Gli attacchi all’identità e alle credenziali di accesso rappresentano una minaccia sempre più seria per tutte le organizzazioni, alle prese con perimetro cyber sempre più “virtuale” e dunque difficile da proteggere efficacemente adottando le classiche misure di sicurezza.
Gli elevati tassi di incidenti degli ultimi anni potrebbero essere attribuiti a una serie di fattori, tra cui la crescente adozione di tecnologie cloud e l’aumento del numero di lavoratori remoti o in smart working. La trasformazione digitale e l’adozione delle tecnologie cloud, in particolare, hanno consentito alle organizzazioni di strutturarsi in modo più flessibile e produttivo, ma rendono anche più difficile per i team IT tenere traccia di chi accede e a quali dati, da dove e su quale dispositivo.
Vediamo con un po’ di statistiche raccolte da inchieste, pubblicazioni, sondaggi e rapporti di terze parti, alcuni dati recenti dal post pandemia da tutto il mondo per illustrare la minaccia degli attacchi di furto di credenziali che prendono di mira le identità degli utenti e i metodi di accesso.
I 10 migliori password manager: cosa sono, come usarli e perché sono utili anche alle aziende
Indice degli argomenti
Metodi di violazione della sicurezza dell’identità
Il dettaglio chiave in tutti gli attacchi alla sicurezza dell’identità sono le credenziali di accesso dell’utente. Secondo un recente sondaggio, condotto da “nordpass.com” pubblicato con nome “Password habits statistics”, 8 persone su 10 trovano difficile la gestione delle password.
Ci sono una serie di ragioni per questo, tra cui:
- dover gestire troppi account;
- ricordare quale password appartiene a quale account;
- non essere in grado di ricordare password univoche per ciascun account;
- difficoltà a creare password complesse e facili da ricordare.
Per questo motivo, molte persone sono pessimi creatori di password complesse, infatti “123456”, “qwerty” e “password1” sono costantemente in cima alle classifiche degli elenchi delle password più comunemente utilizzate.
È ovvio che, più debole è la password, più facile sarà decifrarla.
Tuttavia, la creazione di una password complessa da sola non è sufficiente: subentra anche il metodo d’archiviazione sicura e la condivisione delle password. La cultura della condivisione delle password liberamente tramite app di messaggistica o e-mail e senza crittografia, rende le organizzazioni altamente suscettibili agli attacchi.
Gli attacchi di forza bruta
Esistono numerose variazioni sugli attacchi di forza bruta ma, fondamentalmente, questi attacchi si verificano quando un malintenzionato programma un computer per indovinare la password del suo obiettivo. Il computer inizia a “provare” sistematicamente le combinazioni più comuni di lettere, numeri e simboli attraverso tutte le possibili combinazioni, finché ottiene l’accesso all’account.
Oltre a essere utilizzata per prendere di mira i singoli account, la forza bruta viene sempre più utilizzata contro i sistemi Windows, poiché i criminali informatici tentano di violare il nome utente e password per le connessioni Remote Desktop Protocol (RDP).
Tra marzo e dicembre 2020, il numero di attacchi di forza bruta RDP riportato ha sfiorato l’incredibile cifra di 3,3 miliardi. Per contesto, quel numero nello stesso periodo dell’anno precedente era di 969 milioni, ricordando che era un periodo precedente alla pandemia. Una pubblicazione di “idsalliance.org” di nome “Identity security a Work in Progress” espone che il 24% dei professionisti della sicurezza statunitensi dichiara che la loro organizzazione ha subito un attacco di forza bruta, incluso il “password spraying” o il “credential stuffing” negli ultimi due anni. Secondo lo stesso studio, il 66% ha subito un attacco di phishing che ci porta al nostro prossimo metodo di violazione dell’identità, che è generalmente considerato il più comune.
RDP e VPN: cosa sono, come funzionano, le differenze e perché sono ancora così usate
Gli attacchi di ingegneria sociale
Secondo “verizon.com” il 25% di tutte le violazioni dei dati riguarda il phishing, uno dei tipi più comuni di attacco di ingegneria sociale. L’ingegneria sociale coinvolge il malintenzionato che contatta personalmente il proprio target (di solito tramite e- mail, telefono o SMS, quindi phishing e smishing), mentre si atteggia a mittente fidato. Nel suo messaggio, chiede alla vittima informazioni sensibili, come le credenziali di accesso, o cerca d’incoraggiarli a fare clic su un URL o allegato dannoso.
Gli URL di phishing di solito portano il bersaglio a inserire credenziali, di solito su un sito dove sono incoraggiati a inserire le proprie informazioni di accesso. Facendo clic su un allegato di phishing, invece, di solito si installa una qualche forma di malware sul computer dell’utente. Questa installazione è spesso una botnet o un trojan. Mentre alcuni di questi trojan vengono utilizzati per la distribuzione di ransomware o malware, altri vengono utilizzati per raccogliere i dati sensibili degli utenti, come le loro informazioni finanziarie e le credenziali di accesso sia aziendali che esterne, come quelle bancarie.
Trickbot è un trojan bancario particolarmente famoso che, una volta installato con successo, si muove lateralmente attraverso una rete, rubando informazione sensibile. Le segnalazioni di Trickbot erano elevatissime durante la prima metà del 2020 secondo Bitdefender, con il 47% degli incidenti segnalati a livello globale che si è svolto nel primo trimestre quando i malintenzionati hanno sfruttato l’incertezza portata dalla pandemia.
Tuttavia, questi numeri sono diminuiti enormemente durante il terzo trimestre. Ma la discesa di contagi di Trickbot ha incoraggiato i criminali informatici ad attuare altri metodi di attacco.
Altri incidenti di attacco che hanno coinvolto Agente Tesla, un trojan noto per le sue capacità di furto di credenziali e in generale distribuito tramite campagne di spam, è cresciuto enormemente nel secondo semestre del 2020.
Il quarto trimestre ha visto il maggior numero di rapporti su Agente Tesla a livello globale: 46%. Allo stesso modo, il quarto trimestre ha rappresentato il 68% dei rapporti globali di Dridex, un trojan finanziario in grado di rubare credenziali, acquisire schermate di dispositivi compromessi ed eseguire attacchi DDoS (Distributed Denial of Service).
Le vittime degli attacchi all’identità e alle credenziali di accesso
I lavoratori a distanza sono sempre stati più suscettibili a subire attacchi basati sull’identità e sull’accesso. Purtroppo, la natura del posto di lavoro moderno significa che, più che mai ora siamo potenziali obiettivi con due terzi dei lavoratori che utilizzano un personal computer per lavorare da casa. Il lavoro a distanza ha aumentato del 59% l’accesso ai sistemi aziendali critici nell’ultimo anno. In media, le organizzazioni oggi ne hanno 51 applicazioni business-critical, oltre la metà di questi (56%) ha accesso tramite dispositivi mobili.
Nonostante i rischi presentati dal lavoro a distanza e ibrido, secondo “keepersecurity.com” circa il 50% delle organizzazioni non dispone di una politica sui requisiti di sicurezza per i propri lavoratori a distanza. Il 73% dei lavoratori non hanno ricevuto alcun corso di sensibilizzazione sulla sicurezza informatica dal loro datore di lavoro da quando hanno iniziato a lavorare da casa.
Per di più, solo la metà delle aziende con politiche BYOD hanno anche una politica in atto per regolamentare l’uso di dispositivi personali, e solo un terzo fornisce software antivirus per dispositivi personali. Un terzo ancora non richiede ai propri lavoratori remoti di utilizzare un metodo evoluto d’autenticazione. Di quelli che richiedono che i propri utenti utilizzino un metodo evoluto d’autenticazione, solo il 35% richiede l’autenticazione a più fattori (MFA).
I lavoratori a distanza sono spesso meno suscettibili a una mentalità di lavoro in sicurezza rispetto a quelli che lavorano in un ufficio, in gran parte grazie al loro ambiente confortevole.
Questo punto dolente è particolarmente preoccupante quando si tratta della mancanza di una buona password tra dipendenti a distanza: due terzi dei lavoratori è probabile che scrivano password relative al lavoro su file di testo quando si lavora da a casa di quanto non sia probabile mentre lavorano in ufficio, e molti di quelli memorizzano le proprie password digitalmente e lo fa in modo non sicuro: 49% salva le password di lavoro nel Cloud, il 51% le salva in un documento sul proprio computer e il 55% li salva sul proprio telefono.
Per accedervi, un malintenzionato deve solo violare l’archiviazione Cloud, il computer o cellulare che, senza la corretta formazione del personale rende molto più facile compromettere gli account dei dipendenti e accedere ai dati aziendali sensibili.
Il secondo target di destinazione comune per le violazioni dell’identità e l’accesso sono gli account privilegiati. La maggior parte delle organizzazioni ordina la propria attività di sistemi in livelli, in base alla gravità delle conseguenze se quel sistema viene violato. Gli account privilegiati godono di accesso amministrativo ai sistemi di alto livello, basati su gradini più elevati di permessi.
Ciò rende gli account privilegiati un obiettivo ghiotto per i malintenzionati che cercano di accedere ai dati aziendali sensibili.
Nonostante le elevate conseguenze di una violazione degli account privilegiati, le aziende di tutto il mondo non stanno implementando misure abbastanza rigorose di sicurezza per proteggerli. Secondo una pubblicazione del 2020 di “idsalliance.org” solo il 38% delle organizzazioni utilizza l’autenticazione a più fattori per proteggere i propri account e secondo uno studio di “cybersecurity-insiders.com” il 49% delle organizzazioni ha molti utenti con più privilegi di accesso di quelli necessari per svolgere il proprio lavoro.
Non sorprende, quindi, che secondo una pubblicazione di “nordpass.com” un quarto di tutte le vittime di crimini informatici negli Stati Uniti e nel Regno Unito abbia posizioni manageriali o possieda un certo rango, e che il 34% delle violazioni relative all’identità negli ultimi due anni abbia comportato la compromissione di account di utente privilegiati.
Alla base di ciò, le principali sfide quando si tratta di gestione degli accessi sono:
- mancanza di automazione (43%);
- mancanza di personale qualificato (41%);
- non si utilizzano le tecnologie disponibili (33%);
- mancanza della gestione delle password di autenticazione (31%);
- rilevamento e mitigazione delle minacce interne (30%);
- migrazione Cloud (30%);
- crescente utilizzo di dispositivi mobili (30%).
Privileged Access Management: cos’è e come garantisce il controllo degli accessi
La frequenza delle violazioni di identità e di accesso
IBM sostiene che il costo medio di una violazione dei dati per una grande azienda è di 4,24 milioni di dollari. Tale media, tuttavia, riflette che il costo della violazione dei dati è molto più bassa per chi ha un’architettura di sicurezza formale, piuttosto che pericolosamente alto per le organizzazioni senza le adeguate protezioni.
Tuttavia, la perdita finanziaria non è l’unica conseguenza di una violazione d’identità o di accesso. Come abbiamo detto in precedenza, queste violazioni spesso possono iniziare con il furto di credenziali tramite un attacco di phishing e di conseguenza quel furto ha un effetto a catena o domino in termini di perdita di dati. Le principali conseguenze di attacchi di phishing riusciti includono:
- dati persi;
- account o credenziali compromessi;
- infezioni da ransomware;
- infezioni malware;
- perdita finanziaria;
E secondo “verizon.com” i principali tipi di dati che vengono compromessi in un attacco di phishing sono:
- credenziali;
- dati personali;
- dati interni;
- dati medici;
- dati bancari.
Facciamo un passo indietro rispetto all’ingegneria sociale e guardiamo ai dati vulnerabili quando si tratta di violazioni in generale. Le informazioni di identificazione personale dei clienti (Customers personally identifiable information PII), secondo IBM sono il tipo più costoso di dati compromessi, e il più comunemente violato.
Nel 2020, l’80% delle organizzazioni che ha segnalato una violazione dei dati ha subito una perdita di PII. Le violazioni che coinvolgono le perdite di PII sono molto più costose, valutate in media quattro dollari in più per record rubato rispetto a quelli che non comportano la perdita di PII.
Ulteriori ricerche di “keepersecurity.com”, incentrato sulle violazioni dei dati nell’era del lavoro a distanza, ha riscontrato anche che i record dei clienti sono considerati il tipo di dati più vulnerabile, con Il 55% delle organizzazioni che mostra preoccupazione per la protezione dei record dei clienti dagli attacchi informatici. Seguita da informazioni finanziarie (48%), informazioni sulle carte di credito o debito dei clienti (31%), proprietà intellettuale (28%), registri dei dipendenti (21%) e corrispondenza commerciale (18%).
L’impatto di un attacco d’identità e le violazione di credenziali
L’aumento del lavoro a distanza negli ultimi anni ha incrementato gli endpoint delle organizzazioni diventando per natura molto più diversificate, come anche i dipendenti che lavorano dal laptop tablet e smartphone, e le aziende molte volte per necessità abbracciano il utilizzo di dispositivi IoT in ufficio.
Tuttavia, il lavoro a distanza e quello ibrido continua ad essere generalmente meno sicuro, per tre ragioni principali:
- organizzazioni che non hanno investito molto in strumenti di difesa cybersecurity dei propri Cloud a beneficio dei dipendenti remoti (anche verso dispositivi personali quando necessario), come l’autenticazione a più fattori e le tecnologie di sicurezza della posta elettronica può essere a rischio di attacchi di phishing e tentativi di cracking delle password;
- personale che si serve di reti Wi-Fi pubbliche gratuite che possono essere violate e utilizzate per installare malware su dispositivi ad essi connessi senza una VPN;
- è più difficile mantenere una mentalità “security first” a casa che in ufficio. È molto più facile ricordare le buone pratiche per le password quando si è circondati da colleghi in un luogo di lavoro consolidato rispetto a quando sei seduto al tavolo di casa propria.
Per questo motivo, secondo uno studio del “community.webroot.com” pubblicato nel 2020 con nome “Phishing attempts grew by last year” i dispositivi personali hanno il doppio delle probabilità di essere infettati da malware rispetto alle loro controparti aziendali.
Ebbene, il furto di credenziali e l’ingegneria sociale o il phishing sono gli attacchi più frequenti che le organizzazioni si sono trovate ad affrontare. Il 60% delle medie imprese (da 250 a 5.000 dipendenti) che hanno chiesto ai propri utenti di lavorare a distanza ha subito un attacco informatico; Il 56% di quelli ha subito furto di credenziali e il 48% ha sperimentato ingegneria sociale, come il phishing.
Secondo lo studio della “Identity Defined Security Alliance (IDSA)” pubblicato con nome “Identity Security: A Work in Progress”, il 94% delle organizzazioni ha subito una violazione dei dati e il 79% dei data center è stato violato a diverse profondità negli ultimi due anni.
Lo studio condotto dal “cybersecurity-insiders.com” del 2021 pubblicato con nome “State of Passwordless Report FINAL” che includeva segnalazioni di aziende con meno di 100 dipendenti fino a oltre 10.000, ha rilevato che il 90% delle organizzazioni ha di fatto subito un attacco di phishing da quando la pandemia ha colpito nel 2020 e il 29% hanno subito attacchi di “credential stuffing” e attacchi di forza bruta.
Tuttavia, contrariamente a quanto potrebbero suggerire queste cifre allarmanti, le violazioni dell’identità si possono evitare. Il 99% degli intervistati di IDSA che ha subito una violazione dell’identità ritiene che questi tipi di attacchi possono prevenirsi. Un ulteriore ricerca condotta e pubblicata sul sito “gallery.logrhythm.com” con nome “UK the state of the security team research report” illustra che il 44% dei professionisti della sicurezza ritiene che una soluzione di gestione degli accessi (Identity and Access Management IAM) colmerà le loro lacune attuali di sicurezza.
Nonostante ciò, le persone sono chiaramente ancora vittime di attacchi relativi all’identità e all’accesso. Ma chi sono i migliori obiettivi e come vengono violati?
A dare conferma, “verizon.com” afferma che il 61% di tutte le violazioni riguarda le credenziali, essendo rubate tramite l’ingegneria sociale o violate con la forza bruta, il 22% delle violazioni di hacking coinvolgono attacchi sociali e il 37% di tutte le violazioni comporta l’uso di credenziali rubate.
Come proteggersi dalle minacce di violazione d’identità
Non esiste un’unica soluzione alla sicurezza informatica per proteggere i dati aziendali dei dipendenti e dei clienti.
È necessario implementare una serie di soluzioni incentrate sull’uomo, come la consapevolezza e la formazione che affronti il problema adottando tecniche specifiche e soluzioni.
Ecco alcuni dei migliori metodi con cui si possono proteggere i vostri dati.
Creare una politica di password forti
Una “politica delle password” è un insieme di regole che mirano a migliorare la sicurezza dell’azienda incoraggiando la creazione di password complesse e l’uso sicuro, l’archiviazione e la condivisione sicura di tali password. L’adozione di una “politica della password” è relativamente semplice e non richiede nessun investimento.
Utilizzare un gestore di password
Esistono software per la gestione delle password e memorizzare le password di ciascun utente in un deposito crittografato personale cui si accede tramite un’unica password principale (per esempio KeePass). Dal proprio database criptato gli utenti possono accedere in sicurezza alle credenziali memorizzate, condividere password in modo sicuro e aggiornare password deboli o compromesse. I gestori di password dispongono anche di strumenti per la generazione di password per consentire agli utenti di creare password casuali e univoche.
Questi programmi consentono agli utenti di accedere ai propri account in modo semplice e sicuro, e consentono ai team di sicurezza di vigilare sull’integrità delle password.
Utilizzare metodi di autenticazione a più fattori (MFA)
L’autenticazione a più fattori è un metodo di verifica dell’utente che richiede a ciascuno di loro di dimostrare la propria identità in due o più modi prima che gli venga concesso l’accesso a un applicazione, sistema o rete. Ovviamente con l’autenticazione MFA implementata, un hacker non può accedere all’account di un dipendente, anche se riesce a rubarle le password.
Il 91% delle organizzazioni sostiene che la password MFA è importante per fermare il furto di credenziali e attacchi di phishing, e se viene adottato il doppio criterio MFA si rende l’utente “password less”. È interessante notare che questo beneficia l’esperienza dell’utente, che il 64% delle organizzazioni ha indicato che i sistemi MFA senza password sono importanti. Si dice spesso che si tratti di un sistemi scomodo e che si fa un passo indietro quando si tratta di sicurezza personale, ma la maggior parte degli intervistati in questo sondaggio preferisce un’interfaccia user-friendly con doppia MFA. Inoltre è una soluzione più facile da usare e sicuramente riduce i ticket dell’help desk consentendo la liberazione delle risorse IT su questo aspetto di sicurezza. L’adozione del MFA senza password include il raggiungimento della trasformazione digitale (al 21%) e risparmio sui costi (al 14%).
L’applicazione del MFA è un arma maestosa per gli utenti che utilizzano i dispositivi BYOD con le funzioni di sicurezza di base dei propri dispositivi abilitate, come un PIN o la scansione delle impronte digitali.
Investire nella gestione degli accessi privilegiati (PAM)
Le soluzioni per la gestione degli accessi privilegiati consentono alle organizzazioni di monitorare e controllare l’accesso e attività dei propri utenti privilegiati. Questo include chi ha accesso, a quali account e cosa possono fare gli utenti una volta effettuato l’accesso.
Un sistema PAM mantiene gli account privilegiati al sicuro garantendo che solo gli utenti verificati possono accedere agli account in base ai loro ruoli e responsabilità. Come detto in precedenza, gli account privilegiati sono uno degli obiettivi più ghiotti per i malintenzionati, quindi sono quelli più comunemente presi di mira.
Installare sistemi di endpoint security sui dispositivi dei dipendenti
Ottime sono le soluzioni per la sicurezza degli endpoint che utilizzano una combinazione di firewall, antimalware e strumenti di gestione dei dispositivi per proteggere la rete da malware e virus che potrebbero essere utilizzati per raccogliere le credenziali degli utenti.
Queste soluzioni coprono tutti gli endpoint collegati alla rete, inclusi server, Personal Computer, dispositivi mobili e dispositivi IoT e gli amministratori possono gestire le soluzioni in modo centralizzato semplificando loro l’operazione di identificare e monitorare la salute e il livello di rischio di tutti i dispositivi collegati alla rete.
Le soluzioni di sicurezza degli endpoint tendono ad essere progettate per organizzazioni di grandi dimensioni e quelle con un grosso numero di endpoint remoti o BYOD, quindi se si sta lavorando per un azienda di medie dimensioni che non ha un’architettura di rete complessa e si sta cercando un prodotto che protegga gli endpoint da virus e malware, si dovrebbe considerare di investire in una soluzione software antivirus di profilo minore per abbattere i costi elevati.
Insistere sulla formazione dei dipendenti
Nell’ultimo anno, secondo “idsalliance.org” solo il 34% delle organizzazioni con una cultura della sicurezza “previdente” hanno avuto la meglio sulle violazioni. Uno dei modi migliori per coltivare una cultura di sicurezza consiste nell’insegnare ai dipendenti come essere vigili e preparare loro per identificare e rispondere alle minacce.
Le soluzioni di formazione sulla consapevolezza della sicurezza combinano una formazione coinvolgente, materiali con campagne di simulazione di attacchi attive al fine di trasformare gli utenti da potenziali anelli deboli a una solida linea di difesa contro gli attacchi informatici. La maggior parte di queste soluzioni si concentra in modo specifico sulla formazione e sulla sensibilizzazione al phishing, ma alcuni includono anche moduli di formazione ad ampia gamma su argomenti di sicurezza, ad esempio una vera formazione di cybersecurity applicata al lavoro da casa in sicurezza.
“idsalliance.org” sostiene che il 71% delle organizzazioni che hanno subito una violazione dei dati nell’ultimo anno richiedono una miglior formazione sulla sensibilizzazione alla sicurezza per gli utenti, e che se fatta in precedenza avrebbe potuto prevenire la violazione. Infine si evince che adottare misure per diventare proattivi nell’implementazione della sicurezza sia meglio che essere reattivi ad una violazione avvenuta.
Investire in un gateway di posta elettronica sicuro (SEG)
Con i Gateway di posta elettronica sicuri si proteggono gli utenti dagli attacchi di phishing monitorando le e-mail in entrata e in uscita e scansionando alla ricerca di minacce. Il SEG blocca o mette in quarantena tutte le comunicazioni sospette, in modo che non siano mai consegnate alle vittime designate.
Le soluzioni di gateway di posta elettronica non espongono alla compromissione dell’account, aiutando ad identificare e prevenire attacchi BEC (business email compromise), che gli aggressori possono utilizzare per rubare le credenziali spacciandosi per mittenti fidati.
Tendenze sui metodi di protezione d’accesso e delle identità
Le organizzazioni stanno diventando più consapevoli dell’importanza dell’identità e la sicurezza dell’accesso, e stanno cercando di investire in soluzioni gestionali migliorate per identità e accesso (Identity and Access Management IAM).
Secondo un sondaggio di Cybersecurity Insiders, quando le organizzazioni cercano di investire in una soluzione IAM danno la priorità alla facilità di integrazione (72%), seguita dall’esperienza dell’utente finale (62%) e infine prestazioni ed efficacia del prodotto (61%).
Altre caratteristiche che i team di sicurezza cercano includono:
- facilità di installazione (59%);
- caratteristiche e funzionalità del prodotto (57%);
- costo (57%);
- supporto del fornitore (55%).
La formazione sulla sensibilizzazione alla sicurezza è stata un’altra area di investimento nell’ultimo anno, entro la fine di marzo 2020 stando ai dati di “centrify.com” il 73% delle organizzazioni aveva dato ai propri dipendenti una formazione extra su come essere sicuri quando si lavora da remoto, con password mirate e verifica delle credenziali. E progressivamente sempre più organizzazioni abbracciano soluzioni di smart working per gli utenti, quindi la formazione degli utenti diventerà sempre più importante, in particolare durante l’implementazione di nuovi criteri che potrebbero essere necessari per proteggere i dispositivi che sono rimasti spenti nel perimetro della rete per un lungo periodo.
Per concludere, la formazione alla cyber security per utenti e dipendenti non è mai troppa e sensibilizzare la platea sul fatto che ogni dispositivo non aggiornato e ogni password debole è un pericolo per l’azienda, diventa di fondamentale importanza.
