Le lacune della sicurezza informatica lasciano le porte spalancate. Non sempre gli aggressori devono ricorrere a stratagemmi sofisticati per entrare: spesso le organizzazioni semplificano loro l’accesso.
Il gruppo cinese APT Volt Typhoon ha colpito un’azienda elettrica statunitense nel Massachusetts nel 2023, in un attacco prolungato che mirava a esfiltrare dati sensibili riguardanti la sua infrastruttura di tecnologia operativa (OT).
Indice degli argomenti
Volt Typhoon all’attacco di un’azienda elettrica USA
L’attacco cyber ai dipartimenti Little Electric Light and Water (LELWD) ha spinto l’FBI e la società di sicurezza Dragos ad agire congiuntamente, rivelando i dettagli dell’attacco e la sua mitigazione in uno studio pubblicato qualche giorno fa.
Secondo questo rapporto, Volt Typhoon aveva mantenuto la sua presenza sulla infrastruttura per quasi un anno e si era impegnato in manovre di attraversamento dei blocchi di messaggi del server e movimenti laterali del protocollo desktop remoto.
Gli obiettivi del gruppo
L’obiettivo del gruppo era di esfiltrare dati specifici relativi alle procedure operative della tecnologia operativa (OT) e dati di layout spaziale relativi alle operazioni della rete energetica. Queste informazioni sono fondamentali per aiutare l’avversario a sapere esattamente dove attaccare quando (o se) decidesse di utilizzare una capacità di Fase 2 per compromettere l’effettiva rete OT che controlla le funzioni fisiche.
Il gruppo, in genere, si infiltra nelle reti tramite una botnet tentacolare creata compromettendo i router SOHO (Small Office/Home Office) scarsamente protetti.
Perché preoccupa Volt Typhoon APT
È il primo assalto noto ad un’azienda elettrica statunitense da parte del gruppo, che ha guadagnato notorietà l’anno scorso per una serie di attacchi alle telecomunicazioni statunitensi e che prende costantemente di mira infrastrutture critiche a livello globale.
Volt Typhoon ha allarmato in modo particolare i funzionari dell’intelligence americana perché l’attività degli hacker cinesi fa parte di uno sforzo più ampio per compromettere le infrastrutture critiche occidentali, tra cui porti navali, provider di servizi Internet e servizi di pubblica utilità.
I consigli per mitigare i rischi
Gli investigatori hanno identificato l’attività tramite una specifica piattaforma OT Watch che fornisce una ricerca avanzata delle minacce per le infrastrutture critiche, e hanno fatto sapere ai funzionari aziendali dove si è verificata l’intrusione.
La società di consulenza ha inoltre fornito raccomandazioni all’utility per rafforzare ulteriormente il loro OT per evitare e mitigare rapidamente future intrusioni.
Inoltre, il governo Usa, in collaborazione con le parti interessate del settore privato, sta lavorando silenziosamente per smantellare l’infrastruttura di attacco di Volt Typhoon, un pericoloso gruppo terroristico legato alla Cina e associato a numerosi attacchi mirati alle infrastrutture critiche degli Usa almeno dalla metà del 2021.
Poiché l’autore della minaccia in genere sfrutta le vulnerabilità nei firewall o nei dispositivi VPN connessi a Internet per l’accesso iniziale, i responsabili della protezione delle reti OT dovranno implementare adeguati piani di gestione delle patch e di integrità del sistema su tali tipi di risorse nella propria rete.
Tuttavia, il vincolo più grande quando si tratta di ridurre i rischi, sono le persone.
Esperti sostengono che spesso i team IT e operativi sono sotto organico e sotto pressione, il che porta a punti ciechi di visibilità, policy di sicurezza incoerenti e un rischio maggiore di errore umano.
Altri sondaggi e studi hanno infine dimostrato per anni che molte organizzazioni sono impegnate in strategie di sicurezza reattive e basate solo sulla conformità.
Le vittime di Volt Typhoon APT
In ogni caso, le vittime del gruppo sono globali e includono organizzazioni nei settori delle comunicazioni, dei trasporti, marittimo, governativo, dei servizi di pubblica utilità e dell’informatica.
Da quando è stato reso pubblico nel maggio 2023, Volt Typhoon ha compromesso non solo i fornitori di servizi di telecomunicazioni, ma anche il territorio statunitense di Guam, le basi militari e l’organizzazione statunitense per la gestione delle emergenze, tra gli altri.
I timori dell’intelligence Usa
La grande preoccupazione è che queste azioni illecite stiano aiutando a gettare le basi per creare capacità che consentirebbero alla Cina di interrompere le competenze nella regione indo-pacifica che supportano o servono le operazioni militari statunitensi nell’area.
Microsoft, una delle prime a riferire pubblicamente su Volt Typhoon nel maggio dello scorso anno, ha concluso in modo simile, sostenendo che l’obiettivo dell’attore della minaccia è sviluppare capacità che gli consentirebbero di interrompere l’infrastruttura delle comunicazioni tra gli Stati Uniti e la regione asiatica durante una futura crisi.
Prospettive future
Le operazioni del gruppo hacker contro le infrastrutture critiche degli Stati Uniti e delle nazioni occidentali continueranno fino a tutto il 2025 e oltre.
I dati aiutano a capire meglio perché le violazioni continuano a verificarsi a un ritmo notevole, anche se gli investimenti in sicurezza informatica aziendale aumentano vertiginosamente da anni a livello globale.
Si stima che la spesa per la sicurezza informatica a livello globale raggiungerà i 212 miliardi di dollari nel 2025 (+15% rispetto ai 184 miliardi di dollari dell’anno scorso).
Comunque, vi è la concreta probabilità che l’aumento della spesa non azzererà il rischio complessivo perché i difensori sono costretti ad una battaglia asimmetrica contro gli aggressori che innovano più velocemente, sfruttano le debolezze all’istante, hanno budget apparentemente infiniti per finanziare le loro attività, migliorano quotidianamente i loro set di strumenti e non rispettano mai le regole.
Lo scanario italiano
Secondo il rapporto Cost of data breach di Ibm, il costo medio di una violazione dei dati in Italia ha raggiunto i 4,37 milioni di euro nel 2024, con un incremento del 23% rispetto all’anno precedente, il più alto registrato dalla pandemia.
Nel nostro Paese, il rapporto tra spesa in cyber sicurezza e Pil si attesta circa allo 0,12%, in crescita rispetto al 2022 (era pari allo 0,10%).
Nonostante l’aumento, però, l’Italia si posiziona all’ultimo posto nel G7, a grande distanza dai primi in classifica, Stati Uniti (0,34%) e Regno Unito (0,29%), e da Paesi come Francia o Germania allo 0,19%.
