Matilde Gioli

Nel 25% dei casi, la causa è stata l’accettazione da parte degli utenti di notifiche push MFA fraudolente, mentre nel 21% è stata rilevata l’assenza di un’implementazione corretta dell’MFA. Nonostante negli ultimi anni ci siano stati molti progressi per quanto riguarda l’implementazione dell’autenticazione a più fattori all’interno delle aziende, i criminali informatici continuano a prendere di mira gli account protetti dall’MFA per poter accedere ai sistemi informativi aziendali.

Gli attacchi MFA

La tipologia più comune di attacchi che Cisco Talos ha dovuto gestire ha utilizzato le notifiche push MFA non autorizzate da parte degli utenti. Questa situazione si verifica quando l’aggressore tenta di autenticarsi ripetutamente a un account utente con credenziali valide al fine di sommergere le vittime di notifiche push MFA fino a quando, per esasperazione, la vittima accetta permettendo l’accesso. Cisco Duo, l’azienda di Cisco che si occupa di servizi di autenticazione multi-factor (MFA) e di accesso sicuro, ha rilevato, da giugno 2023 a maggio 2024, circa 15.000 attacchi basati su notifiche push. Cisco Duo ha inoltre constatato che il momento in cui avvengono questi attacchi è principalmente l’inizio della giornata lavorativa, quando gli utenti si autenticano per accedere ai sistemi aziendali.

Ecco i principali metodi, oltre alle notifiche push, utilizzati per eludere le difese MFA:

1. Token di autenticazione rubati. I criminali utilizzano i token di sessione rubati ottenendo così un’identità legittima che gli permette di accedere ai sistemi aziendali.
   
2. Ingegneria sociale del reparto IT. In genere, un aggressore si spaccia per qualcuno che la vittima conosce e cerca di trasmettere un senso di urgenza e importanza alle sue comunicazioni per incoraggiarlo a cliccare sul suo messaggio. Una volta ottenute le credenziali, il criminale le utilizza per entrare nei sistemi informativi e per aggiungere nuovi dispositivi abilitati all’autenticazione a più fattori.
3. Compromissione di un fornitore dell’azienda presa di mira. Gli aggressori prendono di mira un fornitore per accedere all’MFA utilizzando il dispositivo compromesso.
4. Compromissione di un singolo endpoint. Il fine è quello di aumentare i privilegi a livello di amministratore e quindi disattivare la protezione MFA.
5. Attacchi As a Service. I criminali utilizzano applicazioni software erogate attraverso il dark web e, una volta ottenuto l’accesso ai sistemi informatici, utilizzano script per disabilitare gli strumenti di sicurezza.

Come difendersi

Ecco alcune raccomandazioni di Cisco Talos per implementare correttamente l’MFA:

• Abilitare il number matching nelle applicazioni MFA per fornire un ulteriore livello di sicurezza e impedire agli utenti di accettare notifiche push MFA dannose.
• Implementare l’autenticazione a più fattori su tutti i servizi critici, inclusi tutti i servizi di accesso remoto e di gestione dell’accesso all’identità (IAM).
• Configurare un alert per l’autenticazione al fine di identificare rapidamente anomalie e modifiche nei criteri di autenticazione a più fattori.
• Investire nella formazione degli utenti per aggiornarli sul panorama delle minacce informatiche e aiutarli a essere vigili, segnalando tempestivamente situazioni sospette.

Cisco protegge il 100% delle aziende Fortune 100. Per saperne di più, visita il sito cisco.com/go/security.

A proposito di Cisco

Cisco (NASDAQ: CSCO) è il leader tecnologico mondiale che connette tutto in modo sicuro per rendere tutto possibile. Il nostro obiettivo è quello di creare un futuro inclusivo per tutti, aiutando i nostri clienti a reimmaginare le loro applicazioni, ad alimentare il lavoro ibrido, a proteggere le loro aziende, a trasformare le loro infrastrutture e a raggiungere i loro obiettivi di sostenibilità. Scopri di più sulla sezione italiana di EMEA Network e seguici su Twitter @CiscoItalia. Digitaliani: l’impegno Cisco per la Digitalizzazione del Paese.

Cisco e il logo Cisco sono marchi o marchi registrati di Cisco e/o delle sue affiliate negli Stati Uniti e in altri Paesi. Un elenco dei marchi Cisco è disponibile all’indirizzo www.cisco.com/go/trademarks. I marchi di terze parti citati appartengono ai rispettivi proprietari. L’uso del termine partner non implica un rapporto di partnership tra Cisco e altre aziende.

Malgrado una diminuzione degli interventi BEC rispetto allo scorso trimestre, gli ultimi tre mesi del 2024 presi in esame hanno comunque rappresentato una grave minaccia per privati e aziende.

L’ultimo report di Cisco Talos ha anche rilevato per la prima volta due nuovi ransomware: Mallox e Underground Team. Il primo è un ransomware-as-a-service (RaaS) che utilizza un doppio schema di estorsione, con l’esfiltrazione dei dati e la successiva crittografia, mentre Underground Team rappresenta più propriamente un gruppo di ransomware progettati anch’essi per crittografare i file delle vittime con lo scopo di richiedere un riscatto in denaro per la loro decrittazione.

I settori più colpiti

In cima alla lista dei settori più colpiti c’è quello Tecnologico che ha registrato il 24% delle attività di intelligence di Cisco Talos. Le aziende di questo settore sono prese di mira dai criminali informatici perché permettono di accedere ad altri settori e ad altre aziende grazie al loro ruolo di fornitore di servizi e di infrastrutture.

Al secondo posto troviamo il settore della Vendita al dettaglio, un settore che attira i criminali non solo per la mole di dati prodotta, ma anche perché difficilmente può permettersi lunghi tempi d’inattività e rischiare così un grave danno d’immagine.

La Sanità, sia pubblica e privata, si conferma ancora il terzo settore più colpito: una preferenza dovuta ai dati sensibili in possesso delle strutture sanitarie che tendono a pagare rapidamente il riscatto per poter ripristinare i servizi il prima possibile.

Vettori iniziali

Nella maggior parte degli attacchi a cui Talos IR ha risposto in questo trimestre, i criminali informatici hanno ottenuto l’accesso iniziale utilizzando credenziali compromesse per accedere ad account validi. L’utilizzo di account validi è stato osservato in quasi il 60% degli interventi totali.

Punti deboli della sicurezza

I sistemi vulnerabili o mal configurati e la mancanza di un’adeguata implementazione dell’MFA sono stati i principali punti deboli della sicurezza in questo trimestre, e hanno rappresentato quasi la totalità degli eventi a cui Cisco Talos ha risposto. Cisco Talos consiglia di implementare l’MFA su tutti i servizi critici, inclusi tutti i servizi di accesso remoto e di gestione dell’accesso all’identità (IAM). Inoltre, è essenziale controllare e utilizzare sempre gli aggiornamenti più recenti. I criminali informatici sono alla ricerca delle patch mancanti: un software aggiornato è uno dei metodi più efficaci per evitare una compromissione.

Cisco protegge il 100% delle aziende Fortune 100. Per saperne di più, visita il sito cisco.com/go/security.