Il cybercrime sta trasformando il reclutamento degli insider in un vero e proprio mercato strutturato. Non si tratta più soltanto di dipendenti scontenti che decidono autonomamente di sottrarre informazioni o abusare dei propri privilegi: gruppi criminali e intermediari cercano attivamente persone che lavorano all’interno delle organizzazioni, offrendo compensi in cambio dell’accesso a sistemi, dati e soprattutto processi aziendali.
È quanto emerge da “The Market for Trust: How Cybercriminals Recruit Corporate Insiders”, ricerca di TrendAI, business unit di Trend Micro, che descrive un ecosistema underground nel quale il ruolo dell’insider viene progressivamente trasformato in un servizio acquistabile. Forum criminali e canali Telegram vengono utilizzati per reclutare dipendenti, mentre attorno a queste attività compaiono broker, programmi di segnalazione, accordi di revenue sharing, servizi di garanzia e rapporti continuativi tra criminali e persone interne alle aziende.
Il valore dell’insider non dipende soltanto dai privilegi IT
Uno degli aspetti più rilevanti riguarda il profilo delle persone ricercate. L’interesse dei criminali non si concentra necessariamente sugli amministratori di sistema o sui dipendenti dotati dei maggiori privilegi tecnici.
Un insider può risultare molto più prezioso quando dispone di quella che la ricerca definisce, di fatto, autorità operativa: la capacità di approvare pagamenti, ripristinare account, autorizzare operazioni, aggirare procedure antifrode o accedere a informazioni sensibili nell’ambito delle normali attività lavorative.
Il punto centrale è la fiducia associata al ruolo ricoperto. Un attaccante esterno può impiegare settimane o mesi per compromettere un account e ottenere l’accesso a un sistema, mentre un dipendente autorizzato può eseguire determinate operazioni semplicemente utilizzando strumenti e procedure aziendali legittime.
Di conseguenza, l’obiettivo del cybercrime si sposta progressivamente dall’infrastruttura ai processi di business. Il valore dell’insider deriva dalla possibilità di compiere un’azione che, dal punto di vista dell’organizzazione, appare inizialmente autentica perché eseguita da una persona dotata delle necessarie autorizzazioni.
“L’idea di violare un firewall è sorpassata: oggi i cybercriminali cercano chi può premere il pulsante di approvazione. Il bersaglio di maggior valore non è il dipendente con i privilegi tecnici più elevati, ma quello in grado di autorizzare un pagamento, ripristinare un account, aggirare un controllo antifrode o accedere a dati sensibili. Oggi i criminali prendono di mira i processi di business, non soltanto il perimetro tecnologico”, spiega Marco Fanuli, Technical Director di TrendAI Italia.
Quanto può valere un insider
Le differenze nei compensi mostrano quanto il mercato sia eterogeneo. Attività relativamente semplici, come la manipolazione di recensioni, possono essere pagate alcune centinaia di dollari. All’estremo opposto si trovano operazioni che garantiscono l’accesso a database esclusivi o a organizzazioni con fatturati miliardari, per le quali le ricompense possono arrivare a centinaia di migliaia di dollari.
Non cambia soltanto il valore economico delle operazioni. Secondo la ricerca, anche il modo con cui questi servizi vengono commercializzati sta diventando sempre più simile a quello di un mercato tradizionale.
Nei marketplace underground possono comparire listini, tempi di esecuzione, intermediari e programmi di rivendita. Tra i servizi offerti rientrano lo sblocco di account sospesi, le frodi sui rimborsi, le operazioni di SIM swap, la modifica delle informazioni relative al tracking delle spedizioni e il recupero di account compromessi.
Il fenomeno assume quindi caratteristiche industrializzate. La relazione tra criminale e insider non deve necessariamente limitarsi a una singola operazione: possono essere costruiti rapporti continuativi nei quali la persona interna all’organizzazione diventa una risorsa utilizzata ripetutamente per eseguire determinate attività.
Pubblica amministrazione e access-as-a-service
La ricerca mostra come il fenomeno interessi numerosi settori, con modalità differenti a seconda del tipo di organizzazione e delle autorizzazioni disponibili.
Nella Pubblica amministrazione, uno dei modelli emergenti è quello dell’access-as-a-service. Invece di tentare di violare direttamente un sistema, i criminali possono acquistare da un insider un accesso già disponibile.
In questo scenario viene eliminata una delle fasi più complesse dell’attacco, quella della compromissione iniziale. Il criminale non paga quindi qualcuno per individuare e sfruttare una vulnerabilità, ma acquista direttamente la possibilità di entrare in un sistema attraverso credenziali, autorizzazioni o strumenti messi a disposizione da una persona interna.
Il modello può risultare particolarmente efficace perché permette di evitare alcune delle attività che normalmente generano segnali rilevabili dai sistemi di sicurezza durante le prime fasi di un attacco.
Gli insider negli enti governativi
Gli insider appartenenti a enti governativi rappresentano, secondo la ricerca, una categoria molto più rara all’interno dei marketplace osservati.
Le offerte individuate sarebbero occasionali. Tra le possibili spiegazioni figurano problemi di credibilità degli annunci, una domanda più limitata oppure il fatto che il reclutamento per operazioni particolarmente sensibili possa avvenire attraverso canali privati e quindi difficilmente osservabili.
Quando compaiono, tuttavia, questi annunci possono raggiungere valori molto elevati, soprattutto quando riguardano accessi a informazioni sensibili o attività riconducibili all’intelligence.
Sanità, tra dati clinici e accessi privilegiati
Nel settore della sanità, il rischio evidenziato dalla ricerca si sviluppa principalmente su due fronti.
Il primo riguarda dipendenti che possono sottrarre o modificare cartelle cliniche e altre informazioni sanitarie. La natura particolarmente sensibile dei dati trattati rende questi accessi potenzialmente interessanti per diverse forme di frode o estorsione.
Il secondo riguarda invece professionisti della cybersecurity che operano all’interno delle organizzazioni e potrebbero collaborare segretamente con gruppi criminali.
In questo caso il problema assume una dimensione particolarmente delicata: la stessa persona incaricata di proteggere infrastrutture e informazioni potrebbe disporre delle conoscenze e dei privilegi necessari per facilitare un attacco o ridurre l’efficacia dei controlli.
Social media, la fiducia diventa un prodotto
Sulle piattaforme social gli insider possono essere utilizzati per intervenire direttamente sui meccanismi che regolano identità, pubblicità, reputazione e moderazione.
Tra le attività descritte figurano l’approvazione di annunci fraudolenti, la riattivazione di account sospesi e la manipolazione delle procedure di verifica o di rimozione dei contenuti.
Ancora una volta, il valore dell’attività non deriva necessariamente da un accesso tecnico particolarmente sofisticato. È sufficiente possedere l’autorità necessaria per modificare lo stato di un account o autorizzare un contenuto affinché il criminale possa aggirare controlli progettati per impedire proprio quel tipo di comportamento.
Telecomunicazioni e SIM swap
Uno dei settori nei quali gli insider risultano particolarmente richiesti è quello delle telecomunicazioni.
Il caso più significativo è rappresentato dal SIM swap, una tecnica attraverso la quale il numero telefonico della vittima viene associato a una SIM controllata dall’attaccante.
La presenza di un dipendente compiacente può permettere di aggirare alcune delle procedure normalmente utilizzate dagli operatori per verificare l’identità del cliente. Una volta ottenuto il controllo del numero telefonico, il criminale può intercettare codici monouso e procedure di recupero basate sugli SMS.
Le conseguenze possono coinvolgere account di posta elettronica, servizi finanziari, conti bancari e portafogli di criptovalute. Il ruolo dell’insider diventa particolarmente critico quando l’autenticazione a due fattori dipende ancora dalla rete telefonica.
Finance, l’insider come componente della frode
Nel settore finanziario il dipendente interno può diventare un elemento essenziale di operazioni fraudolente su larga scala.
Gli insider possono essere reclutati per autorizzare pagamenti, estrarre informazioni sui clienti o disattivare controlli antifrode. Altri possono contribuire direttamente alla monetizzazione delle operazioni criminali attraverso attività di skimming su ATM e POS oppure mediante finanziamenti fraudolenti.
Il settore finanziario mostra con particolare evidenza perché l’autorità operativa possa valere più di un privilegio amministrativo su un sistema informatico. Un dipendente inserito in un determinato processo può infatti essere autorizzato a eseguire transazioni che un cybercriminale esterno avrebbe difficoltà a ottenere anche disponendo di credenziali compromesse.
Industria ed energia, conta l’accesso fisico
Nel settore industriale ed energetico il reclutamento degli insider appare meno diffuso rispetto ad altri comparti analizzati.
Quando emerge, uno dei modelli osservati riguarda operazioni di payment skimming. In alcuni casi i gruppi criminali dispongono già dell’hardware e delle competenze necessarie per realizzare la frode, ma manca loro un elemento fondamentale: la possibilità di raggiungere fisicamente i terminali di pagamento senza essere controllati.
Dipendenti di stazioni di servizio o punti vendita possono quindi essere reclutati proprio per fornire accesso fisico non supervisionato alle apparecchiature.
Anche in questo caso il valore dell’insider deriva da una risorsa difficile da ottenere attraverso un attacco esclusivamente digitale: la presenza legittima all’interno dell’ambiente preso di mira.
Logistica, manipolare il tracking per sbloccare le frodi
Nel settore della logistica e delle spedizioni, il controllo delle informazioni di tracking può assumere un valore economico diretto.
Un insider può, per esempio, modificare lo stato di una spedizione indicando falsamente che un prodotto è stato consegnato. In determinati schemi fraudolenti questa modifica può essere utilizzata per sbloccare un pagamento.
La logica può funzionare anche al contrario. Impostando falsamente una spedizione come “Reso al mittente” è possibile interferire con una vendita legittima.
Per questo motivo i dipendenti che hanno la possibilità di modificare le informazioni associate alle spedizioni possono essere ricercati continuativamente nei mercati criminali.
Retail e frodi sui rimborsi
Anche il retail rappresenta un ambiente particolarmente interessante per il cybercrime basato sugli insider.
Le frodi sui rimborsi non vengono più considerate soltanto episodi opportunistici. La ricerca descrive la presenza di servizi organizzati nei quali dipendenti interni vengono pagati per autorizzare rimborsi fraudolenti consentendo al cliente di trattenere contemporaneamente la merce acquistata.
Broker, listini e relazioni continuative contribuiscono a professionalizzare queste operazioni. La presenza di operatori riconoscibili e di procedure relativamente standardizzate mostra come anche frodi tradizionalmente considerate di basso livello possano evolvere verso modelli criminali strutturati.
Quando il prodotto da manipolare è la reputazione
Un ulteriore scenario riguarda le piattaforme basate sulle recensioni e sulla reputazione degli utenti.
In questo caso non è necessariamente un dato riservato a possedere valore economico. Il prodotto che viene commercializzato è la possibilità di modificare la percezione della piattaforma.
Un insider potrebbe eliminare una recensione negativa, modificare un punteggio oppure riattivare un account precedentemente sospeso. Il danno non riguarda soltanto il singolo utente, ma può intaccare il meccanismo di fiducia sul quale si basa il servizio.
La ricerca segnala infatti la commercializzazione di servizi di riattivazione degli account e rimozione delle recensioni negative anche in relazione a piattaforme come Airbnb.
Il mercato criminale della fiducia
La trasformazione principale riguarda quindi il concetto stesso di insider threat.
Per anni le minacce interne sono state associate principalmente a dipendenti scontenti, errori involontari o singoli episodi di abuso dei privilegi. Lo scenario descritto dalla ricerca mostra invece un cambiamento nel quale sono direttamente i gruppi criminali a cercare dipendenti disponibili a collaborare.
“Per molto tempo abbiamo considerato le minacce interne come il risultato di dipendenti scontenti o di errori involontari. Oggi osserviamo qualcosa di molto diverso. I criminali reclutano attivamente dipendenti fidati attraverso marketplace criminali strutturati, trasformando l’accesso privilegiato in un servizio che può essere acquistato e venduto”, conclude Fanuli.
Il cybercrime non tenta quindi soltanto di sottrarre credenziali o sfruttare vulnerabilità: cerca di acquistare la fiducia già concessa dall’organizzazione a una persona.
L’intelligenza artificiale può aumentare il valore degli insider
Lo sviluppo dell’intelligenza artificiale potrebbe rendere questo problema ancora più rilevante.
Le organizzazioni stanno accumulando modelli proprietari, dataset utilizzati per l’addestramento, informazioni riservate e nuovi privilegi necessari per utilizzare infrastrutture AI. Questi asset possono diventare obiettivi economicamente rilevanti per il cybercrime.
Un insider capace di accedere a dataset, modelli, configurazioni, proprietà intellettuale o sistemi utilizzati per sviluppare applicazioni AI potrebbe rappresentare una risorsa particolarmente interessante per gli attaccanti.
La crescita dell’AI non elimina quindi il problema del fattore umano. Può, al contrario, aumentare il valore economico delle persone che dispongono di accessi e autorizzazioni su asset difficili da raggiungere dall’esterno.
La cybersecurity deve proteggere anche i processi
Lo scenario delineato modifica anche il perimetro tradizionale della cybersecurity.
La protezione delle organizzazioni non può limitarsi al monitoraggio di endpoint, reti, identità e vulnerabilità. Diventa necessario osservare anche come vengono utilizzati i privilegi all’interno dei processi aziendali e quali operazioni possono essere eseguite da una singola persona.
Controlli antifrode, procedure di approvazione, separazione dei compiti, verifica delle operazioni anomale e monitoraggio degli accessi assumono quindi un ruolo centrale.
La questione riguarda soprattutto la capacità di identificare le funzioni nelle quali fiducia e autorità sono concentrate nelle mani di singoli dipendenti. Sono proprio questi ruoli a poter diventare più interessanti per i criminali, anche quando non dispongono dei massimi privilegi tecnici.
Il cambiamento descritto dalla ricerca è sostanziale: per entrare in un’organizzazione non è sempre necessario trovare una vulnerabilità software. In alcuni casi può essere più semplice individuare una persona già autorizzata a compiere l’operazione desiderata e convincerla a collaborare.
