Gli attacchi cyber diventano creativi

I cybercriminali nei prossimi mesi intensificheranno gli attacchi alle reti domestiche, alle macchine connesse, alle Supply chain e al cloud. È quanto emerge da Future/Tense: Trend Micro Security Predictions for 2023, il report sulle minacce informatiche che caratterizzeranno l’anno in corso a cura di Trend Micro, multinazionale di sicurezza informatica. “L’obiettivo della ricerca è raccontare che cosa ci aspettiamo quest’anno: alcuni aspetti stanno mutando e gli scenari evolvono sia lato attaccanti sia lato vittime”, ha affermato Salvatore Marcis, Technical Director di Trend Micro Italia durante il SecurityBarcamp, l’evento di presentazione delle previsioni che si è tenuto a fine gennaio 2023 a Milano.

In primo luogo, le tecniche legate al ransomware porteranno sempre più a casi di ricatto e furto di dati; oltre a questo, i criminali agiranno in modo innovativo ed è probabile che si concentreranno sulla monetizzazione dei dati, sottraendo dai sistemi colpiti informazioni rivendibili, come, per esempio, i numeri delle carte di credito. “Altre organizzazioni potrebbero scegliere le estorsioni, una mossa strategica che consentirà di riorientare gli attacchi e mantenere la stessa kill chain del passato”, ha continuato Marcis.

Un altro aspetto è quello che riguarda il social engineering, che ha l’obiettivo di manipolare, anche psicologicamente, affinché le persone compiano determinate azioni; si tratta di una minaccia sempre attuale che continuerà a colpire organizzazioni e utenti con nuove tecnologie. Come ha spiegato Marcis: “I truffatori continueranno a cercare persone che più facilmente possono cedere a una nuova versione della trappola, dove profili di utenti fasulli sono utilizzati per attirare le potenziali vittime con l’obiettivo di estorcere denaro”. Un’altra area in cui i malviventi daranno nuova vita a tecniche datate combinandole con strumenti moderni è quella delle truffe legate alle email corporate, la cosiddetta “truffa del CEO” (Business email compromise): “Questo tipo di truffa continuerà a colpire le organizzazioni e i criminali sfrutteranno le potenzialità delle tecnologie di Intelligenza Artificiale (AI) e Machine learning”.

In aggiunta, un’applicazione disomogenea della tecnologia cloud rischia di danneggiare le aziende, nel momento in cui aumenta l’adozione di nuovi strumenti. Infatti, negli ultimi tre anni le organizzazioni hanno adottato rapidamente la tecnologia della nuvola informatica migrando asset e operazioni per agevolare il lavoro da casa. “Le maggiori sfide per le imprese, in particolare per quelle abituate a usare strumenti più tradizionali, sono state la velocità della migrazione, l’adozione di tecnologie cloud di nuova realizzazione e l’integrazione di questi cambiamenti nell’ambiente di lavoro ibrido. Questo deve essere presidiato”, ha precisato Marcis. Come emerge dal report, i cybercriminali prenderanno ulteriormente di mira i dispositivi domestici, sapendo che le apparecchiature per l’home office sono connesse alle risorse aziendali e faranno perno sulle reti virtuali private per spostarsi lateralmente nell’azienda in target.

Fare formazione per diffondere consapevolezza

Occorre che ci si doti di un approccio alla cybersecurity strutturato, che contempli l’adozione di strumenti, ma pure faccia leva sulla consapevolezza. È il caso della società produttrice di pneumatici Pirelli, che come ha rivelato Stefano Vercesi, Head of Information Security di Pirelli, ha avviato negli ultimi anni un programma di Digital transformation importante: “Questo che ci ha posto di fronte a grandi sfide, ma sappiamo che i cambiamenti sono i momenti in cui si può migliorare”.

Questo ha imposto un’attenzione più marcata alla sicurezza, soprattutto perché si assiste a una mutazione delle tipologie di attacco. “Notiamo un aumento importante degli attacchi targettizzati sul settore, quindi non generalizzati, ma creati appositamente per la società; inoltre, cambiano così velocemente che gli strumenti non sempre sono aggiornati: se si lavora su un’infrastruttura condivisa e si riscontra un’infiltrazione all’improvviso, è difficile allineare tutti i sistemi”, ha commentato Vercesi.

Il tema deve rientrare anche nell’interesse del management, perché un eventuale attacco comporta impatti economici significativi e la perdita di vantaggio competitivo. “Bisogna comprendere che sono anche rischi di business”, è la tesi di Vercesi. Spesso si riconosce la cybersecurity come una priorità, ma poi i comportamenti non riflettono realmente questa consapevolezza. Ecco perché, come ritiene Vercesi, la parte di formazione deve evolvere per sensibilizzare gli utenti sul tema. È d’accordo Ezio Ricca, Associate Partner di Spike Reply, società del Gruppo Reply focalizzata sulla cybersecurity e sulla protezione dei dati personali, intervenuto durante l’evento: “Il fattore umano è una componente fondamentale: in questo momento storico in cui ci sono una varietà di minacce, è un punto di ingresso nelle aziende molto delicato”.

Talvolta si sottovaluta questo aspetto: si compra la tecnologia, ma ci si dimentica che processi e persone sono altrettanto rilevanti. “La formazione in questo senso deve essere continua e comprensibile a tutta la popolazione aziendale”, ha continuato Ricca, aggiungendo che la sua azienda offre dei training svolti tramite simulazioni: “Riproduciamo situazioni che potrebbero accadere e per lo più difficili da gestire. Collaboriamo con le organizzazioni per individuare i vettori di attacco replicando i possibili scenari”.

Il tema della cybersicurezza, come è emerso dall’incontro, dovrebbe essere trattato in modo più approfondito a partire dalla scuola e dalle università, nell’ottica di non farsi cogliere impreparati. Del resto, come ha specificato Marcis, i criminali stanno diventando sempre più creativi e impegnati a esaminare la postura di sicurezza di un’azienda da diversi punti di vista per trovare crepe nelle difese: “Sfrutteranno ulteriormente le vulnerabilità e colpiranno superfici di attacco solitamente trascurate, come il software open source”. Ecco perché occorre non tralasciare il controllo di eventuali procedure obsolete presenti nelle reti, che potrebbero aumentare il rischio di attenzione indesiderate, incentivati a muoversi in incognito e senza lasciare tracce.

Federica Biffi

Laureata magistrale in Comunicazione, Informazione, editoria, classe di laurea in Informazione e sistemi editoriali, Federica Biffi ha seguito corsi di storytelling, scrittura, narrazione. È appassionata di cinema e si interessa a tematiche riguardanti la sostenibilità, l’uguaglianza, l’inclusion e la diversity, anche in ambito digital e social, contribuendo a contenuti in siti web.
Ha lavorato nell’ambito della comunicazione e collabora con la casa editrice ESTE come editor e redattrice.