Gli incidenti di sicurezza, che si sono succeduti negli ultimi due anni senza soluzione di continuità, hanno delineato lo scenario cyber dei prossimi anni. C’è stato WannaCry e la piaga del ransomware. Ci sono stati Petya e Mirai. La vicenda Yahoo! e la voragine Equifax. Il colpo da 81 milioni di dollari alla Banca Centrale del Bangladesh, sfruttando una vulnerabilità del sistema Swift; il leak al Comitato Elettorale del Partito Democratico USA; l’attacco a DYN, uno dei più importanti provider DNS della costa orientale USA. E ancora prima, i 20mila clienti della britannica Tesco Bank, derubati del loro denaro da una banda di cybercriminali. Senza dimenticare, l’attacco alla Farnesina, la vicenda Hacking Team oppure l’attacco alla rete elettrica ucraina. Attacchi informatici su scala globale che hanno messo a nudo i rischi di sicurezza per cittadini e aziende. E per il paese in rete. Oggi, è la volta di Meltdown e Spectre. Vulnerabilità interne ai microprocessori. Portate alla luce dai ricercatori del team Google Project Zero in collaborazione con altri gruppi indipendenti di ricerca. Rivelazioni che hanno messo alle corde i principali produttori del settore, costringendoli ad ammettere che la stragrande maggioranza di quelli sfornati negli ultimi dieci anni, utilizzati su PC e tablet, server, router e smartphone sono vulnerabili. Bug interni ai processori. Classificati in due varianti, Meltdown, due vulnerabilità, le più datate e Spectre, una vulnerabilità, la più recente e anche la più grave. Falle connesse alla cosiddetta “esecuzione speculativa”, una funzionalità con cui i processori, per velocizzare le operazioni, scommettono su una strada che giudicano come la più probabile tra le due possibili, e sulla base di questa scelta iniziano a eseguire i calcoli ancor prima di ricevere le istruzioni.

«In altre parole, in quel meccanismo con cui le CPU moderne cercano di “predire” cosa dovranno fare nei prossimi cicli, accelerando l’esecuzione dei programmi» – come ci spiega Mauro Cicognini, membro del comitato direttivo di CLUSIT, l’associazione Italiana per la Sicurezza Informatica. Vulnerabilità che sfruttano un difetto di progettazione. «Uno schema progettuale vecchio almeno di vent’anni, utilizzato per aumentare la prestazione dei chip» – mette subito in chiaro Michele Colajanni, direttore del Centro di Ricerca Interdipartimentale sulla Sicurezza e Prevenzione dei Rischi (CRIS) e del corso in Cyber security dell’Università di Modena e Reggio Emilia. Difficile stabilire con precisione a quando risalga la scoperta. Secondo alcuni, si tratta di una falla nota sin da quando questa intuizione progettuale è stata adottata nel disegno dei processori. È quello che per esempio ha dichiarato Amazon – non esattamente il meno informato degli operatori del settore – in una nota ai suoi clienti dei servizi cloud. Altri tendono a spostare la scoperta più in là nel tempo. «La vulnerabilità esiste da molti anni, ma non penso fosse nota da altrettanto tempo» – afferma Colajanni. «Di certo, non è una falla degli ultimi giorni o mesi. Diciamo che in certi ambienti se ne parla dal 2017». Difficile datare con precisione il momento in cui è stata individuata la vulnerabilità. Sappiamo che questo “buco” nella sicurezza consente di accedere alla memoria dei dispositivi – tutti i dispositivi che montano un processore costruito negli ultimi dieci anni indipendentemente dal sistema operativo installato – e sottrarre i dati presenti. Senza lasciare tracce. Immediatamente dopo le prime rivelazioni, anche IDC ha confermato la gravità della minaccia. Ma nel quadro generale, limitata, perché sono pochi coloro che sono veramente in grado di sfruttarla.

#ZeroTrust, pensare al software, all’hardware e ai prodotti di sicurezza, come a qualcosa di intrinsecamente non sicuro. E agire di conseguenza #sicurezza #design #CPU
Click To Tweet

UN DANNO PER INTEL MA NON SOLO

Secondo alcuni, questa vicenda ha tutto il potenziale per mandare in frantumi l’immagine di uno dei giganti dell’industria così come la conosciamo. Che non è solo quella dell’azienda che detiene con l’80 per cento del mercato nel campo dei microprocessori per PC e server. Ma molto, molto altro. Un concetto ribadito dal CEO Brian Krzanich, al recente CES di Las Vegas. Uno speech in cui il boss del gigante di Santa Clara dopo aver liquidato in meno di due minuti le osservazioni su Meltdown e Spectre ha illustrato per gli altri 38 tutte le attività in corso – dalla collaborazione con la scuderia Ferrari, che utilizzerà le tecnologie Intel per sfruttare i dati delle corse a vantaggio di piloti e tifosi, all’auto a guida autonoma, passando per l’intelligenza artificiale al servizio delle imprese – senza più quasi nemmeno nominare, e anche questo è a suo modo un esercizio di equilibrismo interessante, il termine “processore”. Che poi è il “cuore”, o meglio la “mente” di ogni computer, e soprattutto, quello che ha permesso a Intel di macinare fatturati e utili miliardari per quasi cinquant’anni. Una grande storia di successo narrata in tanti libri di economia. Puntellata tuttavia anche da cause legali e sanzioni milionarie. Culminate nel maggio del 2009 con la multa da 1,06 miliardi di euro, comminata dall’Antitrust europeo per abuso di posizione dominante e sei mesi più tardi con l’accordo extragiudiziale da 1,25 miliardi di dollari con la rivale storica AMD. Un passato di cui, c’è da scommettere, si riparlerà ancora molto. Principalmente dopo le recenti indiscrezioni sulla vendita di azioni Intel per oltre 39 milioni di dollari da parte dell’attuale CEO. Una vendita effettuata con largo anticipo rispetto alle rivelazioni su Meltdown e Spectre, ma ugualmente sospetta. Tanto da risvegliare l’interesse della SEC, la Consob statunitense, al lavoro da mesi per fare chiarezza sull’operazione. Improbabile che queste vulnerabilità possano impattare sui dati di vendita di Intel, spostando gli equilibri in termini di quote di mercato. «Non credo ci sarà alcun impatto percepibile sulle vendite di Intel, anche perché come possono i suoi concorrenti dimostrare di essere più sicuri? Esiste forse un qualche standard, o almeno una metrica, che possa misurare questa maggiore sicurezza, in un modo logicamente robusto, e accettabile dal mercato?» – osserva Mauro Cicognini di CLUSIT. Rischioso però escludere a priori che altre vicende interne, come la variazione delle regole contro i pericoli dell’insider trading, non possano riservare altri colpi di scena. Il mercato, in qualche occasione, ha dimostrato di non perdonare. Nel frattempo, è ormai storia la notizia del sorpasso di Samsung tra i produttori di chip. Un evento che sancisce la fine del dominio Intel su questo mercato che risale ai primi anni 70.

UNA GESTIONE DELLA CRISI DA MANUALE

I problemi per il gigante di Santa Clara potrebbero essere appena iniziati. Tuttavia – guai di Intel a parte – la vicenda Meltdown e Spectre offre molti altri spunti interessanti di riflessione. Mantenere un segreto il più delle volte è un’impresa quasi disperata. In questa occasione, chi ha pilotato tutta la vicenda ha dato prova di grande maestria. «Google si è comportata in modo esemplare: appena scoperta la vulnerabilità e verificata la possibilità di sfruttarla, ha informato in modo riservato Intel, AMD e ARM, i responsabili della comunità Linux e Microsoft» – afferma Colajanni del CRIS, sottolineando altresì l’assenza di speculazioni come in altre occasioni. «Le vicende Equifax e Sony sono state gestite molto peggio. La tempestività degli aggiornamenti sarebbe un indizio sul tempo che le imprese coinvolte hanno avuto per prepararsi a gestire la crisi. Le patch uscite in questi giorni sono talmente invasive che non è possibile credere siano state messe a punto in una settimana. Sono il frutto di mesi di lavoro. Appena si è avuta notizia delle vulnerabilità, in un paio di giorni c’erano già le patch». Attività che secondo Colajanni rivelano un alto grado di coordinamento e di preparazione. E anche, se vogliamo, di segretezza. «Solo scalfita da qualche “spiffero”, come la dimostrazione effettuata da un gruppo di ricercatori di Londra nel mese di novembre».

#sicurezza #design #CPU L’impatto degli aggiornamenti sulle performance dei processori oscilla tra il 5 e il 30 per cento. Ma molto dipende dalle applicazioni – dati @IDCItaly
Click To Tweet

TESTARE HARDWARE E SOFTWARE

Dalla vicenda, emerge l’importanza di testare adeguatamente hardware e software commercializzati. «Il testing dei prodotti è un problema. Budget e tempi dedicati a questa attività sono sempre più compressi» conferma Colajanni. «Prendiamo il software. Si stima che l’ultima versione del sistema operativo di Microsoft contenga qualcosa come cinquanta milioni di righe di codice. Data la complessità degli applicativi, un errore di programmazione durante la scrittura del codice è molto probabile. Nel caso dell’hardware, la fase di testing richiede ancora più impegno. I microprocessori sono tra i dispositivi più complessi in circolazione. Miliardi di transistor la cui progettazione è diventata impossibile senza l’ausilio di computer in grado di semplificare la complessità. Per i costruttori si tratta di un processo che richiede più tempo rispetto ai produttori di software. «Testare i processori è un processo lento e difficoltoso. E che comunque non mette al riparo da errori» – conferma Colajanni. Come dimostrano i listati di “errata”, correzioni, che i costruttori forniscono insieme alle specifiche dei loro prodotti. In alcuni casi, si tratta solo di seccature. In altri, ed è questo il caso, possono mettere in serio pericolo la sicurezza. Testare l’hardware secondo alcuni esperti presenta più difficoltà rispetto al software. E gli errori, i bug dell’hardware possono avere conseguenze più gravi. Principalmente per via del ruolo svolto dall’hardware nel funzionamento di un computer. Mentre il software in estrema sintesi è una lista di istruzioni, il compito del microprocessore è quello di eseguirle correttamente. Complessità che induce a ritenere che i dispositivi fisici siano anche più difficili da patchare da remoto rispetto al software. E che, in qualche caso, sia addirittura impossibile farlo.

SOSTITUIRE PARTE DELL’HARDWARE

«Queste vulnerabilità sono un effetto “collaterale” dell’obiettivo di velocizzare l’esecuzione dei processi. Purtroppo, causano la possibilità di accedere a spazi di memoria arbitrari con le conseguenze che tutti possono immaginare. Detto questo separerei i problemi dalle soluzioni» – riprende Colajanni del CRIS, stemperando i toni. «Sono certo che nel progetto dei nuovi processori si terrà conto di queste vulnerabilità, provvedendo by design». In effetti, sembra che i rischi di sicurezza associati a Meltdown possano essere risolti con le patch già a disposizione sui principali sistemi operativi. Un rimedio temporaneo e non una soluzione definitiva? Staremo a vedere. Per quanto riguarda Spectre, il problema è più grave. Plotoni di sviluppatori sono al lavoro per trovare un cerotto per mitigare il problema. Ma sono in molti a temere che l’unico rimedio efficace sia quello di riprogettare i processori vulnerabili e procedere con la loro sostituzione. Con un esborso di miliardi di euro e tempi non prevedibili.

#sicurezza #design #CPU L’importanza di un ecosistema di testing più affidabile. Patchare in fretta tutti i sistemi a rischio. I costi dell’insicurezza scaricati sulle aziende @Clusit
Click To Tweet

COSTI EXTRA IN VISTA PER LE AZIENDE

Patching dei sistemi. La falla è grave. Ora tocca correre ai ripari. Per parare il colpo si renderà necessario patchare in fretta tutti i sistemi a rischio. «Un’attività extra da pianificare, stilando una lista delle priorità, e che inciderà in modo significativo sull’operatività dell’azienda. Allocate le risorse, bisognerà testare e poi procedere con la distribuzione delle patch sui sistemi» – afferma Cicognini di CLUSIT. Il suggerimento è di procedere con gli aggiornamenti in modo ragionato. Sottolineando la necessità di vagliare l’opportunità di un patching massivo. Il consiglio di vendor ed esperti è di partire con l’update manuale dei sistemi non critici. In modo da assicurarsi la compatibilità del software con applicazioni e sistemi non bloccanti per l’azienda. L’altro aspetto molto dibattuto è l’impatto degli aggiornamenti sulle performance dei processori. Le prime stime degli analisti di IDC ipotizzavano un degrado delle prestazioni oscillante tra il 5 e il 30 per cento. Previsioni in seguito confermate dai dati provenienti dagli stessi vendor e dalle prove sul campo. «Molto dipende dalle applicazioni» – ci dice Colajanni del CRIS. «Ci sono applicazioni più “computationally intensive” – che comportano cioè un uso intensivo delle risorse del sistema – per le quali il rallentamento sarà più sensibile. Altre, per le quali l’input/output è il collo di bottiglia prevalente, per cui non si noterà alcun degrado di prestazioni. Per certo, le prime subiranno un calo, ma tenendo conto dell’evoluzione dei processori, sarà ben compensato». In ogni caso, rimediare a queste vulnerabilità inciderà sui costi di aziende e organizzazioni. In una misura variabile a seconda del mix di asset di ognuna. Chi dispone prevalentemente di pc on-premise subirà un certo tipo di impatto. «Le grandi aziende che hanno già attivato processi e sistemi di patch management non ne risentiranno più di tanto» – sottolinea Colajanni. «Per le altre invece, è bene che usino questo caso per attivarne uno, in quanto per loro sarà molto più costoso, soprattutto in termini di gestione e di impatto sulla continuità operativa». Chi invece si affida anche a macchine virtualizzate, infrastrutture in cloud e risorse condivise, processori compresi, dovrà agire diversamente. «In questo caso si tratterà di verificare la diligenza del fornitore di servizi cloud nell’aggiornare i sistemi» – spiega Cicognini.

DIFFICOLTÀ DI AGGIORNAMENTO

Per tutti, l’aggiornamento dei sistemi sarà un costo. Anche per via della valanga di aggiornamenti arrivati in queste settimane dai vendor. «Il vero problema – osserva Colajanni – sarà per quei casi in cui le patch sono difficili se non impossibili da applicare. Per questi scenari non c’è una vera soluzione». La buona notizia è che Meltdown sembra sia patchabile. Non così Spectre. Mitigabile, pare, solo con aggiornamenti al microcode. La risoluzione del problema alla radice – però – è demandata alla sostituzione dei processori affetti dal problema. Si stima che un nuovo processore progettato oggi arriverà sul mercato non prima di 36/60 mesi. Perciò la scelta di aggiornare il microcode – fermo restando la complessità di distribuire questo tipo di patch da parte dei costruttori – è probabilmente al momento la miglior opzione disponibile. Nel frattempo, le aziende dovranno correre ai ripari per ovviare al problema con metodologie note. «I rischi si possono attenuare con i soliti metodi: multipli livelli di protezione, accesso limitato e controllato, sistemi di detection più sofisticati» – suggerisce Colajanni.

#sicurezza #design #CPU Update e continuità operativa on-premise e cloud. Le vulnerabilità incideranno sui costi di aziende e organizzazioni a seconda del mix di asset @UNIMORE_univ #CRIS
Click To Tweet

UN ECOSISTEMA DI TESTING

L’importanza di un ecosistema di testing più affidabile è al centro del dibattito alimentato da esperti e sviluppatori. Ribadito che testare rappresenta un costo non trascurabile per i produttori, anche in vista dei nuovi piani di sostituzione dei microprocessori da parte dei produttori di chip che subiranno una decisa accelerazione con costi non prevedibili – come rileva IDC – questa ennesima vulnerabilità prova che quando in questa fase qualcosa va storto, i costi dell’insicurezza vengono scaricati dall’industria su aziende e organizzazioni. È chiaro che se la quasi totalità dell’installato in circolazione ha un difetto, la sostituzione di tutti i componenti inciderà – e molto – sulla struttura dei costi degli utilizzatori finali. Detto questo, bisognerà convivere con l’idea di essere esposti al pericolo di attacchi. Verosimilmente, l’hardware installato invecchierà con questa tara, che finirà per allinearsi ai ritmi consolidati di sostituzione dell’hardware. La buona notizia? Il probabile consolidamento del cosiddetto approccio “zero trust”. L’orientamento cioè di chi suggerisce di pensare al software, all’hardware e ai prodotti di sicurezza, come a qualcosa di intrinsecamente non sicuro. E agire di conseguenza.

L'articolo I bug dei signori del silicio che pagheremo noi proviene da Data Manager Online.

Se si prova a digitare “hacked” in qualsivoglia motore di ricerca dopo aver indirizzato la caccia verso lo specifico target delle notizie di cronaca correlate a quel termine, si scopre che le vittime di incursioni informatiche sono capillarmente distribuite in ogni angolo del Pianeta. Gli attacchi strutturati, le epidemie di virus e di altri “bacilli” tecnologici, le vulnerabilità dei software più diffusi e i tradimenti del personale-chiave sono alcuni degli ingredienti dell’indigesto menu che quotidianamente tocca in sorte.

Tra le vittime illustri degli ultimi giorni c’è stato Equifax e chi si affretta a dire che è storia vecchia forse non sa che il colosso americano dell’informazione per la gestione del credito ci è cascato di nuovo. Dopo essersi fatto scippare i dati riservati di oltre 140 milioni di persone (le cui “radiografie” finanziarie sono finite nelle fauci di chissà quanti malintenzionati o semplicemente nelle mani di tutt’altro che sprovveduti speculatori), il sistema informatico di Equifax è tornato (e lo sarà ancora per chissà quanto) nel mirino dei pirati digitali. L’ultima beffa ha riguardato il sito web che ha indirizzato gli utenti a compiere un improvvido aggiornamento di Adobe Flash, con la connessione a una pagina fake che ha riservato brutte sorprese a chi non ha resistito all’irrefrenabile click del mouse sull’operazione suggerita fraudolentemente.

Tra le realtà imponenti rase al suolo dalla furia dei vandali hi-tech, spiccano le macerie delle precauzioni di sicurezza di T-Mobile, il ciclope tedesco delle telecomunicazioni mobili abbattuto da un novello Ulisse che è stato capace di portarsi via i dati personali di 76 milioni di utenti. Se si prova a immaginare quali informazioni possano essere nella disponibilità di un gestore telefonico, non è difficile comprendere la gravità di un simile “leaking” o silente furto virtuale. Non tranquillizza nemmeno il venire a conoscenza che gli hacker al soldo di Kim Jong-Un, il “vivace e giocherellone” nordcoreano, sarebbero riusciti a violare le protezioni dell’architettura tecnologica dei loro “vicini di casa”. Il deputato democratico Rhee Cheol-hee, dinanzi al Comitato per la Difesa dell’Assemblea Nazionale di Seoul, ha riportato che il saccheggio di documenti classificati è quantificabile in 235 gigabyte indebitamente carpiti al Defence Integrated Data Centre.

#CyberSecurity @Umberto_Rapetto Mai dire mai, purtroppo…
Click To Tweet

Si potrebbe continuare in un impietoso elenco di catastrofici episodi ma molto probabilmente non c’è alcuna necessità di proseguire in una sorta di giaculatoria di storie sfigatissime né di continuare a sgranare un rosario di mea culpa e invocazioni a Nostra Signora che continui a tutelarci da possibili inconvenienti.

Forse, potrebbe bastare qualche riflessione a freddo, magari prendendo spunto da questi avvenimenti per avviare una sorta di autodiagnosi propedeutica all’adozione delle iniziative più opportune. Il carnet dei resoconti apocalittici è in grado di soddisfare anche i palati più pretenziosi e di accontentare chi è convinto che nel proprio settore certe cose non possano verificarsi. Invece di partecipare a un convegno sulla cyber security per srotolare la consueta passerella e propalare le altrettanto consuete chiacchiere inconcludenti, varrebbe la pena mettersi a tavolino e analizzare un caso pratico e verificare quanto potrebbe “vestire” la propria realtà, pubblica o priva che sia. Qualche ragionamento ad alta voce può costituire l’occasione per accertare le condizioni di salute dell’organizzazione di appartenenza e per iniziare a tracciare un percorso “terapeutico” indispensabile per continuare le attività di competenza.

Dinanzi alle inevitabili similitudini con sgradevoli vicende che hanno riguardato altri a chissà quanti chilometri, varrà la pena di emulare Adriano Pappalardo e strillare il fatidico “Ricominciamo…”.

L'articolo Mai dire mai, purtroppo proviene da Data Manager Online.

Dalle nostre parti, non se ne è nemmeno parlato. Quei pochi che lo hanno fatto non hanno trovato il seguito che la notizia avrebbe meritato. Come Leonardo DiCaprio e Kate Winslet nella scena simbolo del film Titanic, chi si dovrebbe occupare di sicurezza ha continuato a godersi la navigazione, accarezzato dal vento a prua. Gli altri, con le differenti rispettive responsabilità, non hanno smesso di ballare. è la drammatica storia di Equifax, colossale agenzia statunitense di controllo dei crediti la cui privacy è affondata a seguito di un micidiale data breach. La violazione dei sistemi e la sottrazione dei dati ad altissima criticità non hanno danneggiato soltanto lo scafo dell’immaginario bastimento di Equifax, ma hanno fatto affogare la riservatezza di tutte quelle persone le cui informazioni personali erano custodite nei non blindatissimi archivi elettronici presi di mira. Poca roba. Cosa sarà mai la privacy di 143 milioni di persone che hanno saputo che i loro dati sensibili sono nella libera disponibilità di chissà quale malintenzionato? Che importanza può avere se il misfatto risale a maggio scorso, se gli addetti alla security e all’audit di Equifax se ne sono accorti solo il 29 luglio, se i poveri disgraziati – vere vittime dell’increscioso episodio – elencati nei database violati hanno avuto notizia unicamente il 7 settembre?

L’insensibilità a certi problemi è, quindi, distribuita capillarmente anche oltre oceano, ma una simile circostanza non può certo essere fattore di consolazione. Dovrebbe invece essere lo stimolo a riflettere su quel che è successo, sta accadendo e soprattutto potrebbe verificarsi in futuro. Immaginando una scena del crimine, e magari costruendo anche un plastico come tanto piace a Bruno Vespa e a tutti quelli che hanno nostalgia delle costruzioni con i mattoncini del Lego, possiamo prendere atto di quello che è capitato e scoprire che il disastro non è imputabile alla forza inaudita di chissà quale pirata tecnologico dalle inesauribili energie. In termini pratici, uno dei più imponenti saccheggi telematici è stato reso possibile dalla insipienza di chi avrebbe dovuto tutelare adeguatamente un patrimonio informativo così delicato. Da una parte è stato possibile appurare – per stessa ammissione di Equifax – che la falla nella robusta carena digitale non è stata dell’imponenza di un catastrofico iceberg, ma semplicemente dovuta a una banale vulnerabilità nel contesto Apache Struts. Come sempre è mancato un aggiornamento delle applicazioni, vuoi per pigrizia, vuoi per disattenzione o incompetenza, vuoi per risparmiare sugli eventuali costi di update e upgrade. D’altronde, lo si sa, gli unici a leggere i bollettini – con cui le aziende che producono software informano i clienti di possibili problemi e di corrispondenti soluzioni – sono i banditi particolarmente interessati a sapere (senza fatica) quali siano i buchi entro i quali andarsi a intrufolare.

#Equifax Violata la #privacy di 143 M di persone. Quale lezione da imparare? @Umberto_Rapetto
Click To Tweet

Ricordo quando, poco più di vent’anni fa, all’Autorità per l’Informatica pianificammo una newsletter e una pagina web per allertare le Pubbliche Amministrazioni su nuovi rischi e pericoli incombenti, analogamente a quel che faceva il National Infrastructure Protection Center americano. L’esperimento fu deludente perché gli unici visitatori degli avvisi online provenivano dal sottosuolo della Rete e quindi si decise di soprassedere. Non si è preparati ad affrontare nemmeno le insidie e le minacce di più basso profilo. E proprio il caso in esame è addirittura emblematico. Una indagine forense non ufficiale avrebbe portato ad appurare una situazione che ha dell’incredibile: più di un centinaio di utenti argentini abilitati all’accesso ai sistemi informatici di Equifax avrebbe utilizzato la straordinaria e tradizionale combinazione “admin/admin” come identificativo e password. Qualcuno se la sente di aggiungere altro?

L'articolo La lezione di Equifax proviene da Data Manager Online.

Di male in peggio. Equifax ha ammesso che nella cerchia dei suoi clienti coinvolti nell’hackeraggio di qualche settimana fa ce ne sono almeno altri 2,5 milioni non considerati in precedenza. La cifra porta a oltre 145,5 milioni il numero di americani interessati al furto dei dati personali, tra cui le generalità anagrafiche, codici sanitari, licenze di guida e molto altro. La società, nei giorni scorsi, aveva rilasciato maggiori informazioni circa i cittadini esteri vittime della vicenda: oltre 8 mila canadesi e più di 400 mila britannici rientrano nell’indagine portata a compimento da Mandiant, agenzia a cui Equifax si è rivolta per ottenere dettagli maggiori sul breach.

Cosa succede

“Mandiant non ha rilevato ulteriori attività di intrusione ai danni dei nostri server – ha spiegato Equifax – ma il loro lavoro ci ha permesso di ottenere un quadro definitivo sul database coinvolto”. In merito alla situazione si era espresso anche l’ex CEO della compagnia, Richard Smith, che a seguito dell’hacking aveva dato le sue dimissioni: “Sono debitore nei confronti di oltre 10 mila dipendenti che hanno dedicato la loro vita per rendere l’azienda migliore. L’incidente che ha coinvolto milioni di consumatori mi interessa in prima persona e dunque sono convinto che, a questo punto, sia giusto lasciare la guida nelle mani di chi potrà guidarla verso il futuro”. Le indagini forensi di Mandiant si sono concentrate sulla quantità di informazioni uniche sottratte ma non è detto che i tecnici non si siano messi all’opera anche per capire da dove arrivasse la minaccia. Stando agli aggiornamenti attuali, non è ancora chiara l’origine della minaccia, anche se l’ipotesi di hacker indipendenti è quella più probabile.

L'articolo Non c’è fine per Equifax: altri 2 milioni e mezzo di utenti coinvolti proviene da Data Manager Online.

Equifax ha rilasciato un commento ufficiale in cui conferma che i cyber criminali hanno avuto accesso a dati sensibili “sfruttando una vulnerabilità dell’applicazione web”.

Quali dati dei clienti sono stati rubati? Nomi, numeri di previdenza sociali, date di nascita, indirizzi e in alcuni casi, anche numeri di patente, secondo quanto riportato da Richard Smith, Chairman e CEO di Equifax. Inoltre Smith ha aggiunto che gli hacker hanno avuto accesso a circa 209.000 numeri di carte di credito e alcuni documenti con informazioni sensibili di circa 182.000 clienti.

C’è ancora molto da scoprire su questo attacco hacker; Bloomberg ha rivelato che tre senior executive di Equifax hanno venduto le proprie azioni per circa 1.8 milioni di dollari nei giorni successivi alla scoperta di questo attacco, ma prima dell’annuncio di giovedì. Non c’è da stupirsi che questo abbia fatto infuriare ulteriormente i clienti…

Equifax dovrà inoltre spiegare in cosa consista esattamente questa “vulnerabilità dell’applicazione web”. Gli hacker hanno sfruttato una vulnerabilità 0-day nel software del server o una già conosciuta e che aveva bisogno di una patch? Oppure si tratta di un attacco più semplice come la vulnerabilità che ha colpito di recente TalkTalk?

Come difendersi?

I dettagli di questo attacco saranno più chiari nei prossimi giorni e sebbene questo episodio non abbia coinvolto l’Italia, è importante tenere sempre a mente alcuni semplici ma fondamentali accorgimenti per mitigare il più possibile le conseguenze di un eventuale cyberattack:

• Prevedere uno strumento che consenta agli utenti di verificare se sono stati coinvolti nell’attacco. (Nel caso Equifax ad esempio sarà sufficiente inserire il proprio cognome e le ultime cifre del proprio numero di previdenza sociale. Qualora l’utente dovesse verificare di essere stato vittima degli hacker, riceverà assistenza immediata per poter accedere ai servizi gratuiti di protezione e monitoraggio del credito)
• Cambiare le proprie password e credenziali di accesso al sistema colpito
• Qualora le password di accesso al sistema o piattaforma vittima del cyberattack siano le stesse utilizzate per accedere ad altri servizi, modificare le password anche degli altri account. Il consiglio è di non usare la password a rischio.
• Creare nuove password complesse e dunque difficili da indovinare. Gli hacker utilizzano strumenti per sfruttare le password rubate su diverse piattaforme, che contengono dati più importanti, così possono massimizzare il loro “lavoro” e vendere questi dati rubati sul dark web.
• Includere nelle nuove password lettere minuscole e maiuscole, numeri e simboli. Sophos mette a disposizione degli utenti un video che spiega come creare una password efficace
• Oltre alla password bisogna prestare particolare attenzione anche alle domande di sicurezza: informazioni come il cognome di un genitore sono facilmente reperibili.
• Utilizzare un’autentificazione a due fattori

L'articolo Attacco hacker ad Equifax, oltre 143 milioni di americani in pericolo Commento Sophos proviene da Data Manager Online.

Equifax è un’agenzia di gestione del credito sui cui server sono presenti milioni di informazioni su cittadini statunitensi e stranieri. La scorsa settimana la compagnia ha ammesso di esser stata vittima di una serie di intrusioni, tra maggio e luglio di quest’anno, che hanno permesso agli hacker di accedere ai dettagli di circa 143 milioni di americani, in pratica il 44% di tutti i residenti sul suolo USA. Tra i dati sottratti ci sarebbero le generalità, i numeri delle tessere sanitarie, date di nascita, indirizzi di abitazione e persino i seriali delle patenti di guida, utili per effettuare corpose operazioni di social engineering o semplicemente di ricatto nei confronti dei malcapitati.

Minaccia globale

Nel concreto questo potrebbe essere l’hack dell’anno, almeno in termini di utenza esposta alla violazione. Il problema è che Equifax serve consumatori anche oltreoceano, in Europa, e dunque è probabile che all’interno delle liste trafugate vi siano persone anche residenti altrove. Anzi, i ricercatori sembrano aver già riscontrato clienti nel Regno Unito e in Canada, seppur in numero limitato. Richard Smith, CEO della compagnia ha detto: “Si tratta di un evento che ci danneggia come società e che ci colpisce al cuore di ciò che facciamo e del business che trattiamo. Mi scuso con i consumatori per la frustrazione creata. Vogliamo distinguerci come soggetto che sa come gestire e proteggere i dati sensibili di chi si affida ai nostri servizi ed è per questo che stiamo conducendo un’attenta analisi sulle operazioni di sicurezza interne”. Equifax ha aperto un sito web su cui chiunque può controllare se le proprie informazioni rientrano tra quelle sottratte dagli hacker.

Però attenzione all’inghippo: come si legge nel disclaimer del sito, ricercando i propri dati sul portale si perde il diritto a citare eventualmente Equifax per danni.

L'articolo Hacker contro Equifax: 44% degli americani colpiti proviene da Data Manager Online.