Per anni il ransomware è stato considerato soprattutto un problema tecnologico.
Un codice dannoso entra nella rete, i sistemi vengono criptati, le attività si bloccano e l’azienda colpita si trova a dover affrontare una scelta difficile. Questa lettura, però, trascura un elemento fondamentale della dinamica di un attacco.
Prima ancora che il malware riesca a entrare in azione, i gruppi ransomware devono ottenere un accesso ai sistemi. E sempre più spesso riescono a farlo sfruttando persone che, per il loro ruolo, hanno accesso a informazioni aziendali critiche, una visibilità privilegiata sui processi e una certa capacità di influenzare le attività.
Indice degli argomenti
L’indagine
Una nuova ricerca di Zscaler ThreatLabz aggiunge una nuova prospettiva, incentrata sulle persone, al dibattito sul ransomware.
Nel corso di un mese, i ricercatori hanno identificato 351 vittime compromesse appartenenti a 334 aziende, riconducibili a un gruppo criminale informatico impegnato a ottenere l’accesso iniziale ai sistemi, sottrarre dati aziendali e, in modo selettivo, criptare i sistemi critici.
I risultati suggeriscono che i gruppi ransomware non puntano indiscriminatamente al maggior numero possibile di vittime.
Al contrario, individuano i dipendenti i cui ruoli possono offrire loro il maggiore vantaggio strategico in caso di violazione.
Il ransomware è sempre più un problema di accesso alle risorse aziendali
La ricerca ha rilevato che il 62% delle vittime ricopriva ruoli manageriali o superiori.
I criminali informatici continuano a considerare importanti i privilegi tecnici, ma attribuiscono sempre più valore anche ai privilegi legati al ruolo aziendale, ovvero all’autorità e al livello di accesso associati alla gestione di budget, fornitori, clienti, contratti, dati delle risorse umane e attività operative.
Un manager vittima di un attacco potrebbe non essere in grado di modificare le regole del firewall, ma può esporre relazioni e informazioni di cui il criminale informatico ha bisogno per aumentare la pressione sull’azienda.
Fatture, approvazioni, dati dei clienti, contratti, documenti di progetto e comunicazioni con il management possono rapidamente trasformarsi in una mappa delle vulnerabilità commerciali, operative e reputazionali dell’azienda.
Le 5 principali funzioni aziendali sotto attacco
La ricerca ha inoltre rilevato che oltre tre quarti delle vittime lavoravano in cinque principali funzioni aziendali: amministrazione e finanza, vendite, operations, risorse umane e marketing.
Sono i team che garantiscono la gestione dei flussi finanziari, il rapporto con i clienti, il supporto ai dipendenti, il coordinamento con i fornitori e il corretto avanzamento dei progetti.
Gestiscono inoltre comunicazioni e documenti riservati che i criminali informatici possono utilizzare per aumentare la pressione sull’azienda.
Ransomware all’attacco delle gerarchie aziendale
Amministrazione e finanza rappresentavano il 18% delle vittime, seguite da vendite e operations, entrambe al 17%.
Questi dati aiutano a comprendere la logica che guida i criminali informatici. I team finanziari offrono accesso ai processi di pagamento e alle informazioni sui fornitori.
I team commerciali mettono a disposizione informazioni su clienti, prezzi, contratti e trattative in corso.
Invece, i team delle operations permettono di comprendere come funziona l’azienda e di individuare le aree in cui un’interruzione delle attività potrebbe avere l’impatto maggiore.
I criminali informatici prendono di mira i canali dove si concentrato le informazioni che permettono di comprendere come funziona l’azienda.
Il loro obiettivo non è soltanto violare un dispositivo, ma capire come trasformare le informazioni sottratte in uno strumento di pressione sull’azienda.
Difendere oggi un’azienda significa quindi proteggere le persone e i processi più direttamente coinvolti nelle decisioni strategiche e nella gestione dei dati più preziosi dell’azienda.
Perché i manager sono bersagli particolarmente appetibili
I manager si trovano in una posizione particolarmente favorevole per i criminali informatici.
Spesso hanno un livello di seniority sufficiente per godere della fiducia dell’azienda, responsabilità che garantiscono loro accesso a informazioni sensibili e frequenti contatti con altri reparti, rendendo i loro account un potenziale punto di accesso per estendere ulteriormente l’attacco.
Sono inoltre persone abituate a gestire numerose attività, rispondere rapidamente e affrontare richieste urgenti: tutti elementi che possono rendere più credibili i tentativi di impersonificazione.
I risultati della ricerca di ThreatLabz mostrano inoltre che l’età delle vittime era compresa tra 23 e 70 anni, con una media di 46 anni, e che la Generazione X rappresentava la fascia più numerosa.
L’età, di per sé, non rappresenta una vulnerabilità. È più utile osservare che molti dei dipendenti appartenenti a questa fascia ricoprono ruoli manageriali, coordinano team, prendono decisioni e gestiscono un’ampia rete di relazioni all’interno dell’azienda.
Il rischio deriva dalla combinazione di accesso, autorità e fiducia.
È proprio in questo contesto che gli approcci tradizionali alla sicurezza possono rivelarsi insufficienti.
Molte aziende hanno processi consolidati per proteggere gli amministratori di dominio, gli account IT con privilegi elevati e i dirigenti più esposti.
Sono invece meno numerose quelle che applicano lo stesso livello di attenzione ai manager di livello intermedio che gestiscono processi aziendali con informazioni commercialmente sensibili.
Eppure, potrebbero essere proprio queste le persone che i gruppi ransomware devono compromettere prima che un attacco informatico possa trasformarsi in una vera e propria crisi per l’azienda.
Anche il contesto operativo è importante
La ricerca ha rilevato che la metà delle aziende vittime di attacchi apparteneva a due settori: industria e information technology.
Nelle aziende del settore industriale, l’accesso ai processi operativi e commerciali può mettere a rischio la produzione, la distribuzione, la logistica, gli approvvigionamenti e la consegna ai clienti.
Invece, nelle aziende di Information Technology, gli account compromessi possono esporre la proprietà intellettuale, le piattaforme e i servizi, gli ambienti dei clienti e i sistemi utilizzati per l’erogazione dei servizi digitali.
È per questo motivo che il ransomware è diventato una questione di resilienza che riguarda direttamente il vertice aziendale, e non più un semplice incidente di sicurezza.
I criminali informatici sanno che la minaccia di pubblicare i dati sottratti, interrompere le attività o esporre informazioni sensibili su clienti e fornitori può essere uno strumento di pressione efficace tanto quanto la cifratura dei sistemi.
I backup restano fondamentali, ma non risolvono il problema più ampio legato al furto di dati, all’esposizione reputazionale, ai rischi legali, alle conseguenze sui clienti e all’interruzione delle attività.
Per i responsabili aziendali, la lezione da trarre è che il rischio informatico deve essere valutato in relazione alle dipendenze del business.
Chi può accedere a contratti strategici, autorizzare pagamenti, gestire i rapporti con i fornitori, esportare dati dei clienti o coordinare attività operative critiche? Quali processi, se interrotti, potrebbero esercitare una forte pressione sull’organizzazione? Quali canali di collaborazione sono considerati sufficientemente affidabili da consentire a un impostore credibile di ottenere rapidamente ascolto e credibilità?
Sono queste le domande che aiutano a individuare i punti in cui i rischi legati al ransomware possono più facilmente trasformarsi in un rischio per l’intera azienda.
Il livello della collaborazione sta diventando una nuova superficie di attacco
La ricerca mette in luce inoltre le tecniche utilizzate dai criminali informatici per conquistare la fiducia delle vittime, facendo leva sull’urgenza, sull’impersonificazione del personale IT e su strumenti familiari come Microsoft Teams e Quick Assist.
Il social engineering moderno non si presenta sempre sotto forma di un’email scritta male e proveniente da un mittente sconosciuto.
Può passare attraverso le stesse piattaforme di collaborazione che i dipendenti utilizzano ogni giorno, mascherandosi da normale richiesta di supporto o questione aziendale urgente.
Questo cambia la natura della sfida sul fronte della sicurezza. Una formazione di sensibilizzazione alla sicurezza che insegni ai dipendenti a riconoscere solo i segnali più evidenti di phishing non è più sufficiente.
I dipendenti devono sapere come verificare le richieste che sembrano provenire dal personale IT, dalla funzione Finance o HR, da fornitori o da colleghi in posizioni di responsabilità.
Devono inoltre avere a disposizione semplici procedure per segnalare e verificare queste richieste, che permettano di fermarsi un momento e fare un controllo senza avere la sensazione di rallentare le attività aziendali.
Come dovrebbero rispondere le aziende
La risposta concreta non consiste nel limitare l’accesso dei manager ai sistemi di cui hanno bisogno, ma nel ridurre il potenziale impatto nel caso in cui un account venga compromesso.
Il primo passo è considerare gli utenti aziendali più esposti al rischio come una categoria specifica nell’ambito della sicurezza.
Responsabili nell’ambito finanziario, commerciale e risorse umane, manager delle Operations, project leader e altri ruoli che hanno accesso a processi e attività sensibili dovrebbero essere inclusi nella valutazione del rischio, nelle verifiche periodiche degli accessi, nelle attività di monitoraggio e nella pianificazione della risposta agli incidenti.
Gli accessi dovrebbero essere regolati secondo il principio del minimo privilegio, in modo che ogni dipendente possa accedere solo alle applicazioni, ai dati e ai sistemi necessari per svolgere il proprio ruolo.
La segmentazione dovrebbe impedire che un account compromesso possa diventare una porta d’accesso al resto della rete.
Le piattaforme di collaborazione dovrebbero essere configurate, ove possibile, per limitare i contatti esterni non richiesti, in particolare da parte di utenti sconosciuti.
Le richieste provenienti da presunti operatori IT dovrebbero essere verificate attraverso canali interni affidabili, anziché essere accettate sulla base dell’urgenza o della familiarità del mittente.
Inoltre, le aziende dovrebbero monitorare eventuali segnali comportamentali che possano indicare una violazione, analizzando attività di utenti e dispositivi, applicazioni, strumenti di accesso remoto e movimenti anomali di dati. Il fatto che, nella ricerca, più di 12 aziende abbiano registrato la violazione di account di più dipendenti evidenzia la necessità di estendere le verifiche oltre il primo account coinvolto.
Una singola vittima potrebbe essere soltanto la parte visibile di una campagna di violazione degli accessi più ampia.
Ransomware, quali ruoli delle gerarchie aziendali proteggere di più
La difesa dal ransomware deve tenere conto del modo in cui i criminali informatici costruiscono il proprio potere di ricatto.
L’utente più a rischio non è necessariamente il dirigente più senior o l’amministratore con i privilegi più elevati. Potrebbe essere il manager che conosce i flussi finanziari, il responsabile delle vendite che gestisce le relazioni con i clienti, il responsabile delle Operations che sa quali processi non possono permettersi di fermarsi o il professionista delle risorse umane che gestisce file contenenti dati sensibili sui dipendenti.
Il ransomware sta risalendo la gerarchia aziendale perché i criminali informatici hanno capito che l’accesso alle attività e ai processi aziendali può essere prezioso tanto quanto l’accesso tecnico.
Ora anche le strategie di difesa devono tenere conto di questa realtà.
Partecipa alla community