.”
Al di là delle comuni vulnerabilità, il timore maggiore è che i criminali informatici finiscano per trovare modi nuovi e imprevisti per approfittare degli ignari partecipanti al metaverso. Esiste il rischio di situazioni caotiche online, che vanno dai “deep fake” dei vostri amici e colleghi ai bot che vi inducono con l’inganno a divulgare i vostri dati personali e finanziari. Il furto d’identità potrebbe diventare semplice quanto la replica del proprio avatar.
Rendere la sicurezza del metaverso una priorità
Il metaverso è un'architettura in continua evoluzione, distribuita e aperta. Manca un controllo normativo e gli standard di settore di riferimento devono ancora essere definiti. Tuttavia, le aziende e gli utenti possono prepararsi al metaverso adottando alcune precauzioni, quali quelle riportate di seguito.
- Adottate buone pratiche di sicurezza informatica . Le aziende che operano nel metaverso in continua espansione devono adottare le consuete strategie di applicare regolarmente le patch , installare gli aggiornamenti antivirus e implementare l’autenticazione a più fattori (MFA) in aggiunta alle password. Dovrebbero inoltre effettuare regolarmente test di penetrazione e verifiche per valutare la resilienza delle difese digitali e ridurre al minimo il rischio di backdoor nel codice e altre vulnerabilità.
- Garantire una protezione efficace contro l’ endpoint . Per accedere al metaverso si utilizzano spesso computer portatili, tablet e smartphone; pertanto, sarà fondamentale che le aziende siano in grado di monitorare, gestire e proteggere tutti gli endpoint. Le piattaforme di protezione degli endpoint (EPP) possono aiutare numerose organizzazioni a gestire questo mondo virtuale in rapida espansione.
- Crittografare i dati relativi alle chiavi. Frangoudis, di Agora, afferma che i fornitori di tecnologia hanno la responsabilità di integrare misure di sicurezza nelle proprie piattaforme e nei propri prodotti per garantire che i dati vengano trasmessi in modo sicuro. Tuttavia, per garantire una difesa ancora più solida, egli consiglia alle organizzazioni che si occupano di sicurezza informatica di crittografare tutti i dati e le comunicazioni prima che entrino nei mondi virtuali. «È necessario assicurarsi che la connessione tra il dispositivo finale e il proprio server sia valida e che nessuno stia intercettando i pacchetti contenenti i propri URL o funga da intermediario [nel trasferimento dei dati]», afferma. Altri esperti raccomandano che, in particolare, i metaversi aziendali memorizzino i dati sul dispositivo e limitino l’accesso e il flusso di dati alle piattaforme non autorizzate.
- Attuare il modello “zero trust”. Non fidarsi di nessuno, né all’interno né all’esterno di una rete, finché non ne sia stata dimostrata l’identità, è fondamentale nell’attuale mondo centralizzato Web2 , mentre limitare l’accesso attraverso politiche zero-trust e procedure è ancora più cruciale nel mondo decentralizzato Web3 emergente del metaverso.
- Promuovere l’istruzione e la sensibilizzazione. «I principi guida di ciò che sappiamo essere vero in materia di sicurezza dovrebbero costituire i nostri punti di riferimento nel metaverso», afferma Wong di Cobalt. “La sensibilizzazione, la formazione e la proattività in materia di sicurezza informatica rappresentano i primi passi per prevenire gli attacchi informatici.” I dipendenti e i consumatori necessitano di indicazioni costanti su come riconoscere attività sospette e segnalarle.
«In fin dei conti, le persone e le organizzazioni devono proteggersi nel metaverso», afferma Frangoudis. «È davvero il Far West, e dovrete fare da sceriffi a voi stessi.»
Per saperne di più, consultate la nostra serie “Alla scoperta del Metaverso”
Parte 1: Le riunioni nel metaverso rappresentano la soluzione per un maggiore coinvolgimento dei dipendenti?
