Perché i top manager devono stare attenti al social engineering

I C-Level, ovvero i dirigenti di alto livello, che hanno accesso ai dati aziendali più sensibili, sono diventati il bersaglio principale degli attacchi di social engineering. Vale a dire quegli attacchi che si fondano più sulla debolezza umana che sull’ utilizzo di software malevoli.

È quanto emerge dal Data Breach Investigations Report 2019 (DBIR) di Verizon. Si tratta di un report internazionale che prende in considerazione i più gravi episodi di violazioni di dati che colpiscono aziende e organizzazioni in tutto il mondo. Quest’anno, per la prima volta, il rapporto include anche i dati raccolti dall’FBI Internet Crime Complaint Center.

La minaccia del social engineering

Rispetto agli anni precedenti, evidenzia Verizon, i senior executive corrono molto di più il rischio di essere vittime del social engineering. Infatti, i dirigenti hanno 12 volte più probabilità di essere il target di incidenti correlati a questa tipologia di attacchi. E 9 volte più probabilità di essere il target di vere e proprie violazioni. Inoltre, la motivazione finanziaria rappresenta ancora il fattore determinante.

Gli attacchi di social engineering a scopo economico, che sono il 12% di tutte le violazioni analizzate, sono un elemento chiave del rapporto di quest’anno. Ciò mette in evidenza, è l’allarme di Verizon, la necessità critica di garantire che i dipendenti di ogni livello vengano sensibilizzati sull’impatto potenziale della criminalità informatica.

Alla base di questo trend c’è infatti, secondo il rapporto, ancora la mancanza di formazione mirata sui rischi del cybercrime. Ma soprattutto il fatto che i top manager siano costantemente sotto pressione e con poco tempo, motivo che li porta ad aprire spesso le mail con una certa superficialità.

Verizon pone poi l’accento sul fatto che i risultati di quest’anno evidenziano anche come la crescente tendenza a condividere e archiviare le informazioni all’interno di soluzioni basate su cloud stia esponendo le aziende a ulteriori rischi per la sicurezza. L’analisi ha rilevato un sostanziale orientamento verso la violazione degli account e-mail su cloud attraverso l’uso di credenziali rubate.

Inoltre, gli “errori di configurazione” nel cloud sono in aumento anno dopo anno. L’errata configurazione ha infatti portato a una serie di massicce violazioni dello storage di file basato su cloud. Esponendo almeno 60 milioni di casi analizzati nel dataset del DBIR, pari al 61% delle violazioni causate da errori.

Riassunto dei dati più scottanti del report

Le nuove analisi dell’FBI Internet Crime Complaint Center (IC3) forniscono una visuale approfondita dell’impatto degli attacchi Business Email Compromises (BEC) e Computer Data Breaches (CDB). I risultati evidenziano come la compromissione delle mail aziendali possa essere risolta. Infatti, nei casi in cui il Recovery Asset Team di IC3, in collaborazione con la banca di destinazione, è intervenuto in episodi di Business Email Compromise, metà degli indirizzi e-mail commerciali con sede negli Stati Uniti ha recuperato o congelato il 99% del denaro, mentre solo nel 9% dei casi non è stato possibile recuperare nulla.

I risultati del report Verizon hanno evidenziato come quest’anno l’impatto sul settore HR sia diminuito di 6 volte rispetto all’anno scorso. Sono infatti diminuite e quasi scomparse dal dataset del DBIR le truffe che sfruttano i moduli fiscali W-2, utilizzati negli Stati Uniti.

Le tecnologie di pagamento Chip e Pin hanno raggiunto livelli di sicurezza significativi. Il numero di violazioni relative alle carte di pagamento realizzate tramite la compromissione dei terminali fisici è infatti in diminuzione rispetto a quelle relative alle applicazioni web.

Gli attacchi Ransomware sono ancora numerosi: rappresentano quasi il 24% degli incidenti in cui è stato utilizzato un malware. Il Ransomware è diventato così comune che viene menzionato meno frequentemente nei media specializzati, a meno che non vi sia un target di alto profilo.

I tanto decantati attacchi di cripto-mining sono stati praticamente inesistenti. Questo tipo di attacchi non è rientrato tra le 10 principali varietà di malware e ha rappresentato solo il 2% circa degli incidenti.

Le minacce provenienti dall’esterno rimangono quelle più diffuse. Gli attori esterni alle organizzazioni rappresentano ancora il principale motore degli attacchi (69% delle violazioni), contro un valore delle minacce provenienti dall’interno pari al 34%.

I diversi settori

Istruzione: si registra un considerevole cambio di rotta verso i crimini compiuti prevalentemente per ragioni economiche (80%). Il 35% delle violazione è dovuto a errori umani. Circa un quarto è sorto da attacchi derivanti da applicazioni web, la maggior parte dei quali attribuibili all’utilizzo di credenziali rubate e utilizzate per accedere alle email su cloud.

Sanità: questo settore continua a essere il solo a mostrare un incremento del numero di attacchi interni rispetto a quelli esterni (rispettivamente 60 e 40%). Non sorprende che i dati medici siano 18 volte più a rischio di essere compromessi in questo settore. E quando un attore interno è coinvolto, è 14 volte più probabile che sia un professionista come un medico o un infermiere.

Manifatturiero: per il secondo anno consecutivo, gli attacchi per ragioni economiche superano il cyber-spionaggio come ragione principale delle violazioni nel settore manifatturiero, e quest’ anno con una percentuale ancor più significativa (68%).

Settore pubblico: lo spionaggio informatico è aumentato quest’anno, tuttavia circa il 47% delle violazioni sono state scoperte solo anni dopo l’attacco iniziale.

Retail: dal 2015 le violazioni dei terminali di pagamento (PoS) sono diminuite di 10 volte, mentre oggi le violazioni delle applicazioni web sono 13 volte più probabili.

I commenti di Verizon

“Le aziende utilizzano sempre più applicazioni edge-based per fornire informazioni e esperienza credibili. Dati della supply chain, video e altri dati critici, spesso personali, verranno assemblati e analizzati a una velocità sorprendente, cambiando il modo in cui le applicazioni utilizzano funzionalità di rete sicure. La sicurezza deve sempre avere un ruolo di primo piano quando si implementano queste nuove applicazioni e architetture.”  Ha dichiarato George Fischer, presidente di Verizon Enterprise Solutions.

“La manutenzione delle strumentazioni e la sicurezza delle reti sono fattori determinanti quando si tratta di ridurre i rischi. Tutto inizia con la comprensione della posizione di rischio e del panorama delle minacce, in modo da poter sviluppare e attuare un piano solido per proteggere la propria azienda dalla realtà del cybercrime. La conoscenza è potere, e il DBIR di Verizon offre alle organizzazioni grandi e piccole una panoramica completa sullo scenario delle minacce informatiche di oggi in modo che possano sviluppare rapidamente strategie di difesa efficaci.”

Bryan Sartin, executive director security professional services di Verizon, ha dichiarato quanto segue. “Le aziende stanno adottando nuove modalità di lavoro digitale, tuttavia molte società non sono consapevoli dei nuovi rischi per la sicurezza a cui sono esposte. È importante poter accedere a strumenti di cyber detection per ottenere una panoramica quotidiana della loro posizione di sicurezza, supportata da statistiche sulle più recenti minacce informatiche. La sicurezza deve essere vista come una risorsa strategica flessibile e intelligente che supporta costantemente le aziende e che ha un impatto sui risultati economici.”

“Ogni anno analizziamo i dati e mettiamo in guardia le aziende sulle ultime tendenze del cybercrime, per consentire loro di rivedere le proprie strategie di sicurezza e proteggere in modo proattivo le attività dalle minacce informatiche. Tuttavia, anche se vediamo che i bersagli specifici e i luoghi degli attacchi cambiano, alla fine le tattiche utilizzate dai criminali rimangono invariate. È imperativo che le aziende, grandi e piccole, diano la priorità alla sicurezza della loro attività e alla protezione dei dati dei clienti. Spesso anche le pratiche di sicurezza di base e il buon senso scoraggiano la criminalità informatica.” Ha commentato ancora Sartin.

Il 2019 Data Breach Investigations Report completo è consultabile a questo link.