Secondo il report annuale di Netskope, le applicazioni personali e la genAI costituiscono un rischio rilevante per la tutela dei dati regolamentati nel settore dei servizi finanziari.
“Il focus di Netskope, su quelli che considera essere i tre principali rischi che interessano il settore finanziario, è ricco di spunti di riflessione”, commenta Enrico Morisi, Ict Security manager.
Ecco quali e come mitigare i rischi.
Indice degli argomenti
Le tendenze in materia di sicurezza informatica
Nel periodo compreso tra il primo gennaio 2024 e il 31 gennaio 2025, il report annuale del Netskope Threat Labs ha analizzato le tendenze in materia di cyber security nel campo dei servizi finanziari (banking, insurance, finance).
L’indagine fotografa l’impatto dell’utilizzo di applicazioni personali e di applicazioni genAI in questo ambito e il rischio che questa tendenza comporta per i dati regolamentati ovvero quelli coperti da normative come il GDPR.
Oltre alle principali minacce che hanno colpito il settore, i ricercatori si sono focalizzati sull’esame di tre rischi che coinvolgono il settore dei servizi finanziari:
- impiego di applicazioni personali;
- utilizzo di applicazioni di intelligenza artificiale generativa (genAI);
- minacce di social engineering.
“Un altro rischio da non sottovalutare, fortemente intrecciato con quello del social engineering ma anche con la diffusione degli infostealer e delle botnet, è quello associato alle identità: il furto di credenziali e la compromissione di sistemi di MFA non phishing-resistant rappresentano una minaccia sempre più diffusa e critica per le organizzazioni finanziarie, consentendo ai threat actor di accedere con semplicità e, apparentemente, in modo ‘lecito’ ai sistemi target”, mette in guardia Morisi.
Il rischio delle app personali
Le app personali nel settore dei servizi finanziari rappresentano un rischio sostanziale per la sicurezza dei dati. Il 92% dei lavoratori del settore finanziario utilizza regolarmente app personali e il 13% vi carica dati sensibili.
A sottolineare la gravità del problema, il 74% delle violazioni delle policy sulle app personali riguarda il caricamento di dati personali e finanziari regolamentati.
La genAI
Le app di AI generativa continuano ad accrescere la propria popolarità nel settore dei servizi finanziari, dove il 95% delle organizzazioni utilizza ora la genAI e le organizzazioni utilizzano in media 10 diverse app di IA generativa.
Anche il numero di utenti che utilizzano attivamente le app di genAI continua a salire, con una media del 6% di persone che le utilizzano regolarmente.
Tuttavia questa media riscjia di essere quella del pollo di Trilussa e nasconde fra le righe un’adozione molto più aggressiva in alcune organizzazioni. Mentre il 25% delle organizzazioni di servizi finanziari utilizzava solo otto o più app nel 2024, ora ne utilizza 19 o più.
Il rischio del social engineering
L’ingegneria sociale è una tattica popolare fra molti aggressori, da sofisticati gruppi geopolitici e criminali ad affiliati di ransomware di basso livello e bande di criminali informatici. Questi attaccanti impiegano varie tattiche come il phishing, il pretexting, il malware e i deepfake per manipolare gli individui all’interno delle organizzazioni target.
Il social engineering riscuote successo quando gli aggressori ottengono fiducia, incutono timore o manipolano le vittime inducendole a compromettere la sicurezza.
Tra i servizi finanziari, una delle tattiche di social engineering più comuni è quella di indurre le vittime a scaricare ed eseguire malware. Ogni mese 9,8 utenti su 1.000 vengono indotti a scaricare malware con l’inganno.
Fra le cinque famiglie di malware più comuni riscontrate nell’ultimo anno, crescono i downloader JavaScript per fornire payload dannosi, sistemi di direzione del traffico utilizzati per reindirizzare le vittime verso siti dannosi e il popolare beacon Cobalt Strike utilizzato per controllare i sistemi compromessi.
Come mitigare i tre rischi
Netskope offre alcune utili raccomandazioni. Occorre ispezionare tutto il traffico HTTP e HTTPS (cloud e web) alla ricerca di phishing, malware e altri contenuti dannosi, applicando un criterio di protezione dalle minacce che si applica a tutto il traffico.
Bisogna garantire che i tipi di file ad alto rischio, come gli eseguibili e gli archivi, ricevano un’approfondita ispezione mediante analisi statiche e dinamiche prima di essere scaricati. Utile è un criterio di prevenzione Patient Zero per bloccare i download fino all’ispezione completa.
Inoltre, è necessario bloccare l’accesso alle applicazioni che non servono ad alcuno scopo aziendale legittimo o che rappresentano un rischio sproporzionato per l’organizzazione. Un buon punto di partenza è, per esempio, un criterio che consenta l’accesso alle app affidabili attualmente in uso e blocchi tutte le altre.
Ridurre il perimetro di rischio
Conviene bloccare i download da app e istanze non utilizzate nell’organizzazione per ridurre il perimetro di rischio alle sole app e istanze necessarie per l’azienda.
Il blocco dei caricamenti su app e istanze non utilizzate nell’organizzazione permette di ridurre il rischio di esposizione accidentale o intenzionale dei dati da parte di addetti ai lavori o di abuso da parte di malintenzionati.
I criteri DLP consentono di rilevare le informazioni potenzialmente sensibili, tra cui codice sorgente, dati regolamentati, password e chiavi, proprietà intellettuale e dati crittografati, inviati a istanze di app personali, app genAI o altre posizioni non autorizzate.
L’importanza di DORA e GDPR
“La tendenza è poi quella di attaccare la catena di fornitura, spesso costituita da ‘anelli’ più deboli, tendenza che fa emergere anche l’importanza della gestione del rischio delle terze parti, uno dei pilastri del regolamento europeo DORA, assieme alla gestione del rischio ICT, all’incident reporting, al cosiddetto Threat Lead Penetration Test (TLPT) e all’information sharing, regolamento che si affianca al GDPR e al tema della protezione dei dati regolamentati”, consiglia Enrico Morisi.
Altri buoni consigli
Bisogna utilizzare il coaching in tempo reale per ricordare agli utenti le politiche aziendali relative alle app di intelligenza artificiale, alle app personali e ai dati sensibili durante l’interazione.
Sfruttando le risposte alle richieste di coaching, è possibile perfezionare e creare policy più sfumate, assicurando un coaching mirato ed efficace, senza contribuire all’affaticamento cognitivo.
Netskope suggerisce di esaminare regolarmente l’attività delle app di intelligenza artificiale, le tendenze, i comportamenti e la sensibilità dei dati per identificare i rischi per l’organizzazione e configurare le policy per mitigarli.
Occorre utilizzare un sistema di prevenzione delle intrusioni (IPS) per identificare e bloccare i modelli di traffico dannosi, come il traffico di comando e controllo associato alle minacce informatiche prevalenti. Il blocco di questo tipo di comunicazione può prevenire ulteriori danni, limitando la capacità dell’attaccante di eseguire ulteriori azioni.
Analisi del comportamento e cultura della sicurezza
L’analisi del comportamento permette di identificare le minacce nascoste, come i dispositivi compromessi, gli account compromessi e le minacce interne. Una piattaforma di analisi del comportamento può identificare minacce sofisticate e difficili da identificare nel proprio ambiente, come i beacon di comando e controllo malleabili (personalizzati) di framework come Mythic e CobaltStrike.
La tecnologia Remote Browser Isolation (RBI) permette infine di fornire una protezione aggiuntiva quando si visitano siti web che ricadono in categorie che possono presentare un rischio maggiore, come i domini appena osservati e quelli appena registrati.
“Le raccomandazioni di Netscope sono tutte utili e da tenere in seria considerazione, e l’adozione delle cosiddette misure minime di cyber hygiene mitigano, sorprendentemente, buona parte delle minacce”, aggiunge Morisi.
“Essenziali sono poi anche i servizi di Threat intelligence, e nella lista manca la ‘contromisura’ in assoluto più importante, la promozione della cultura della sicurezza, che non è solo formazione ma deve essere orientata ad un effettivo cambiamento del comportamento”, conclude Morisi.
E, in effetti, la consapevolezza è l’abc di tutte le misure per mitigare i rischi.
