Gli hacker dell’era Covid, phishing e ransomware minacciano ancora la nostra sicurezza

Da quando la pandemia Covid-19 ha iniziato a diffondersi in tutto il mondo, abbiamo assistito ad attacchi informatici che hanno gettato le aziende nel caos. I cyber criminali non hanno perso tempo per sfruttare questo periodo di crisi mondiale per massimizzare i loro profitti e in generale le loro tecniche non sono cambiate. Gli attacchi malware legati al coronavirus sono solo una piccola parte delle minacce che minano ogni giorno la nostra sicurezza informatica. Gli hacker continuano ad usare metodi collaudati e stando alla società di cybersicurezza CyberArk, i loro preferiti rimangono il phishing e il ransomware.

Gli attacchi phishing contro le aziende

Il phishing, secondo il DBIR 2020, è la forma numero uno di violazione sociale.  I cyber criminali sanno cosa entusiasma gli utenti e cosa li porta a “fare clic”. Il phishing si basa proprio su questo ragionamento e continua ad essere altamente efficace. Prendiamo ad esempio gli attacchi di phishing di Office 365. Anche se non sono di per sé una novità, negli ultimi mesi abbiamo osservato un “colpo di scena” in questo approccio che mira a token temporanei generati per consentire il Single Sign-On (SSO) per Microsoft 365 e tutte le applicazioni Microsoft.

In sostanza rubando e utilizzando questi token temporanei, gli aggressori possono bypassare l’autenticazione multifattore (MFA) e persistere in rete “legittimamente” aggiornando il token. Inoltre, anche se un utente cambia la propria password, il token rimane valido e non può essere revocato.

Le applicazioni video e chat – come Microsoft Teams, Slack, WebEx, Zoom e Google Hangouts – sono diventate il nuovo volto dell’organizzazione in questo periodo di lavoro a distanza. Gli aggressori le hanno aggiunte alla loro lista di phishing, utilizzando le stesse tecniche generali che usano da sempre con la posta elettronica.

All’interno di queste applicazioni SaaS, possono facilmente distribuire file e codici pericolosi, e persino GIF per impossessarsi dei dati degli utenti, rubare le credenziali e rilevare account aziendali completi. Oppure, compromettendo le identità digitali dei dipendenti – in particolare di utenti privilegiati come gli amministratori di sistema – gli aggressori possono sviluppare la persistenza e accedere ai dati sensibili inclusi in questi strumenti di collaborazione – report giornalieri, dati finanziari, IP e altro ancora.

Ransomware, come gli hacker hanno colpito ospedali e servizi sanitari durante la pandemia

Il ransomware è più efficace quando si mira a informazioni critiche e time-sensitive. Con l’intensificarsi della pandemia, le segnalazioni di ransomware che hanno coinvolto ospedali e fornitori di servizi sanitari hanno sottolineato le conseguenze pericolose, anche mortali, di questi attacchi. Comprendendo che i tempi di inattività possono fare la differenza tra la vita e la morte, i cyber criminali hanno colpito queste organizzazioni, sapendo che spesso sarebbero disposte a pagare ingenti riscatti per ripartire in tempi brevi.

In questo periodo, gli aggressori hanno esteso la loro attenzione a un nuovo settore: le aziende di ricerca e sviluppo e di biotecnologia che lavorano per trovare una cura per il coronavirus. Con il progredire della ricerca sui vaccini, i criminali informatici hanno aumentato gli attacchi.

Gli aggressori APT lanciano attacchi RDP o prendono di mira gli endpoint dei dipendenti in cerca di credenziali privilegiate per entrare, muoversi lateralmente, restarci a lungo e rubare poco a poco le ricerche sensibili. In alcuni casi, possono attendere settimane o addirittura mesi per iniettare il ransomware. Le ricerche di Microsoft mostrano come i gruppi criminali utilizzino i ceppi popolari, come Robbinhood, Maze e REvil, per lanciare attacchi APT di questo tipo.

Nessuna organizzazione è al sicuro dal ransomware. Si tratta di un vettore di attacco ampiamente utilizzato che continua a crescere in popolarità grazie alle più rischiose abitudini di lavoro da remoto e all’aumento del ricorso a Ransomware-as-a-Service.

Ciò che è cambiato in questo periodo di incertezza è la narrazione. Gli incidenti di sicurezza e le violazioni legate a Covid-19 sono amplificate dalla copertura frenetica delle notizie e dei social media. Il pubblico, affamato di informazioni e aggiornamenti, è attratto dal dramma e i titoli dei giornali su sofisticate truffe e ransomware hanno fatto notizia. Per questo oggi la sicurezza è uno dei principali temi di conversazione.

Non siamo ancora fuori pericolo e c’è ancora molto da imparare, soprattutto in questo momento in cui le aziende valutano cambiamenti permanenti nelle loro policy di lavoro a distanza. Ma questa prima fase ha rivelato alcune importanti verità sul modo in cui le persone si comportano e operano e su come le aziende debbano adattarsi a questa nuova realtà. Ora è il momento di cogliere questa opportunità per proteggere le aziende ed aumentare le nostre misure di sicurezza, per oggi e per il futuro.