I jeans Levi’s nel mirino di un attacco hacker. Ancora una volta il social engineering mette KO una grande azienda come Levi Strauss, i cui dipendenti sono diventati il fattore umano, l’anello più fragile della cyber . Infatti, la stragrande maggioranza degli attacchi avviene sfruttando gli errori umani o traendo gli utenti in inganno senza compromettere i sistemi informatici che rimangono inviolati.
Ma “il caso Levi’s mette ancora una volta in crisi una delle frasi più abusate della cyber security: l’utente è l’anello debole“, commenta Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0, “No: l’utente è invece parte del sistema e va progettato come tale“.
Ecco come mitigare il rischio.
Indice degli argomenti
I jeans Levi’s sotto attacco hacker: dati sensibili in salvo
Secondo Reuters, il gigante statunitense dell’abbigliamento ha fornito comunicazione alla SEC, la Consob americana, di aver subito un cyber attacco dove un soggetto non autorizzato è stato in grado di effettuare l’accesso ai Pc aziendali di tre dipendenti, riuscendo a rubare parte dei dati interni. Informazioni corporate, ma non dati sensibili.
L’attacco contro l’azienda dei L’evi’s non è avvenuto sfruttando una falla nei sistemi della Levi Strauss, ma ancora una volta usando social engineering per indurre i dipendenti a fornire l’accesso ai dispositivi messi a disposizione dall’azienda.
Una volta effettuato l’ingresso, gli hacker criminali sarebbero stati in grado di leggere ed esfiltrare una mole di dati aziendali.
“Sono bastati tre dipendenti colpiti attraverso tecniche di social engineering per consentire l’accesso a computer aziendali e l’esfiltrazione di informazioni corporate. Il punto, quindi, non è soltanto formare le persone a ‘non cliccare'”, mette in guardia Sandro Sana.
I dettagli dell’intrusione
La società ha dichiarato di aver identificato velocemente la cyber intrusione, mettendo subito in atto le procedure di risposta all’incidente, dall’isolamento dell’accesso non autorizzato alla richiesta di supporto a specialisti esterni di sicurezza informatica.
Mentre l’indagine rimane in corso, Levi’s esclude che l’attacco hacker possa avere impatti sul business o sul fronte finanziario. Infatti non ha comportato interruzioni delle attività operative, anche se occorre individuare gli aggressori e dunque scoprire chi si nasconda dietro l’intrusione.
Levi Strauss non ha pubblicamente fornito attribuzioni dell’attacco ad alcun gruppo. Ma, da alcune ricostruzioni, emerge che l’intrusione si affianca allo tsunami di campagne di social engineering che mette nel mirino grandi aziende tramite vishing (voice phishing) ovvero telefonate fraudolente in cui gli hacker si fingono tecnici dell’assistenza IT per ottenere credenziali eccetera.
Come mitigare il rischio
Google e società di intelligence spiegano che gli aggressori, pronti a tutto per ricavare riscatti, conducono un’ampia campagna di vishing e ingegneria sociale.
“La sicurezza deve infatti partire dal presupposto che prima o poi qualcuno sbaglierà“, avverte Sandro Sana.
Nell’arco dell’ultimo mese, decine di blasonate istituzioni finanziarie Usa e note aziende sono cadute vittime di esche digitali, cyber trappole messe a punto dai criminal hacker per oltre 200 aziende, fra cui spicca la Levi Strauss che sta godendo di un momento di revival dei jeans Levi’s e di previsioni al rialzo delle vendite.
Ora l’attacco da parte deegli hacker criminali potrebbe avere anche un’implicazione reputazionale. Infatti gli aggressori puntano a colpire le catene del valore, non solo per esfiltrare dati o per affinare tecniche di social engineering, ma anche per provocare danni economici diretti ed indiretti.
“Identity protection, MFA resistente al phishing, privilegi minimi, segmentazione, EDR e capacità di detection devono invece impedire che quell’errore diventi un incidente”, conclude Sandro Sana: “Infatti, se basta convincere un dipendente per arrivare ai dati aziendali, il problema non è solo il dipendente: è l’architettura di sicurezza che gli abbiamo costruito intorno”.
Partecipa alla community