Continuando nella serie di webinar dedicati a evidenziare quali siano state le principali minacce da parte di hacker a danno dei sistemi informativi pubblici e privati, l’azienda esamina il 2° Q 2018

Affidato ancora una volta a Costin G. Raiu e Vicente Diaz, entrambi appartenenti al Global Research & Analysis Team (GreAT) di Kaspersky Lab, il rapporto sulle minacce APT (Advanced Persistent Threat) del secondo trimestre 2018 parte da un’analisi sugli attori che hanno dato origine agli eventi APT dell’ultimo periodo, e di cui sono oltre 100 quelli che Kaspersky analizza con continuità. «L’analisi delle attività passate ci aiuta a comprendere le evoluzioni, soprattutto per quanto riguarda gli attori più sofisticati – spiega Diaz –, inoltre riusciamo a ottenere un quadro complessivo di come stia cambiando il panorama delle minacce».

Alcuni degli hacker più noti, come quelli appartenenti ai gruppi Lazarus, BlueNoroff e Andariel hanno avuto un’evoluzione legata al forte cambiamento della situazione geopolitica (firma dell’accordo di pace tra Corea del  Nord e Corea del Sud). Inoltre, molti attacchi motivati da scopi esclusivamente finanziari continuano a colpire interi Stati, com’è successo di recente in Turchia (l’attacco Bankshot a banche, riportato da McAfee), in Sud America (casinò, scoperto da ESET e seguito da un attacco distruttivo) e in Asia (istituzioni finanziarie, scoperto da Kaspersky). «Molti degli attacchi recenti hanno coinvolto il malware Manuscrypt, originato dal gruppo Lazarus, di cui sono state diffuse nuove versioni quali Typeframe (segnalato in giugno dallo Us Cert) e di cui era nota una versione precedente chiamata FallChill». Anche i gruppi Scarcruft e DarkHotel sono stati molto attivi ultimamente, dopo l’attacco 0-day che ha colpito la Corea del Sud in gennaio, nel Q2, utilizzando malware Android e una nuova backdoor (Poorweb).

«Pensiamo che l’Apt Scarcruft, noto anche come Group 123 o Reaper – aggiunge Raiu -, stia crescendo e sia uno degli attori da tenere sotto controllo costante».  Nonostante un certo grado di sovrapposizione tra Scarcrcuft e DarkHotel, il primo colpisce soprattutto la Corea del Sud, mentre il secondo ha come target la Cina. Un altro attore primario del Q2 è stato LuckyMouse (noto anche come APT27 O Emissary Panda), che ha colpito data center nazionali in Asia, inserendo waterhole in siti web di alto profilo. Sorprendente è stata l’attività recente di attacchi alla Mongolia, partiti da paesi di lingua Cinese, per cui Kaspersky in questo momento non è in grado di dare una giustificazione immediata.

Campagna VPNFilter e altri Apt

Una serie di attacchi concertati, o almeno così sembra, ha colpito sistemi di rete in praticamente tutti i Paesi. Scoperto da CiscoTalos, questo evento è stato destinato a oltre mezzo millione di hardware di rete domestico e storage in tutto il mondo. Con questo attacco è stato iniettato traffico nei computer collegati all’hardware di rete. Secondo l’Fbi, i colpevoli vanno ricercati tra Sofacy e/o Sandworm (responsabili anche di BlackEnergy Apt). «Questo tipo di attacchi sottolinea l’importanza della protezione dei dispositivi di rete», aggiunge Diaz. Un altro attore importante del periodo è Turla (noto anche come Uroburos o Snake), che ha lanciato l’attacco LightNeuron, diretto agli Exchange Server per intercettare email o inviare email a nome dell’utente colpito. Le aree geografiche interessate in questo caso sono state Asia e Medio Oriente. In conclusione, ci sono evidenze di attacchi coordinati tra vari attori anche di Paesi diversi, però difficili da provare.

L'articolo L’analisi di Kaspersky Lab sulle minacce del secondo trimestre 2018 proviene da Data Manager Online.

Crouching Yeti è un gruppo APT di lingua russa che Kaspersky Lab monitora dal 2010. È conosciuto in tutto il mondo per avere come obiettivo principale il settore industriale, con un focus primario sulle strutture energetiche e con lo scopo principale di rubare dati preziosi dai sistemi. Una delle tecniche più utilizzate dal gruppo è l’attacco “watering hole”: gli aggressori modificano i siti web inserendo un link che reindirizza i visitatori a un server compromesso.

Di recente Kaspersky Lab ha scoperto diversi server attaccati dal gruppo, appartenenti ad organizzazioni con sede in Russia, Stati Uniti, Turchia e vari paesi europei, non solo relativi a realtà industriali. Secondo i ricercatori, sono stati colpiti tra il 2016 e il 2017 con scopi diversi. Pertanto questi attacchi, al di là di essere “watering hole”, in alcuni casi sono stati utilizzati come “ponte” per condurre azioni criminali verso altre risorse.

Nel processo di analisi dei server infetti, i ricercatori hanno identificato numerosi siti web e server utilizzati da organizzazioni in Russia, Stati Uniti, Europa, Asia e America Latina che gli aggressori avevano esaminato con vari tool per trovare un server che potesse essere utilizzato come punto d’accesso per ospitare i tool dei cybercriminali e poi sviluppare un attacco. Alcuni dei siti presi in esame potrebbero essersi rivelati interessanti per gli aggressori come possibili “watering hole”. Il range di siti web e server che ha catturato la loro attenzione è ampio; infatti i ricercatori di Kaspersky Lab hanno scoperto che gli aggressori hanno esaminato numerosi siti web di tante tipologie, inclusi quelli di negozi e servizi online, istituzioni pubbliche, organizzazioni non governative, industrie manifatturiere, ecc.

È stato inoltre scoperto che il gruppo utilizzava tool dannosi open-source, progettati per analizzare i server e per cercare e raccogliere informazioni. In più è stato scoperto un file sshd modificato con una backdoor preinstallata. Tutto ciò è stato usato per sostituire il file originale in modo da essere autorizzato con una “master password”.7

“Crouching Yeti è un famigerato gruppo di lingua russa attivo da molti anni che si rivolge con successo alle organizzazioni industriali sfruttando attacchi di vario genere, tra cui quelli “watering hole”. Gli ultimi risultati mostrano che il gruppo ha compromesso i server non solo per creare dei “watering hole”, ma anche per ulteriori osservazioni, utilizzando tool open-source che hanno reso molto più difficile la loro successiva identificazione. Le attività del gruppo, come la raccolta iniziale dei dati, il furto dei dati di autenticazione e la scansione delle risorse, vengono sfruttate per lanciare ulteriori attacchi. La diversità dei server infetti e delle risorse scansionate suggerisce che il gruppo possa operare nell’interesse di terze parti” ha commentato Vladimir Dashchenko, Head of Vulnerability Research Group di Kaspersky Lab ICS CERT.

Kaspersky Lab consiglia alle organizzazioni di implementare un framework completo contro le minacce avanzate che comprenda soluzioni di sicurezza dedicate al rilevamento di attacchi mirati e all’incident response, insieme a servizi di expertise e intelligence sulle minacce. Kaspersky Threat Management and Defense, la piattaforma che protegge dal rischio di attacchi mirati, rileva un attacco sin dalle sue prime fasi, analizzando le attività sospette della rete; Kaspersky EDR, invece, offre visibilità dei dati degli endpoint, capacità di indagine e automazione nelle risposte. Tutto questo è potenziato dall’intelligence sulle minacce globali e dai servizi di Kaspersky Lab, specializzati nella ricerca delle minacce e nell’incident response.

L'articolo Kaspersky Lab scopre l’infrastruttura di Crouching Yeti proviene da Data Manager Online.

Nel primo trimestre del 2018, i ricercatori di Kaspersky Lab hanno continuato a registrare cyber attività da parte di gruppi APT (Advanced Persistent Threat) di lingua russa, cinese, inglese e coreana, tra le altre. E mentre alcuni attori conosciuti non hanno mostrato alcuna attività di rilievo, un numero crescente di operazioni APT e nuovi attori di minacce sono stati rilevati nella regione asiatica. Questa crescita si spiega in parte con l’attacco malware Olympic Destroyer ai Giochi Olimpici di Pyeongchang.

Tra i punti salienti del report per il primo trimestre del 2018 troviamo:

• La crescita costante di azioni cybercriminali da parte di attori di lingua cinese, compreso il gruppo ShaggyPanther – la cui attività è rivolta ad enti governativi concentrati principalmente a Taiwan e in Malesia – e CardinalLizard, che ha focalizzato la sua attenzione sulla Malesia, mantenendo il focus già esistente su Filippine, Russia e Mongolia.
• Il rilevamento di attività APT nell’Asia meridionale. Organi militari pachistani sono stati attaccati dal gruppo Sidewinder, appena scoperto.
• L’APT IronHusky sembra aver interrotto le sue attività verso gli enti militari russi, trasferendo tutti i suoi sforzi sulla Mongolia. Alla fine di gennaio 2018, questo gruppo di lingua cinese ha lanciato un attacco verso le organizzazioni governative mongole prima del loro incontro con il Fondo Monetario Internazionale (FMI).
• La penisola coreana rimane nel mirino. L’APT di Kimsuky, che prende di mira i think thank e le attività politiche della Corea del Sud, ha rinnovato il suo arsenale con un framework completamente nuovo, progettato per il cyberspionaggio e utilizzato in una campagna di spear-phishing. Inoltre, una parte del famigerato gruppo Lazarus, Bluenoroff, è passato a nuovi obiettivi tra cui società di criptovalute e POS (Point of Sales).

Kaspersky Lab ha anche rilevato un picco di attività cybercriminale in Medio Oriente. Per esempio, l’APT StrongPity ha lanciato una serie di nuovi attacchi MiTM (Man-in-the-Middle) sulle reti di provider di servizi Internet (ISP). Un altro gruppo di cybercriminali altamente qualificato, i Desert Falcon, è tornato a puntare ai dispositivi Android con malware già usati nel 2014.

Sempre nel primo trimestre, i ricercatori di Kaspersky Lab hanno scoperto diversi gruppi sistematicamente interessati a colpire con le loro campagne router e hardware di rete, un tipo di approccio già adottato anni fa da attori come Regin e CloudAtlas. Secondo gli esperti i router continueranno ad essere un bersaglio per i criminali, un modo perfetto per introdursi nell’infrastruttura delle vittime.

“Nel corso dei primi tre mesi dell’anno abbiamo identificato una serie di nuovi gruppi di cybercriminali attivi con diversi livelli di sofisticazione; nel complesso, tutti hanno utilizzato i malware più comuni e accessibili. Nello stesso tempo non abbiamo rintracciato alcuna attività significativa da parte di attori già noti. Questi fatti ci portano a pensare che le organizzazioni stiano riprogettando le loro strategie e riorganizzando i loro team per attacchi futuri” ha commentato Vicente Diaz, Principal Security Researcher del Global Research & Analysis Team (GReAT) di Kaspersky Lab.

Il nuovo report sulle tendenze APT del primo trimestre del 2018 illustra le scoperte dei rapporti sulle minacce informatiche degli utenti Kaspersky Lab. Nel corso dei primi tre mesi del 2018, il team di ricerca globale e analisi di Kaspersky Lab ha prodotto 27 report privati per gli abbonati, con dati sugli Indicatori di Compromissione (IOC) e regole YARA per aiutarli nella ricerca forense e nell’individuazione dei malware.

L'articolo Report APT Q1 2018: Asia e Medio Oriente focolai di nuove minacce proviene da Data Manager Online.

I primi tre mesi del 2017 hanno visto un forte aumento della sofisticatezza dei cyber attacchi sponsorizzati dai governi, con un crescente interesse da parte dei gruppi criminali verso i wiper e il crimine finanziario. Queste informazioni e altri trend sono riportati nel primo riepilogo trimestrale del report di Kaspersky Lab destinato agli abbonati ai servizi di intelligence sulle minacce.

Il nuovo report trimestrale APT Trends evidenzierà i principali sviluppi negli attacchi mirati, oltre alle tendenze emergenti che richiedono un’attenzione immediata da parte di aziende e altre organizzazioni. Il contenuto del report relativo al primo trimestre è basato sulle analisi degli esperti di Kaspersky Lab sulle attività dei gruppi criminali durante questo arco temporale.

Di seguito un riassunto di ciò che emerge dal report del primo trimestre del 2017:

·         I wiper vengono sfruttati negli attacchi mirati, sia a scopo di cyber sabotaggio sia per eliminare le tracce dopo operazioni di cyber spionaggio. Una nuova generazione di wiper è stata usata nell’ultima ondata di attacchi Shamoon. La relativa indagine ha portato alla scoperta di StoneDrill e delle somiglianze dei suoi codici con quelli del gruppo NewsBeef (Charming Kitten). È stata individuata una vittima di StoneDrill anche in Europa.

·         I cyber criminali che lanciano attacchi mirati passano al furto di denaro. Il monitoraggio a lungo termine del gruppo Lazarus ha permesso di identificare un sotto gruppo chiamato Kaspersky Lab BlueNoroff, che ha colpito istituzioni finanziarie in diversi Paesi, incluso una attacco di alto profilo in Polonia. BlueNoroff è considerato l’autore della famigerata rapina alla Banca Centrale del Bangladesh.

·         I malware fileless vengono usati sia negli attacchi mirati sia in quelli generici, aiutando a evitare il rilevamento e rendendo le indagini forensi più complesse. Gli esperti di Kaspersky Lab ne hanno trovato degli esempi nei tool per gli spostamenti laterali usati negli attacchi di Shamoon, in attacchi contro le banche dell’Europa orientale e nelle mani di diversi altri gruppi criminali.

“Il panorama delle minacce mirate è in continua evoluzione e i criminali sono sempre più preparati, cercando e sfruttando costantemente nuove lacune e opportunità. Nel primo trimestre, in Italia, si sono verificati 4.373.396 di attacchi malware propagati via internet e 63.406.945 tentativi locali di infezione – via USB, CD, DVD e altri metodi “offline” – colpendo, rispettivamente, il 20% e il 41% degli utenti iscritti al Kaspersky Security Network. Ecco perché l’intelligence sulle minacce è così importante: permette alle aziende di capire i pericoli e le misure che devono adottare. Per esempio, il panorama delle minacce nel primo trimestre evidenzia la necessità di indagini forensi nella memoria dei dispositivi e servizi di risposta agli incidenti per contrastare gli attacchi dei malware fileless e di dotarsi di soluzioni di sicurezza che possano individuare anomalie nelle attività quotidiane del network”, ha commentato Morten Lehn, General Manager Italy di Kaspersky Lab.

Il Global Research and Analysis Team di Kaspersky Lab studia attualmente più di cento gruppi criminali e operazioni dannose sofisticate che mirano ad organizzazioni commerciali e governative in oltre 80 Paesi. Durante il primo trimestre del 2017, gli esperti dell’azienda hanno realizzato 33 report privati per gli abbonati ai loro Intelligence Services, con informazioni sugli indicatori di compromissione (IOC) e le Yara rule per supportare le indagini forensi e la ricerca di malware.

L'articolo Le APT sfruttano wiper e malware fileless negli attacchi mirati proviene da Data Manager Online.

Si chiama Operation Cloud Hopper il documento prodotto da PwC e BAE Systems che punta il dito contro le attività di APT10, il team di origine cinese che avrebbe violato diversi provider in Europa, soprattutto nel Regno Unito. Il gruppo usava malware fatti in casa e metodologie di spear phishing per ottenere l’accesso ai server dei fornitori di servizi internet, da usare come porte di ingresso per i canali digitali dei loro clienti. In questo modo gli hacker hanno attaccato decine di compagnie, dislocate in UK ma anche a livello globale in tutta Europa e in Giappone. Anche se le evidenze degli hacking sono emerse a fine 2016, sembra che i ragazzacci fossero al lavoro già dal 2013, all’interno di una campagna di spionaggio che gli esperti considerano come la più grande sostenuta da un governo. Si, perché così come i famosi APT1, anche i più recenti hanno evidenti connessioni con la PLA Unit 61398, divisione cibernetica dell’esercito di liberazione popolare cinese.

Chi c’è dietro

C’è da dire che l’appoggio di Pechino, seppur probabile, non è stato del tutto verificato. Gli analisti forensi, che hanno collaborato con PwC e BAE Systems, hanno studiato le tempistiche di attacco e le tecniche usate per giungere alla conclusione che il gruppo è basato in Cina ma senza indicare gli attori che ne gestiscono le operazioni e il perché di certe violazioni a organizzazioni e aziende, ad oggi conosciute solo dagli investigatori. “Si tratta comunque di una campagna che ha il potenziale di coinvolgere una vasta gamma di nazioni – ha spiegato Kris McConkey, al lavoro con PwC – per questo potrebbero esservi tanti altri soggetti colpiti e ancora non rilevati. Il consiglio, per le compagnie, è di lavorare con i rispettivi team di sicurezza per analizzare le reti e individuare eventuali compromissioni, così da chiuderle ed evitare intrusioni future”.

L'articolo Gli hacker APT10 dietro alcuni attacchi a provider europei proviene da Data Manager Online.

StrongPity è un’APT tecnicamente avanzata e interessata a dati e comunicazioni criptati. Negli ultimi mesi, Kaspersky Lab ha osservato un forte aumento degli attacchi nei confronti di utenti alla ricerca di due tool di crittografia legittimi: documenti WinRAR e sistemi di crittografia TrueCrypt.

Il malware StrongPity include componenti che danno agli hacker il completo controllo del sistema della vittima, permettendo di rubare i contenuti dei dischi e scaricare moduli aggiuntivi per ottenere comunicazioni e contatti. Kaspersky Lab ha finora individuato visite ai siti di StrongPity e la presenza di componenti StrongPity in oltre un migliaio di sistemi target.

Watering-hole e installer infetti

Per ingannare le vittime, gli hacker hanno creato finti siti web. In un caso, hanno trasposto due lettere nel nome del dominio per convincere gli utenti che fosse un sito legittimo di installazione del software WinRAR. Dopodiché, hanno collegato un link importante a questo dominio dannoso su un sito di distribuzione WinRAR in Belgio, apparentemente sostituendo il link “consigliato” dal sito con quello del dominio nocivo. Quando gli utenti visitavano il sito, questo li rimandava all’installer infetto di StrongPity. Kaspersky Lab ha rilevato il primo reindirizzamento nocivo andato a buon fine il 28 maggio 2016.

Quasi contemporaneamente, il 24 maggio, Kaspersky Lab ha iniziato a notare attività sospette su un sito italiano di distribuzione di WinRAR. In questo caso, tuttavia, gli utenti non venivano reindirizzati ad un sito fraudolento ma ottenevano direttamente l’installer dannoso StrongPity dal sito distributore.

Inoltre, StrongPity indirizzava i visitatori da siti noti di software-sharing agli installer TrueCrypt “trojanizzati”.

I link dannosi dai siti di distribuzione di WinRAR sono stati rimossi, ma alla fine di settembre il sito nocivo di TrueCrypt era ancora in piedi.

Geografia dei bersagli

I dati di Kaspersky Lab rivelano che nel corso di una sola settimana, il malware partito dal sito di distribuzione in Italia è apparso su centinaia di sistemi in tutta Europa e in Nord Africa/Medio Oriente, con probabilmente molte più infezioni. I Paesi più colpiti durante l’estate sono stati Italia (87%), Belgio (5%) e Algeria (4%). La geografia delle vittime del sito danneggiato in Belgio era simile, registrando la metà (54%) di più di 60 attacchi andati a buon fine.

Gli attacchi agli utenti attraverso il sito TrueCrypt sono aumentati vertiginosamente a maggio 2016, arrivando al 95% di vittime colpite in Turchia.

“Le tecniche utilizzate da questa minaccia sono molto ingegnose e ricordano l’approccio usato all’inizio del 2014 dall’APT Crouching Yeti/Energetic Bear, che prevedeva l’installazione di trojan negli installer dei software IT legittimi per sistemi di controllo industriale e compromettendo così siti di distribuzione autentici. Queste tattiche sono un trend pericoloso che l’industria della sicurezza deve affrontare. La ricerca di privacy e integrità dei dati non dovrebbe esporre le persone a danni dovuti ad attacchi water-hole. Questo tipo di attacchi è intrinsecamente impreciso e speriamo di portare alla luce la necessità di verifiche più semplici e migliori dell’encryption tool delivery”, ha affermato Kurt Baumgarten, Principal Security Researcher di Kaspersky Lab.

L'articolo Sicurezza: un migliaio di utenti colpiti dai watering-hole di StrongPity proviene da Data Manager Online.

Il gruppo conosciuto come Apt 30 composto da hacker cinesi avrebbe spiato per una decade i governi di India, Cina e del sudest asiatico. A scovarli è stata l’agenzia di sicurezza informatica FireEye che ha scoperto alcune operazioni di cyber-spionaggio risalenti al 2004 e attive fino a qualche mese fa. FireEye ha affermato come Apt 30 avesse particolare interesse nel monitorare le attività politiche in India e gli sviluppi nella regione del sudest asiatico in riferimento soprattutto alle decisioni prese durante i summit della Association of Southeast Asian Nations.

Pista cinese

Il report “Apt 30 and the mechanics of a long-running cyber espionage operation” disponibile qui spiega come il gruppo avesse messo nel mirino diversi paesi classificando quelli più importanti a livello strategico e colpendone i sistemi informatici grazie allo sviluppo di minacce malware sofisticate. Ma non solo i governi, secondo FireEye il team di hacker ha colpito anche agenzie televisive e giornalisti locali informati sulle mosse politiche ed economiche dei singoli paesi. “Abbiamo analizzato oltre 200 malware e relativi software di controllo remoto – si legge nel documento – e siamo in grado di affermare come tutto abbia origine dal team Apt 30. Le loro missioni si focalizzavano sulla sottrazione di dati sensibili rubati da obiettivi diversi, incluse reti governative e piattaforme con barriere all’ingresso non banali”. Seppur l’agenzia di sicurezza non abbia indicato una base per il gruppo di hacker è praticamente certo che si trovi in Cina così come la più famosa sezione Apt 1 collegata all’Esercito popolare di liberazione cinese.

L'articolo Governi asiatici nel mirino degli hacker per 10 anni proviene da Data Manager Online.

Altro che cyberwar da salotto. Qui si fa sul serio. Il web si profila sempre più come la piattaforma ideale per tutta una serie di attività paramilitari. Da lì sempre più spesso si saggiano le intenzioni del nemico e si testano i sistemi di difesa. Ed è sempre dalla rete che partono campagne di propaganda e reclutamento; si rinserrano le fila, si fanno proseliti, si ordiscono trame e attentati. Addirittura si dà la stura a veri e propri conflitti armati.

‪#rapportoclusit‪ Il 60% di attacchi informatici è cybercrime @clusit ‬@The_Haiku
Click To Tweet

Secondo i dati del Clusit – Associazione Italiana per la sicurezza informatica – nel 2014 gli attacchi a supporto di azioni militari e paramilitari sono aumentati worldwide del 68%. “Si tratta di una minaccia che mette in serio pericolo i sistemi e i dati di organizzazioni pubbliche e private” afferma Alessio Pennasilico, membro del consiglio direttivo del Clusit. Una categoria di attacchi oggi in grado di assestare colpi capaci di provocare scossoni politici anche a paesi non belligeranti. E’ però il cybercrime a confermarsi la causa principale di attacchi (60% volto a finalità criminali), dato questo che non smette di crescere, +40% dal 2011, anno di pubblicazione del primo rapporto Clusit. In calo i fenomeni di Hacktivism e sostanzialmente stabili le attività di spionaggio informatico. Preoccupa invece l’esposizione al rischio che cresce più velocemente della nostra capacità di farvi fronte.

‪#rapportoclusit‪ Nel mirino servizi cloud, le banche e la sanità @clusit ‬@The_Haiku
Click To Tweet

“A fronte di investimenti che continuano a crescere, +8% nel 2014 nonostante il protrarsi della crisi economica – rileva Pennasilico – il numero e la gravità degli attacchi continua a salire. Sembra un paradosso ma a fronte di un dollaro speso per violare un PC, il costo della difesa è pari a 1 milione ”. Nello specifico, i dati analizzati per elaborare il rapporto passano da poco più di 170.000 a oltre cinque milioni, raccolti avvalendosi della collaborazione del SOC di Fastweb.

#rapportoclusit La guerra dell’informazione sta assumendo valori sempre più importanti
Click To Tweet

“Una crescita dovuta sia all’aumento degli attacchi sia delle nostre migliorate capacità di raccolta” afferma Davide Del Vecchio, responsabile SOC di Fastweb. E tuttavia anche a fronte di numeri che crescono a questa velocità, gli esperti del Clusit stimano che almeno due terzi degli incidenti di sicurezza non vengono rilevati per la mancanza di strumenti o competenze adeguate. Chi sono le vittime di tutti questi attacchi? Secondo il report, oltre un quarto del totale degli attacchi prende di mira il settore governativo in linea con la già citata ascesa del fenomeno information warfare. Tuttavia sono i settori finanziario, farmaceutico e dei servizi cloud e sanitari quelli che registrano i maggiori tassi di crescita, con il retail, la grande distribuzione organizzata, vittima sacrificale di attacchi letali che hanno provocato – vedi i casi eclatanti di Target e Home Depot – danni per centinaia di milioni di euro.

#rapportoclusit Nel 2014 il malware è cresciuto a tripla cifra (+122%)
Click To Tweet

“Il danno economico in aggiunta alle conseguenze legali e assicurative rischia di mettere in pericolo la sopravvivenza stessa di queste catene” – afferma Andrea Zapparoli Manzoni, membro del consiglio direttivo del Clusit. Il 2014 con il malware cresciuto a tripla cifra (+122%) grazie anche alla facilità di reperibilità e impiego, segna altresì un affinarsi e ibridarsi delle tecniche d’attacco. In sensibile diminuzione, invece l’utilizzo di tecniche di SQL injection e in ripiegamento l’utilizzo di attacchi DDoS e lo sfruttamento di vulnerabilità note. Preoccupa invece l’ascesa di tecniche avanzate (APT) finalizzate all’estorsione e la diffusione di ransomware, malware che cifra i dati e chiede un riscatto per la loro restituzione.

#rapportoclusit Con il SOC Manager di @FASTWEB per #rapportoclusit 2015 @Clusit
Click To Tweet

Che cosa ci possiamo aspettare per quest’anno? Niente di buono purtroppo. L’abbraccio esiziale tra gruppi criminali e terroristici con ramificazioni paramilitari porterà secondo gli esperti del Clusit a un incremento di azioni con finalità politiche oltre che economiche che andranno a impattare su aziende, PA e infrastrutture critiche. La piattaforma d’attacco preferita continuerà a essere quella dei social network – in particolare quelle di dating – sia per la diffusione di malware sia per realizzazione di frodi basate su tecniche di social engineering. Attenzione poi alle vulnerabilità dei sistemi POS, fragili by design e ai dispositivi mobile oggetto di tutt’altro che disinteressate attenzioni – peraltro confermate dagli ultimi leaks – da parte di servizi d’intelligence e criminalità organizzata.

#rapportoclusit Del Vecchio SOC Manager di @FASTWEB «Cresce il #malware, calano #hacktivism»
Click To Tweet

Nel volume del Clusit una sezione apposita approfondisce i fenomeni che hanno caratterizzato l’anno trascorso: i rischi connessi alle transazioni eCommerce in ambito mobile e quelli dell’internet of everything (IOT); il fenomeno bitcoin e le vulnerabilità dei servizi cloud. Una nota metodologica infine sulle elaborazioni condotte dagli esperti del Clusit. Il rapporto incorpora le analisi condotte dalla Polizia Postale e dalla GDF oltre che quelle svolte da qualificati vendor del settore a tutto vantaggio della completezza e autorevolezza dell’analisi della situazione nel nostro paese.

#rapportoclusit Il 93% degli attacchi rilevati è risultato riferibile a fenomeni di Cybercrime
Click To Tweet

L'articolo Rapporto Clusit 2015: retail, servizi cloud e sanitari nel mirino del cybercrime proviene da Data Manager Online.

Se fosse uno spettro avrebbe le sembianze di Frankenstein. Un mostrodalla forza sovrumana e ingestibile come la creatura nata dalla penna di Mary Shelley. Affamata di dati e denaro. Una sentina di tutti i peggiori pericoli della rete. Che arraffa dove può, ma capace anche di scegliere le proprie vittime. CryptoWall, un virus che critta i dati e chiede un riscatto per la loro liberazione, una delle sue materializzazioni più truculente. A farne le spese, una nota struttura alberghiera della provincia di Treviso. I criminali cancellano tutti i dati contabili e le prenotazioni di camere e sale riunioni, bloccando di fatto la gestione ordinaria della struttura e poi crittano i dati restanti. Un’unica traccia, un indirizzo email da contattare per riportarli alla forma originale. Costo dell’operazione un migliaio di dollari. Valuta da utilizzare: Bitcoin. Casi analoghi sono denunciati a Roma, Torino, Napoli, Verona. Lo scorso novembre è capitato anche ai dipendenti di un ente localecon sede a Milano.Tutti i file e le cartelle crittati. Impossibile aprirli. Anche qui un solo indizio, un codice da utilizzare per depositare la somma richiesta. Fortuna che in questo caso, file e cartelle condivise vengono regolarmente backuppate sui fileserver di rete. Per i documenti personali però non c’è nulla da fare. A meno di non voler pagare il riscatto. Senza alcuna garanzia naturalmente di vedersi restituito il maltolto.

#Cybercrime, il lato oscuro della vita digitale
Click To Tweet

In Italia, il ransomware miete più vittime che altrove. Lo dicono i dati pubblicati da Trend Micro,relativi alla diffusione del ceppo Crypto nell’area EMEA (Europa, Medio Oriente e Africa) tra ottobre e dicembre dello scorso anno. La punta massima si registra nel mese di novembre con un numero di infezioni pari al 31,19% del totale censito di attacchi contro sistemi del nostro Paese, primato assoluto davanti a Turchia, Francia, UK, Spagna[1]. Ma CryptoWall non è certo l’unico malware in circolazione. La rete è intasata da codice dannoso. Una marea montante che soffoca i nostri dispositivi in rete. Tutto è a rischio. Ci sono malware per ogni piattaforma, sistema operativo, programma; presto prenderanno di mira anche i nostri smartphone. Codice molto diverso da quello in circolazione sino a qualche anno fa. Invisibile agli antivirus. Capace di mutare in funzione delle difese che si trova di fronte. Infinite varianti di innumerevoli matrici che si moltiplicano all’infinito. Recuperarle non è difficile. Basta pagare. Con una cifra che varia dai 700 ai duemila euro ti porti a casaun kit già pronto all’uso. E non c’è neppure bisogno di essere dei maghi dell’informatica. Le difese tradizionali stentano a reggere il passo delle minacce. E poi ci sono lezero day, le vulnerabilità non note, sfruttate per fare breccia nei sistemi. «Se non sai in che applicativo risiede la falla, contro queste minacce non c’è molto da fare» – ci dice Pierluigi Paganini, chief information security officer presso Bit4Id. La risposta dei vendor si concentra sullo sviluppo di soluzioni basate sull’analisi del comportamento del codice sospetto. Spesso però chi scrive malware si serve delle stesse armi usate per proteggere i file. Come la crittografia, per esempio. Perciò sapere come si comporta un malware e cosa cerca di fare può anche non bastare. Così come non basta tenersi alla larga da siti sospetti se a diffondere il malware diventa un server aziendale. «Chi attacca conosce bene le abitudini del proprio target. E sa che per infettare un certo numero di macchine, può bastargli colpire un server usato da tutti in azienda» – spiega Paganini. Come quello del cartellino presenze, spesso utilizzato anche per la distribuzione dei buoni pasto. «Certo queste tipologie di attacco (watering hole[2], letteralmente “abbeveratoio per gli animali”) richiedono una preparazione specifica. E siamo lontani dall’invio massivo di phishing».

Pierluigi Paganini @Bit4idItalia Chi attacca conosce bene le abitudini del proprio target
Click To Tweet

DATA BREACH E ALTRE AMENITA’

Non che gli attacchi di phishing siano scomparsi. Anzi. Utilizzati in combinazione con altre tipologie d’attacco sono molto efficaci per sottrarre dati. E contrariamente a quanto si pensa, sono redditizi. Molte brecce nei sistemi originano da campagne mirate di phishing. Come quelle sfruttate dai truffatori della Rete per impadronirsi delle credenziali di accesso ai servizi di Poste Italiane. O quella da cui è probabilmente partito l’attacco sferrato al Gruppo Benetton. Siamo alla fine del 2013. Qualcuno vìola i sistemi di sicurezza della multinazionale trevigiana e ruba i disegni di una collezione di vestiti. Non è chiaro quanto tempo passa prima che qualcuno si accorga del furto – la conferma dell’intrusione arriverà solo qualche mese dopo – ma nel giro di poche settimane si scopre che qualcuno grazie a quei disegni ha realizzato una serie di prodotti contraffatti e venduti in Siria. L’azienda di Ponzano si affretta a precisare che né il danno economico né quello arrecato al marchio sono ingenti. Colpisce oltre alla vulnerabilità dell’azienda, l’abilità degli autori dell’intrusione che, a quanto sembra, potrebbero aver utilizzato una combinazione inedita di strumenti e tecniche. Forse, un mix simile alla combinazione di mascheramento del traffico di pacchetti verso siti legittimi resa nota per prima da FireEye, azienda della Silicon Valley in forte ascesa nel campo della cybersecurity. Una tecnica di reindirizzamento verso siti legittimi che utilizza header autentici, forgiando in proprio anche i certificati fasulli, necessari a rendere credibile l’intera manovra criminale[3].

@FerriniFurio #ComputerHalley Non sempre gli operatori sono consapevoli dei rischi
Click To Tweet

Siamo in pieno territorio APT[4].Un terreno sul quale i criminali agiscono a completa insaputa delle vittime, facendo leva su tecniche di social engineering per guadagnare l’accesso alla rete target e sferrare un attacco zero-day; dove per penetrare la rete si scalano tutti i livelli di privilegio (credenziali di amministratore), si riesce ad aprire un canale di comunicazione con un centro di comando e controllo (server gestiti da chi attacca per coordinare le operazioni criminali) esterno e dove poi alla fine si cancella ogni traccia. «è indubbio che in alcuni casi le capacità di questi criminali sono avanzate. è anche vero però che le opportunità che la tecnologia offre a queste persone è maggiore rispetto al passato» – commenta Paganini. «Oggi, posso nascondere il traffico di un malware sul web, nascondere il sistema di controllo di una botnet all’interno di un sito legittimo (Google Drive, Dropbox), oppure servirmi di Twitter per comunicare le modalità di un attacco. E di Pastebin per postare i comandi». Quando si dispongono di mezzi adeguati tutto è possibile. «Persino assicurarsi i servizi criminali allo stesso modo in cui si compra un servizio in cloud».

Dario Forte @DFLabs Il concetto di realtime è più legato al marketing and sales
Click To Tweet

LE PRIORITA’ DI SICUREZZA

In questo proliferare di attacchi e minacce forse però l’aspetto più preoccupante – almeno dal punto di vista operativo – rischia di essere quello di perdere di vista le proprie priorità di sicurezza. Di non sapere più cioè a quali minacce accordare maggiore importanza. Per chi decide, cento priorità equivalgono a nessuna priorità. Invece servono idee chiare per individuare, tra i pericoli in circolazione, quelli a cui dare la precedenza. Imparando a riconoscere le caratteristiche degli assalitori e delle loro minacce.

Per chiunque, protezione del dato e continuità del servizio dovrebbero essere priorità irrinunciabili. Ma è proprio così? «La perdita di dati aziendali a seguito di eventi catastrofici, guasti, malfunzionamenti, oppure intrusioni informatiche, è drammatica per chiunque» – osserva Furio Ferrini, presidente di Consortech (il Consorzio delle imprese tecnologiche della Provincia di Sondrio) e presidente di Computer Halley. «A maggior ragione per chi, come i dottori commercialisti, deve conservare e trattare informazioni estremamente delicate per conto di numerosi clienti. Non sempre però gli operatori che li gestiscono – in proprio o conto terzi – sono consapevoli dei rischi che si corrono. La gran parte dei professionisti – almeno in Valtellina – non ha assolutamente la percezione di quelli che sono gli obblighi connessi alla normativa»  – osserva Ferrini.

In Italia, il ransomware miete più vittime che altrove @TrendMicro
Click To Tweet

Le cose non saranno così ovunque. E gli esempi di eccellenza non mancano.Ma quali pericoli corrono i nostri dati in mano alle amministrazioni pubbliche? Quanto sono al sicuro i dati conservati da enti pubblici, comuni e ospedali? Fino a ieri la situazione si poteva solo intuire. Oggi, però il Rapporto sulla sicurezza informatica nella Pubblica amministrazione[5] (Italian Cyber Security Report 2014) ci fornisce un quadro più preciso della situazione. Lo studio, redatto da Cis (Centro di ricerca di cyber intelligence e information security) e Agid (Agenzia per l’Italia Digitale) – analizzando i dati relativi ai sistemi di sicurezza interni di 42 amministrazioni centrali, 117 Comuni, 19 Regioni, il 25% delle ASL e il 4,5% degli ospedali italiani – ci restituisce la fotografia di un Paese gravemente e colpevolmente sguarnito di fronte alle minacce IT.

Le situazioni peggiori si riscontrano a livello di Regioni e Comuni. Per quel che riguarda le prime, nessuna di quelle prese in esame raggiunge il punteggio minimo e in 14 realtà il livello di criticità riscontrato è grave. Anche tra i 79 comuni presi in esame, ben 68 sono in forti difficoltà di fronte alla minaccia e anche in questo caso nessuna amministrazione raggiunge la sufficienza. Si salvano solo 22 amministrazioni (Inps, Corte dei Conti, Regione Friuli Venezia Giulia), su un totale di 42, che raggiungono un livello sufficiente di protezione. Gli ospedali sono invece quelli più presi di mira, con un aumento degli attacchi superiore al 200%.Ma gli assalti sono in aumento in tutto il settore pubblico. Sono le stesse amministrazioni a denunciarlo. Una situazione diffusa da nord a sud. «Lo studio – dichiara il direttore del Cis, Roberto Baldoni–ha consentito di individuare i principali problemi su cui agire perottenere un miglioramento rapido e sostanziale della nostra protezione. Ha anche purtroppo evidenziato comeci siano lacune importanti e radicate sia in termini di cultura della sicurezza sia di organizzazione». Una situazione che definire preoccupante è sin troppo prudente.E infatti già nel 2013, l’Associazione italiana per la sicurezza informatica (Clusit) parlava di una vera e propria emergenza nazionale. “Nessuno può più ritenersi al sicuro (…). Tutti sono in qualche modo e a vario titolo minacciati: dai singoli cittadini alle Pmi fino agli stati nazionali e alle più grandi imprese del mondo”. Così, si legge nel rapporto 2013 sulla sicurezza informatica[6].

Cyber Security Report 2014, l’Italia è un paese a rischio
Click To Tweet

OLTRE LE DIFESE TRADIZIONALI

Quando si ha a che fare con malware progettato per sfruttare vulnerabilità non conosciute (zero-day), crittografato o polimorfico, che cela cioè la sua vera natura e muta ogni volta che va in esecuzione, le difese tradizionali non bastano. Servono tool in grado di individuare le potenziali minacce e rispondere in tempo reale o quasi. A Dario Forte, fondatore e CEO di DFLabs, azienda specializzata in incident response technology and services, il termine – però – non piace: «Il concetto di realtime è più legato al marketing and sales che all’aspetto scientifico del problema. Per questo è più corretto parlare di near real time detection and response».

Fatto sta che bisogna cercare di fare presto. Ma come funzionano questi tool? Le piattaforme di questo genere – ci spiega Forte – si basano su tre variabili di analisi: «Il comportamento (behavior), la ricorrenza (statistic) e lo scostamento dalle baseline (anomaly)». Più in dettaglio, queste tecnologie creano un ambiente virtuale di esecuzione isolato da tutto il resto (sandbox) che replica l’ambiente target; il comportamento del malware viene osservato e analizzato: si individuano i dettagli e le caratteristiche del payload e si tengono d’occhio gli eventuali tentativi di aprire un canale di comunicazione con un server di comando e controllo. L’obiettivo è quello di ricostruire la signature di difesa, che sono l’antidoto al malware. «Al momento – ci dice Forte – esistono circa 50 implementazioni commerciali di queste piattaforme. Alcune hanno già raggiunto un buon livello di maturità, altre invece sono ancora acerbe e poco utilizzabili». I criminali però non stanno a guardare. Sanno che di continuo nuove tecniche di difesa sono messe a punto. E allora, rispondono progettando codice che consenta loro di essere “avvisati”, quando il malware diventa oggetto di analisi all’interno di un ambiente virtuale isolato. In che modo? Sollecitando – durante le fasi in cui il malware tenta di portare a termine i suoi effetti deleteri – ogni volta che è possibile l’intervento umano. Basta la richiesta di un click con il mouse, oppure la proposizione di una finestra di dialogo in cui si chiede una risposta tra due o tre disponibili. È una sfida continua. Occorre essere sempre più furbi. E più bravi. Emulare il comportamento dell’utente. Analizzare un range di file e di comportamenti in continua espansione. Raggiungere in definitiva un rapporto ottimale tra falsi positivi, che intralciano lo svolgimento delle normali attività di business, e segnalazioni veritiere (falsi negativi), che lasciano invece scoperte le aziende di fronte ad un possibile attacco. Le difese poi dovrebbero integrarsi con quelle di partner e clienti in modo che la threat intelligence (info condivise sotto forma di metadata) raccolte da altri su repository in cloud possano innescare un circolo virtuoso di condivisione. Le difese non mancano. Ci sono soluzioni che si concentrano su altri livelli dello stack IT, dal monitoraggio dei pacchetti e dei flussi che preannunciano un comportamento sospetto, fino ai controllo sulle applicazioni.

Tecnologia, competenza e formazione, fattori critici
Click To Tweet

«Serve una combinazione ottimale di difese e competenze» – afferma Pierluigi Paganini di Bit4Id. Soluzioni in grado di raccogliere e confrontare info di diverso formato e provenienza: email di spear phishing, file sospetti, log che provano il tentativo di connessione con centri di comando e controllo esterni, flussi anomali di dati – spesso criptati – che escono dalla rete. Uno strato supplementare di protezione che si affianca alle difese già esistenti. «Affiancare eventuali nuovi layer tecnologici e preservare gli investimenti pregressi è un must imprescindibile» – conferma Forte di DFLabs. «In base alla nostra esperienza, possiamo dire che gli utenti finali – prima – cercano di comprendere la minaccia  e – solo dopo aver creato un framework di processo adatto a contenerla – si dedicano allo scouting tecnologico». Detto questo però, deve essere chiaro che la tecnologia da sola non basta. Le persone giocano un ruolo cruciale. «è fondamentale avere – oltre a tutti i meccanismi di difesa – personale in grado di operare in maniera tale da ridurre il rischio da esposizione» – afferma Paganini. Perché il fattore umano è sicuramente uno di quelli che maggiormente espone l’azienda a un attacco. «Succede spesso che un dipendente – oggetto di un attacco mirato di spear phishing, (semplicemente inserendo in maniera impropria dei dati su un portale che magari viene replicato ad hoc per raccogliere le info relative all’azienda) – fornisca a chi attacca l’accesso ai sistemi dell’azienda» – ci dice Paganini. Perciò, ancora prima della minaccia informatica in sé, al primo posto va messa la formazione dei propri collaboratori. «La consapevolezza della minaccia è un elemento fondamentale. Solo dopo, si possono intraprendere tutte quelle azioni in grado di mitigare i rischi» –afferma Paganini.

Ospedali aumento degli attacchi superiore al 200%
Click To Tweet

CONCLUSIONI

La digitalizzazione procede a ritmi vertiginosi con il moltiplicarsi di sensori embedded in oggetti di uso quotidiano, oggi lo smartphone, domani lo spazzolino da denti, l’auto e il frigorifero. Tutto questo sta dando vita a un ambiente globale iperconnesso, l’Internet delle cose, in cui la sicurezza IT è destinata a ricoprire un ruolo sempre più importante. Cybercrime, cyberwar e hacktivism rappresentano il lato oscuro della vita digitale. Lo stillicidio quotidiano di incidenti di sicurezza è il corollario più vistoso. Per quanto ancora difficile da accettare, questi fatti ci riguardano molto da vicino, perché possono colpire allo stesso modo le nostre imprese e le nostre amministrazioni. Se vogliamo continuare a raccogliere i benefici di questa seconda vita digitale, un nuovo approccio come quello descritto e reso esplicito dalle tecniche e dalle piattaforme di sicurezza di ultima generazione non è più procrastinabile. Ma non basta. Assumere un atteggiamento e una mentalità da accerchiamento non serve a nulla. Serve invece un mix ditecnologia, competenze e formazione. La sicurezza è responsabilità di tutti. La compromissione dell’anello più debole porta alla compromissione dell’intera catena della sicurezza.

[1] Vedi in http://blog.trendmicro.com/trendlabs-security-intelligence/crypto-ransomware-goes-local-in-emea-region/

[2] Vedi in https://blogs.rsa.com/lions-at-the-watering-hole-the-voho-affair/ e http://en.wikipedia.org/wiki/Watering_Hole

[3] Vedi in https://www.schneier.com/blog/archives/2014/08/disguising_exfi.html e http://www.csoonline.com/article/2462409/data-protection/how-hackers-used-google-in-stealing-corporate-data.html

[4] Vedi in http://en.wikipedia.org/wiki/Advanced_persistent_threat

[5] Reperibile in http://www.agid.gov.it/notizie/italian-cyber-security-report-2014

[6] Il rapporto elaborato da Clusit, analizza il tema della sicurezza informatica nel 2012 e nei primi mesi del 2013.  Lo studio si riferisce a un campione di oltre 1.600 incidenti di sicurezza significativi, ed è il risultato di una complessa attività di classificazione e correlazione. La sua compilazione ha richiesto il vaglio di centinaia di fonti e numerose verifiche incrociate con le informazioni contenute nei report di molti vendor (tra i quali Cisco, IBM, Kaspersky Lab, McAfee e Trend Micro). Qui http://www.clusit.it/download/ il link al rapporto.

L'articolo Chi protegge i nostri dati? proviene da Data Manager Online.

La distruzione e il danneggiamento, anche parziale, di una infrastruttura critica (IC) hanno un notevole impatto strategico, umano, economico e sociale. Nella finanza e nei sistemi di pagamento, vi sono relazioni intersettoriali e transfrontaliere che possono creare un “effetto domino” a livello continentale.

Il settore della finanza è talmente strategico per un paese europeo che molti governi lo classificano come uno dei settori prioritari dal punto di vista delle IC. Sotto l’etichetta “finance”, infatti, si trovano normalmente sottosettori quali: markets e retail banking, investment banking, asset management, financial facilities, assurance, payments systems.

L’evoluzione tecnologica caratterizzata dai drivers CAMS (cloud, analytics, mobile e social) e l’avvento dei nuovi processi – come l’esecuzione di contratti da remoto, la dematerializzazione, le connessione di dispositivi intelligenti e infine l’evoluzione della banca verso nuovi modelli organizzativi e di business – hanno incrementato sensibilmente la possibilità di attacchi invasivi e terroristici, aumentando le vulnerabilità dei sistemi e ampliando il bacino dei soggetti potenzialmente esposti.

La minaccia cibernetica, per la sua natura diffusa, incontrollata e transnazionale, rappresenta una delle sfide più impegnative per gli stati, le organizzazioni sovranazionali, le banche, le aziende e i cittadini.

I cyber attack sono in grado di produrre effetti confrontabili con quelli ipotizzabili in attacchi bellici convenzionali e possono incidere sull’esercizio stesso delle libertà essenziali per i sistemi economici e democratici. Il rilievo particolare del crimine finanziario digitale è dovuto anche al fatto che questo amplifica notevolmente le modalità di riciclaggio del denaro. A livello di competitività industriale, gli obiettivi di gruppi – anche piccoli ma ben organizzati, con una copertura istituzionale da parte di eventuali paesi ostili – non sono solo i singoli conti dei clienti, ma le informazioni strategiche di una banca o di grandi manovre finanziarie, economiche e industriali. Tecnicamente si profilano all’orizzonte importanti e crescenti rischi che vanno sotto il nome di advanced persistent threat (APT), cioè attacchi prolungati nel tempo e focalizzati su specifici obiettivi economici o d’intelligence. Nelle varie fasi dell’APT, che può anche durare anni, vengono utilizzate tecniche e tools di hacking tradizionali ma anche di tools dedicati. In sostanza, sono vere e proprie azioni di spionaggio multicanale. Di conseguenza, nel prossimo futuro, le banche potrebbero essere uno dei bersagli principali di attività di spionaggio, di violazione dei sistemi informativi. Il rischio cyber nella finanza è confermato dall’autorevole “Global Risks Report 2014” del World Economic Forum che – classificando le principali minacce globali per impatto e probabilità – pone tra i primi posti i cyber attack.

Rapporto Clusit 2014

Anche secondo l’annuale rapporto CLUSIT sulla “Sicurezza ICT in Italia”, presentato a Roma lo scorso giugno durante il Security Summit 2014, in relazione a quanto avvenuto nel 2013 e nei primi mesi del 2014, la situazione è in evidente peggioramento e vi sono elementi di forte preoccupazione. Gli attacchi informatici crescono sensibilmente, sia come numerosità sia come gravità, mentre i difensori incontrano serie difficoltà a mitigare tali rischi, e di conseguenza gli scenari che si possono ipotizzare per il breve-medio termine non sono affatto confortanti. Ci troviamo di fronte a una vera e propria emergenza nella quale nessuno può più ritenersi al sicuro e dove tutti sono in qualche modo – e a vario titolo – minacciati. Il numero di attacchi gravi di pubblico dominio è cresciuto nel 2013 del 245%. Lo studio Clusit si riferisce, in particolare, a un campione di oltre 1.152 incidenti significativi avvenuti negli ultimi due anni e al confronto con le informazioni che emergono dai report di molti vendor (tra i quali Cisco, IBM, Kaspersky Lab, McAfee e Trend Micro).

Da un lato vi è l’elevato rischio di furto delle informazioni e di denaro e dall’altro le aziende tendono a sottovalutare la minaccia riponendo un’eccessiva fiducia nelle proprie risorse. Non bisogna infatti dimenticare che una compromissione come una frode in ambito bancario può richiedere anche 18 mesi per essere scoperta. Inoltre, è difficile che le vittime e gli istituti coinvolti pubblicizzino gli eventi e gli attacchi fraudolenti. È auspicabile – secondo CLUSIT – che dalla crescente copertura dedicata dai media, parta quel movimento di sensibilizzazione necessario a instaurare la prima forma di difesa costituita dall’accortezza e dalla diffidenza.

La strategia europea

La strategia definita dalla Commissione europea nel documento di impostazione strategica “Uno spazio informatico aperto e sicuro” si articola in una serie di azioni concrete e in una direttiva per la sicurezza informatica. Il documento definisce la cyber strategy europea come “la sicurezza del cyberspazio comunitario che è prerequisito imprescindibile per lo sviluppo dell’Europa”. Non a caso, il terzo dei sette pilastri sui quali si articola l’Agenda Digitale Europea si chiama proprio “Trust & Security”. Tale pilastro consta di 17 azioni mirate a rafforzare i prerequisiti fondamentali di sicurezza e fiducia delle infrastrutture tecnologiche e di comunicazione. Il Parlamento europeo ha recentemente rinnovato a ENISA (Agenzia europea per la sicurezza delle reti e delle informazioni – www.enisa.europa.eu) il mandato, dotandola di un nuovo e più efficace statuto che ne amplia in modo importante la missione e la responsabilità: e ciò proprio in funzione del ruolo cruciale che essa gioca nell’implementazione della strategia europea per la cyber security. L’iniziativa europea – forse – più importante e visibile è l’organizzazione periodica di regolari esercitazioni paneuropee nelle quali, simulando svariati realistici scenari di attacco, gli stati membri e le strutture comunitarie verificano la propria readiness e la capacità di fronteggiare le minacce. Sino a oggi – con il coordinamento di ENISA – si sono già tenute tre esercitazioni (Cyber Europe 2010, CE2012 e CE2014) e un’altra esercitazione congiunta EU-USA (Cyber Atlantic 2011). Alla CE2014, per la prima volta, hanno partecipato anche i paesi europei aderenti all’EFTA ma non alla UE. Oltre a raccomandare a tutti gli stati membri che non l’abbiano ancora fatto di ratificare al più presto la Convenzione di Budapest, la strategia UE prevede poi iniziative sul piano dell’armonizzazione a livello europeo delle singole legislazioni nazionali e dei relativi strumenti di contrasto. In particolare, il Centro Europeo per il Cyber Crime (EC3), recentemente fondato all’interno di EUROPOL, collabora per supportare gli stati membri in tale allineamento sia sul piano normativo sia su quello tecnico. Inoltre, il CEPOL (Accademia Europea di Polizia) sviluppa specifici piani di formazione per fornire a tutte le forze di polizia nazionali le adeguate conoscenze e competenze per fronteggiare al meglio la lotta al crimine informatico. Oltre a ciò, è operativa la costituzione della rete europea di CERT nazionali e del CERT europeo. La direttiva europea per le IC impone la predisposizione di un PSO (Piano di Sicurezza Operativo) specifico per ogni infrastruttura critica e – su questo punto – le banche sono già avanti in quanto soggette alle normative più stringenti della BCE e delle istituzioni finanziarie europee che avevano già previsto tale misura.

La strategia italiana

Le vaste implicazioni della minaccia cibernetica sono state all’origine delle norme introdotte, prima con la legge n. 133/2012 e poi con il DPCM del 19/3/2013 n. 66. L’Italia ha oggi la sua strategia per la cyber security. Il decreto definisce “l’architettura istituzionale deputata alla tutela della sicurezza nazionale relativamente alle IC materiali e immateriali, con particolare riguardo alla protezione cibernetica e alla sicurezza informatica nazionali, indicando a tal fine i compiti affidati a ciascuna componente e i meccanismi e le procedure da seguire ai fini della riduzione della vulnerabilità, della prevenzione dei rischi, della risposta tempestiva alle aggressioni e del ripristino immediato della funzionalità dei sistemi in caso di crisi”. La norma si articola su tre distinti livelli d’intervento, di cui il primo di indirizzo politico e coordinamento strategico al quale è affidata l’elaborazione di un piano nazionale per la sicurezza dello spazio cibernetico. E in effetti, il 18 dicembre 2013, il Governo ha approvato tale piano (pubblicato sulla Gazzetta Ufficiale n.41 del 19 febbraio 2014). Il secondo livello d’intervento prevede il supporto con funzioni di raccordo nei confronti di tutte le amministrazioni ed enti competenti per l’attuazione degli obiettivi e delle linee di azione indicate dalla pianificazione nazionale. Il terzo livello è quello di gestione delle crisi, con il compito di curare e coordinare le attività di risposta e di ripristino della funzionalità dei sistemi, avvalendosi di tutte le componenti interessate. Infine, un’ulteriore e specifica esigenza di coordinamento si pone riguardo alla gestione operativa delle crisi e all’adozione delle misure necessarie al ripristino della funzionalità dei sistemi. Tale coordinamento è individuato nel “Tavolo interministeriale di crisi cibernetica” che, per gli aspetti tecnici di computer emergency response, si avvale del CERT nazionale istituito presso il ministero dello Sviluppo economico ai sensi del decreto legislativo n. 259/2003.

La sicurezza in banca

Per affrontare e dibattere il tema, i principali attori della sicurezza in banca e nella finanza si sono incontrati a Milano poco prima dell’estate per l’annuale summit Banche e Sicurezza 2014. L’evento – organizzato e ospitato dall’Associazione bancaria italiana (ABI -www.abi.it), in collaborazione con l’Osservatorio in materia di sicurezza (www.ossif.it) e ABI Lab (www.abilab.it) – è la sede più importante e qualificata per fare il punto sullo stato dell’arte, sulle prospettive future e sulle più innovative metodologie e tecnologie per la sicurezza nella finanza. L’incontro annuale è unico nel suo genere, sia per la visione privilegiata sul settore sia per il coinvolgimento istituzionale. L’obiettivo, anche quest’anno, è stato quello di rispondere alla crescente attenzione verso tutte le problematiche della protezione del patrimonio aziendale da eventi di natura accidentale e non, potenzialmente in grado di colpire le risorse umane, finanziarie, informatiche e strumentali della banca.

L’ABI e la Convenzione Interbancaria per i problemi dell’automazione (CIPA) hanno emesso l’annuale “Piano delle attività in materia di automazione interbancaria e sistema dei pagamenti” (per il periodo 2014-metà 2015), che raccoglie le principali attività progettuali e quelle di analisi e studio promosse dalla Banca d’Italia, dalla stessa CIPA, dall’ABI, dai Consorzi BANCOMAT, CBI e ABI Lab, da OSSIF e dai centri applicativi. Il piano è orientato a una forte integrazione europea delle infrastrutture, dei mercati e degli strumenti della finanza e dei sistemi di pagamento e fotografa anche i fenomeni della sicurezza informatica in termini di: utilizzo dell’ICT, investimenti, progetti e priorità dell’intero sistema bancario. In ambito BRI (Banca dei Regolamenti Internazionali), il Committee on Payment and Settlement Systems (CPSS) sta monitorando la rilevanza delle minacce cyber per le infrastrutture di mercato e per gli overseer. Ai lavori partecipano l’Organizzazione internazionale delle autorità di controllo dei mercati finanziari (IOSCO), il Comitato di Basilea per gli standard bancari (BCBS), operatori ed esperti esterni alle banche centrali. In materia di business continuity e sicurezza proseguono le iniziative del CODISE (Gruppo di Lavoro sulla continuità operativa del sistema finanziario coordinato da BI), attraverso lo svolgimento di esercitazioni annuali e lo sviluppo di nuove metodologie per l’analisi dei rischi. L’Osservatorio sicurezza e frodi informatiche, costituito da banche, outsourcer interbancari, partner ICT, referenti Istituzionali e della polizia postale e delle comunicazioni, prosegue il percorso di approfondimento intrapreso nell’ottica di promuovere un presidio di ricerca continuo e completo sulla sicurezza e sulla gestione delle frodi informatiche. Continua inoltre la focalizzazione sull’evoluzione normativa e saranno realizzati approfondimenti sugli impatti derivanti dal recepimento delle raccomandazioni BCE sulla sicurezza degli Internet Payments, dalla revisione della PSD – Payment services directive – e dalle nuove disposizioni della BI in materia di vigilanza prudenziale. La Banca d’ItaIia partecipa ai lavori dello “European Forum on the Security of Retail Payments” (SecurePay Forum). Nel febbraio 2013, la BCE ha pubblicato il rapporto “Recommendations for the security of internet payments”, che contiene le raccomandazioni in materia di sicurezza per i pagamenti via Internet; esse dovranno essere trasposte nelle regolamentazioni nazionali entro il primo febbraio 2015. I principali aspetti riguardano la fase di inizializzazione del pagamento (metodi di “autenticazione forte” dell’utente, vincoli sulla sessione transattiva, presidi di monitoraggio sulla fase di inoltro della transazione), l’implementazione di misure di sicurezza per mitigare i rischi di utilizzo fraudolento e la fase di assistenza del consumatore (con appositi sistemi di alerte la verifica dei movimenti effettuati). In parallelo, la BCE ha emesso le “Recommendations for payment account access services” che riguardano la sicurezza dei servizi Internet forniti da soggetti terzi che – interponendosi tra l’utente e la banca (o altro prestatore di servizi di pagamento) – consentono al cliente di effettuare pagamenti, accedendo al proprio conto. La Banca d’Italia, nel ruolo di ente titolare del trattamento dei dati della Centrale di Allarme Interbancaria (CAI), svolge – infine – una costante azione di controllo sulle segnalazioni trasmesse dagli intermediari e sulla gestione dell’archivio da parte della SIA. Inoltre, è in corso il progetto per la realizzazione di un data warehouse, finalizzato a rendere più efficaci i processi di analisi delle segnalazioni di operazioni sospette attraverso l’integrazione di tutte le fonti informative interne all’Unità di informazione finanziaria (UIF), di quelle della Banca d’Italia e delle fonti esterne.

La sicurezza integrata

Lo scenario delineato fino a questo punto configura la sicurezza come un’attività sempre più trasversale, che coinvolge all’interno della banca strutture differenti e personale non sempre consapevole dei possibili rischi. Anche la pervasività della tecnologia suggerisce un approccio integrato, secondo una gestione per processi in grado di coinvolgere in maniera trasversale tutte le strutture interessate: sicurezza logica, business continuity, sicurezza fisica, business intelligence. Occorre, in sostanza, avere una visione di sistema, collaborando strettamente con il sistema bancario, il sistema nazionale ed europeo di sicurezza. Le azioni da porre in essere devono configurarsi secondo una dimensione interna (sicurezza integrata) ed esterna alla banca e coinvolgere anche le istituzioni (sicurezza di sistema). La valenza strategica della sicurezza nell’attuale contesto competitivo è fuor di dubbio, ma gestire i rischi in ottica di sicurezza integrata vuol dire rispondere a una richiesta precisa e pressante che impone di acquisire una complessa visione d’insieme e di fare le scelte giuste. Occorre quindi pianificare e implementare un’organizzazione di sicurezza, come previsto dalla normativa PCI (Payment Card Industry), che sia in grado di far “girare” il sistema in modo adeguato per raggiungere al tempo stesso sia gli obiettivi di business sia di sicurezza.

A tal fine è fondamentale rivedere il modello di approccio, trasformandolo come elemento centrale di una strategia maggiormente focalizzata. In questo senso, la governance della sicurezza deve essere inserita all’interno di un processo direzionale. La BCE ha emesso linee guida, riprese poi da CIPA, che mettono in evidenza i cinque processi fondamentali: 1) gestione del rischio informatico; 2) controllo dell’attività di change management; 3) controllo delle fasi di test e accettazione in produzione; 4) gestione degli incidenti; 5) business continuity management, che caratterizzano la gestione della cyber security.

La migliore risposta alla gestione della sicurezza della banca è, comunque, l’adozione della metodologia basata sul “security management maturity model”. Come tutti i modelli “maturity model”, l’approccio si basa sul raggiungimento graduale di livelli di maturità interni, in questo caso quattro, attraverso la misurazione della propria situazione attuale e la conseguente adozione di strumenti e processi che eliminino i punti di debolezza. Per esempio, nel caso dell’ISM3 (Information Security Management Maturity Model consortium) i livelli prevedono quattro step: threat defense; compliance and defense in depth; risk based security; business oriented. È quindi evidente che oggi il tema della sicurezza costituisce una questione di competenza dell’alta direzione in quanto richiede necessariamente di conciliare l’efficacia della prevenzione e delle contromisure con l’ottimizzazione delle risorse da impiegare. Gestire i rischi in ottica di sicurezza integrata e di sistema vuol dire rispondere a una richiesta precisa e pressante del mercato che impone alla banca di acquisire una complessa visione d’insieme: le criticità della singola filiale e la tutela del dipendente, le esigenze di interlocutori esterni sempre più diversificati, l’autenticazione robusta, la difesa del patrimonio informativo, la prevenzione rispetto alle minacce derivanti dalla escalation verso il cyber attack – sono solo i principali aspetti di questa visione. In azienda, questo non significa “semplicemente” proteggere l’IT, ma realizzare un’infrastruttura sicura e “resiliente”, considerando quindi anche la continuità dei processi e delle operazioni di business. Significa – in altre parole – progettare i servizi IT, a partire dalle applicazioni per esempio, affinché siano intrinsecamente sicuri: una sicurezza by design che si può raggiungere non solo nelle nuove organizzazioni, ma si può impostare come approccio evolutivo dell’IT. Ma significa anche che tutti i processi di business, lo sviluppo dei prodotti e le attività operative quotidiane devono essere progettate per essere sicure.

Contromisure

Al fine di massimizzare le azioni di contrasto e prevenzione, è sempre più importante e strategico dotarsi anche di strumenti evoluti e continuamente aggiornati, in grado di eseguire un presidio costante degli accessi, delle operazioni e della rete. Alle soluzioni tecnologiche si devono affiancare le iniziative internevolte ad accrescere il livello di conoscenza e familiarità dei dipendenti con i fenomeni fraudolenti. Per quanto riguarda l’organizzazione e la tecnologia, le azioni principali da metter in campo all’interno della banca sono:

• Accurato risk assessment che contempli anche il rischio APT.
• Adozione di sistemi di cifratura e data loss prevention (DLP).
• Continuo pathcing dei sistemi operativi.
• Adozione di framework di sicurezza nello sviluppo software.
• Segmentazione delle reti e separazione delle funzioni aziendali.
• Adozione di sistemi di strong authentication.
• Monitoraggio del traffico entrante e uscente.
• Analisi anomalie utilizzo dei sistemi informativi.
• Costituzione del CIRT(computer incident response team).
• Attività di cyber intelligence al fine di predire possibili minacce.

L’adeguata verifica della clientela è un aspetto rilevante dell’azione preventiva di contrasto e richiede l’identificazione e l’autenticazione dei dati acquisiti e la verifica nei confronti del beneficiario sostanziale – titolare effettivo – quando il cliente è una persona giuridica o effettua un’operazione per conto di altri soggetti. Il presidio migliore per la prevenzione del rischio è quello dell’autenticazione a due fattori, basata, ad esempio, su smart card contenenti certificati digitali e codice PIN o su token e PIN.

Conclusioni

La sicurezza nel settore della finanza è da sempre un aspetto strategico che incide, in misura sempre maggiore, sul core business e che può diventare determinante nell’attuale scenario competitivo. L’attivazione del circolo virtuoso – “più sicurezza uguale più qualità dell’offerta e maggiore fiducia della clientela” – assume importanza determinante nell’attività finanziaria, che sul trattamento delle informazioni e sulla costruzione di un rapporto di fiducia con i clienti fonda la propria operatività. La minaccia cibernetica, per la sua natura diffusa, incontrollata e transnazionale, rappresenta quindi una delle sfide più impegnative per la banca. Si profilano all’orizzonte importanti e crescenti rischi che vanno sotto il nome di APT, cioè attacchi prolungati nel tempo e focalizzati su specifici obiettivi, come risultato del processo di evoluzione e sofisticazione degli “attaccanti”. Questi, infatti, non sono più rappresentati dal singolo hacker dilettante, ma da vere e proprie organizzazioni criminali che stanno abbandonando la rapina e la frode tradizionale per dedicarsi alla frode informatica e al cyber attack. In sostanza, si sta passando dalla “info security” alla “cyber security”. Nelle banche – quindi – è in atto un mutamento sostanziale nella concezione della sicurezza: la realizzazione del modello di “sicurezza integrata e di sistema”. Gestire i rischi in ottica di sicurezza integrata, globale e di sistema vuol dire rispondere a una richiesta precisa e pressante del mercato che impone alla banca di acquisire una complessa visione d’insieme: le criticità della singola filiale e la tutela del dipendente, le esigenze di interlocutori esterni sempre più diversificati, l’autenticazione robusta, la difesa del patrimonio informativo, la prevenzione rispetto alle minacce derivanti dalla escalation verso il cyber attack, sono solo alcuni tra i principali aspetti di questa visione. La migliore risposta alla gestione della sicurezza della banca sembra essere l’adozione dell’approccio per processi e della metodologia basata sul “security management maturity model”, oltre agli standard come il PCI. Tale nuovo approccio consente di concentrare la responsabilità delle varie direzioni in un unico punto di raccordo e di gestione al più alto livello manageriale e di gestire il fenomeno anche all’esterno con i necessari raccordi con il sistema bancario ma anche con il sistema di sicurezza nazionale ed europeo. Fare le scelte giuste in questo campo può fare la differenza.

L'articolo Cyber security nel finance. Il sistema europeo per le infrastrutture critiche proviene da Data Manager Online.