Meeting di gruppo: 10 regole per la sicurezza
Il grande aumento di popolarità che sta interessando queste app ha attirato l’attenzione dei criminali informatici Le app per i meeting di gruppo sono ormai diventate popolari, ma negli ultimi giorni molte di esse si sono scontrate con problemi legati alla sicurezza informatica. L’aumento di popolarità di applicazioni come HouseParty e Zoom ha infatti destato anche l’interesse dei criminali informatici, mettendo in evidenza i possibili rischi legati all’uso di queste piattaforme. David Emm, Principal Security Researcher di Kaspersky ha condiviso alcuni consigli su come proteggersi quando si utilizzano applicazione per le conferenze di gruppo, che siano con i propri cari o di lavoro. Il commento di David Emm In momenti come questo le persone sono particolarmente interessate a trovare metodi semplici e facili da utilizzare per rimanere virtualmente in contatto con i propri cari. Spesso, pur di connettersi nel modo più veloce e comodo possibile, si trascurano però alcuni aspetti molto importanti. Fatta la premessa che ciascun utente ha la possibilità di decidere quanto della propria vita privata desidera rendere pubblica online, è importante sottolineare che prima di condividere qualsiasi cosa in rete è importante farsi delle domande e tenere a mente qualche regola. Questo consentirà agli utenti di potersi connettere al web in modo sicuro e di rimanere in contatto con i propri cari. Domande da porsi prima di scaricare un’applicazione: Da dove trae i propri guadagni l’applicazione che intendiamo scaricare? Se l’app è gratuita, il prezzo da pagare molto probabilmente saranno le informazioni personali degli utenti. È importante quindi controllare i permessi richiesti dalle app e verificare quali dati vengono raccolti, memorizzati e riutilizzati. I dati trasmessi dall’applicazione vengono criptati? Tenersi informati sulle tattiche di social engineering. Come si fa a sapere che le persone con cui veniamo in contatto utilizzando l’app siano realmente chi dicono di essere? Come possiamo verificare le informazioni o i link ricevuti? Ricordarsi che niente e nessuno può considerarsi al sicuro al 100%. Anche se pensiamo di non essere interessanti per un criminale informatico, come potrebbe esserlo invece Jeff Bezos, siamo tutti potenziali vittime degli hacker interessati alle app Di seguito dieci consigli per utilizzare qualsiasi tipo di applicazione: Controllare con molta attenzione le impostazioni di privacy e sicurezza Utilizzare password uniche e complesse per tutti gli account online Porre dei limiti a ciò che può essere visto e condiviso Non dare la propria fiducia a qualcuno senza aver fatto prima delle verifiche. Verificare con i suoi contatti che l’identità di chi vi ha contattato/o inviato un link su un’applicazione sia reale Disattivare le funzioni che non vengono utilizzare o che non sono necessarie per abilitare l’accesso (ad es. microfono, accesso alla telecamera, ecc.). Non condividere ciò che non si vuole rendere pubblico e visibile a tutti Segnalare gli abusi Proteggere tutti I vostri dispositivi con un prodotto di sicurezza Internet affidabile Installare gli aggiornamenti del sistema operativo e delle applicazioni non appena disponibili Se si tratta di riunioni di lavoro, attenersi all’app raccomandata/fornita dalla vostra azienda e non alla vostra app preferita per le video call di gruppo. Fonte: BitMat.it
Spam e COVID-19: l’Italia è quarta a livello globale
Per proteggersi è necessario utilizzare una protezione multilivello che copra tutte le parti dell’infrastruttura I cyber criminali stanno sfruttando la pandemia di COVID-19 per penetrare le difese di aziende e utenti e diffondere campagne malware, spam, truffe Business Email Compromise, ransomware e altro ancora. È quanto emerge dall’ultima ricerca dei laboratori Trend Micro, che per tutto il mese di marzo hanno monitorato la rete e i movimenti dei malintenzionati. I cyber criminali sono soliti sfruttare gli avvenimenti di cronaca, come la scomparsa di personaggi famosi o i grandi incidenti e calamità naturali, per confezionare truffe capaci di far abbassare le difese agli utenti ed entrare così in possesso di dati sensibili di privati e aziende. Anche in questo caso non si sono fatti sfuggire l’occasione purtroppo e i fenomeno ha una portata globale che non si era mai vista prima, seguendo di pari passo lo sviluppo della pandemia. I ricercatori Trend Micro hanno scovato finti siti governativi, fake news per spingere gli utenti a cliccare sul link e soprattutto campagne spam che annunciavano cure o le ultime notizie sul virus, per portare poi a pagine maligne o inoculare minacce nei dispositivi degli utenti. A oggi, le campagne spam sono sono state lo strumento più utitlizzato dai cybercriminali (65,7% degli attacchi). A seguire i malware (26,8%), gli URL maligni (7,5%) e altri strumenti come le truffe BEC e i ransomaware. Nella lista dei Paesi più colpiti, l’Italia è quarta a livello globale per spam ricevuto e sesta per numero di file maligni rilevati. Come difendersi? Trend Micro raccomanda di utilizzare una protezione multilivello che copra tutte le parti dell’infrastruttura, in questo caso facendo anche molta attenzione alla protezione degli strumenti legati alla posta elettronica, sia che si tratti di software installati che in cloud. Ulteriori informazioni sono disponibili qui. Fonte: BitMat.it
Truffa del CEO e lavoro remoto: 4 regole per tutelarsi
Un cybercriminale si finge una figura manageriale e si inserisce nelle sue conversazioni via e-mail, rubandone l’identità. La truffa del Ceo (Ceo Fraud) è uno degli attacchi informatici più pericolosi per le aziende, soprattutto per le PMI. Più tecnicamente, si chiama Business e-mail compromise: un cybercriminale si finge il CEO (o un’altra figura manageriale) di un’azienda e si inserisce in conversazioni via e-mail già esistenti – o inizia trattative con utenti che abitualmente hanno una corrispondenza con la persona a cui ha rubato l’identità virtuale. Secondo un’analisi di Symantec, l’Italia, con circa 400 aziende colpite al giorno, è al secondo posto dopo gli Stati Uniti per numero di attacchi di questo tipo. Un dato ancor più impressionante se si considera che la maggior parte delle imprese-vittime sceglie di non dichiarare l’attacco. Inoltre, in un periodo in cui le aziende sono chiamate ad incentivare il lavoro da remoto dei propri dipendenti, limitando quanto più possibile i contatti personali, aumentano le possibilità di essere colpiti da attacchi di questo tipo ed è quindi importante imparare a riconoscerli. “Le aziende più colpite sono quelle che fanno affidamento solo sull’email e non hanno precedentemente investito in ERP e formazione, spiega Marco Lucchina, Cybersecurity Manager di CybergON Security, Business Unit di Elmec Informatica. Le conseguenze di questi attacchi possono essere estremamente critiche. Oltre alla perdita di denaro, infatti, entra in gioco il tema reputazionale della società e naturalmente dei dirigenti che vengono coinvolti”. Questo tipo di attacchi è predisposto solo dopo una lunga e approfondita preparazione da parte del cybercriminale che deve far propri contenuti e modalità di comunicazione di chi andrà a fingersi, per questo molto spesso è molto difficile riconoscerli. Per evitare di cadere in questa frode un buon punto di partenza è la consapevolezza che queste dinamiche esistono e che ognuno di noi può diventarne vittima. CybergON ha individuato i campanelli d’allarme utili per riconoscere un attacco di questo tipo prima che sia troppo tardi: Richieste di denaro su un nuovo conto correnteTipicamente le richieste che giungono dal “falso CEO” sono di versare denaro, spesso in modo rateale, su un conto corrente diverso da quello normalmente utilizzato. Una comunicazione esclusivamente via e-mailIl cybercriminale chiede di proseguire la conversazione esclusivamente via mail motivando la sua richiesta con ragioni di urgenza e confidenzialità, che possono suonare anche molto credibili e familiari. Destinatari a contatto con la contabilità aziendaleLe vittime prescelte sono spesso dipendenti che ricoprono ruoli con la possibilità di intervenire nella contabilità di un’azienda e abituati quindi a gestire trasferimenti di denaro. Attenzione a qualunque anomaliaUna anomalia è qualcosa che non rientra nel normale funzionamento delle cose. Se, per esempio, un AD chiede ai propri collaboratori di compilare un form, senza averlo mai fatto prima, è buona norma sospettare del link che ha allegato e chiedere conferma attraverso un altro canale di comunicazione. “Le buone abitudini legate alle truffe online sono sempre valide per evitare brecce negli account di posta: password efficaci e autenticazioni multi-fattore mitigano il rischio, prosegue Lucchina, avere un processo interno di gestione e controllo delle e-mail fornisce inoltre un ulteriore livello di protezione da eventuali tentativi di attacco Man in The Middle o CEO fraud. Procedure anti-frode, l’analisi delle mail, dei domini e di altri indizi sono alcune modalità di intervento che la specialità di Cyber Intelligence può farsi carico per garantire una strategia di difesa efficace. Ciò che individualmente possiamo fare è rimanere vigili, fare controlli incrociati su richieste inconsuete chiamando il diretto interessato, verificare sempre l’indirizzo del mittente e agire solo ed esclusivamente quando si è sicuri della legittimità della richiesta e della fonte”. Fonte: BitMat.it
Crescono gli attacchi di phishing che sfruttano il Coronavirus
Dalla richiesta di donazioni a organizzazioni benefiche fasulle al furto di credenziali, gli attacchi di phishing che sfruttano l’emergenza COVID-19 sono sempre più numerosi. I ricercatori di Barracuda hanno osservato un recente picco in questo tipo di attacco, in crescita del 667 percento dalla fine di febbraio. Tra l’1 e il 23 marzo Barracuda Sentinel ha rilevato 47.825 attacchi spear phishing email: 9.116 di questi rilevamenti erano collegati al COVID-19, il che rappresenta circa il 2 per cento degli attacchi. Per fare un raffronto, a febbraio sono stati rilevati 1.188 attacchi email relativi al Coronavirus e a gennaio solo 137. Sebbene il numero complessivo di questi attacchi sia ancora basso rispetto ad altri, la minaccia sta crescendo rapidamente. La minaccia Phishing collegato al Coronavirus — Diverse campagne di phishing stanno sfruttando la crescente attenzione rivolta al COVID-19 per diffondere malware, rubare credenziali e truffare gli utenti sottraendo loro denaro. Gli attacchi utilizzano tattiche di phishing comuni che si osservano regolarmente; tuttavia, un numero crescente di campagne fa leva sul coronavirus per tentare di ingannare gli utenti distratti, sfruttando la paura e l’assenza di certezze delle vittime designate. L’FBI ha recentemente diffuso un avviso su questo tipo di attacchi. I dettagli I ricercatori di Barracuda hanno individuato tre tipi principali di attacchi di phishing che utilizzano temi legati al Coronavirus COVID-19: truffa, brand impersonation e business email compromise. Degli attacchi correlati al Coronavirus rilevati da Barracuda Sentinel al 23 marzo, il 54% era costituito da truffe, il 34% da attacchi di brand impersonation e l’1% da compromissione della posta elettronica aziendale. Gli attachi di phishing che sfruttano il COVID-19 stanno diventando sempre più sofisticati. Negli ultimi giorni, i ricercatori di Barracuda hanno registrato un numero significativo di tentativi di ricatto e qualche istanza di conversation hijacking. Di contro, fino a qualche giorno fa sono stati osservati prevalentemente tentativi di truffa. Al 17 marzo, degli attacchi di phishing legati al Coronavirus individuati da Barracuda Sentinel, 77 percento erano truffe, 22 percento tentativi di brand impersonation e 1 percento di business email compromise. Secondo gli esperti di Barracuda, la tendenza verso attacchi più sosfisticati è destinata a continuare. Gli obiettivi degli attacchi vanno dalla diffusione di malware al furto di credenziali, al guadagno economico. Un nuovo tipo di ransomware rilevato dai sistemi di Barracuda ha persino assunto il nome di COVID-19 e si è soprannominato CoronaVirus. Gli hacker più esperti sono bravi a far leva sulle emozioni per ottenere una risposta ai loro tentativi di phishing, come dimostrano le campagne di sextorsion, che riescono nell’intento di provocare imbarazzo e paura nelle persone al fine di sottrarre loro denaro. Con la paura, l’incertezza e la solidarietà derivanti dalla situazione attuale, gli hacker hanno individuato alcune emozioni chiave da sfruttare. Ad esempio, è stato rilevato un tentativo di ricatto nel quale il criminale affermava di avere accesso alle informazioni personali della vittima, di sapere dove si trovasse, minacciando di infettare la vittima e la sua famiglia con il Coronavirus se non fosse stato pagato un riscatto. Barracuda Sentinel ha rilevato questo particolare attacco 1.008 volte nell’arco di due giorni. Truffe Molte delle truffe rilevate da Barracuda Sentinel sono basate sul tentativo di vendere cure per il Coronavirus o mascherine, oppure chiedono di versare del denaro a favore di finte aziende che starebbero sviluppando il vaccino. Le truffe sotto forma di richieste di donazioni per organizzazioni benefiche fasulle sono un altro popolare metodo di phishing che sfrutta il Coronavirus, rilevato dai ricercatori di Barracuda. Ad esempio, una di queste truffe smascherate dai sistemi Barracuda affermava di provenire dalla World Health Community (che non esiste, ma che gioca sulla somiglianza del nome con quello della World Health Organization) e chiedeva donazioni attraverso un portafoglio Bitcoin fornito nella email. Malware Una varietà di ‘normale’ malware viene distribuita tramite phishing correlato al coronavirus, in particolare con varianti modulari che consentono ai criminali di distribuire diversi moduli di payload attraverso lo stesso malware. Il primo malware a sfruttare il coronavirus è stato Emotet, un famoso Trojan bancario, diventato modulare l’anno scorso. IBM X-Force ha scoperto che Emotet veniva distribuito nelle e-mail giapponesi che affermavano di provenire da un fornitore di servizi per disabili. Le e-mail di phishing contenevano un documento che scaricava e installava Emotet quando le macro erano abilitate, una pratica comune per la distribuzione di malware in questi giorni. LokiBot è un altro malware modulare, che spesso mira a rubare credenziali e dati di accesso, ed è stato diffuso in almeno due diverse campagne di phishing collegate al Coronavirus che Comodo ha monitorato. Una campagna utilizzava il trucco delle fatture allegate, che contenevano LokiBot, aggiungendo delle scuse per il ritardo nell’invio dovuto al Coronavirus. L’altra campagna affermava di essere un aggiornamento di notizie e “Una cosa che devi fare” (una variante di “Uno strano trucco”, molto comune nello spam), e conteneva un collegamento al malware. I sistemi Barracuda hanno rilevato numerosi esempi di email che utilizzano la scusa della fattura, come quella in calce, che è stata rilevata più di 3.700 volte. Altri malware che sfruttano il COVID-19 per il furto di informazioni includono AzorUlt, che viene diffuso da un sito di phishing sotto forma di una mappa dei contagi, e TrickBot, che sta circolando in Italia tra le email di phishing. Furto di credenziali Oltre alla diffusa raccolta di credenziali da parte di malware che rubano informazioni, gli attacchi di phishing con collegamenti a pagine di accesso contraffatte utilizzano anche il Coronavirus come esca. Una di queste varianti rilevata dai sistemi Barracuda sostiene di provenire dai CDC (Centri statunitensi per il controllo e la prevenzione delle malattie) e tenta di rubare le credenziali di Microsoft Exchange quando si clicca sul link pericoloso. Come proteggersi Anche se le email di phishing che sfruttano il Coronavirus sono nuove, valgono comunque le stesse precauzioni di sempre per la sicurezza della posta elettronica: Diffidare di qualsiasi email che cerchi di indurre gli utenti ad aprire allegati o a cliccare sui link. Le soluzioni anti-malware e anti-phishing possono essere particolarmente utili per impedire a email e payload dannosi di raggiungere i destinatari predestinati, ma
Come e quando fare il backup del pc
Il consiglio è quello di non affidarsi ad un’unica procedura ma di fare il backup periodico sia in cloud che su unità esterna. Ogni anno al mondo vengono generati circa 1,8 zettabyte di file (fonte Icd Digital Universe). Questa mole di dati, personali o lavorativi, è soggetta ai rischi più comuni della sicurezza informatica: furti, virus, attacchi strutturali alla memoria fisica dove sono salvati. Con l’avvicinarsi del “World Backup Day” del 31 Marzo, Panda Security intende fare il punto su alcune procedure di come fare il backup e al contempo spronare gli utenti ad eseguire questa semplice operazione che purtroppo troppo spesso viene ignorata. Il processo di backup è uno dei pilastri della sicurezza informatica, ed è bene chiarire che è necessario avere più copie di dati salvate su ubicazioni diverse. La diversificazione dei salvataggi è la misura di sicurezza più efficace contro gli attacchi ransomware. È possibile distinguere tre tipologie di backup del PC: Backup dei dati su hard disk esterno Con Windows è possibile fare una copia di backup dei dati presenti sul computer e salvarli su un’unità esterna, un hard disk portatile o una chiavetta USB. In caso di un attacco ransomware o di danneggiamento del sistema a causa di un malware, potremo reinstallare il sistema operativo e recuperare tutti i dati dalla nostra copia di backup. Il principale limite di questa soluzione è la lentezza del trasferimento dati, per cui fare il backup periodico diventa poco pratico per chi ha molti GB di dati. Inoltre, è necessario un’unità esterna che è soggetta ad un logoramento o può essere smarrita, soprattutto nel caso delle chiavette USB. Backup nel cloud Oltre a salvare una copia di sicurezza su un’unità esterna, Panda Security consiglia di utilizzare un servizio di backup in cloud. In aggiunta ad una velocità di trasferimento notevole, il principale vantaggio è che i dati vengono frammentati e salvati su una rete di server sparsi per il mondo. In questo modo per un hacker è molto più difficile accedervi e la ridondanza dei dati è significativamente maggiore rispetto a quella ottenuta creando copie di backup su unità esterne. Un passaggio preliminare di fondamentale importanza, per ognuna di queste modalità, è la scansione antivirus completa del sistema o dei file copiati. Se si copia un sistema infetto questo potrebbe risultare inutilizzabile o portatore del virus su altri dispositivi. Clone del sistema In aggiunta ai due metodi precedenti, è possibile usufruire di software che permettono di clonare il sistema. Il clone, a differenza della copia di backup, conterrà anche il sistema operativo e le relative impostazioni, richiedendo un tempo molto lungo ed uno spazio di archiviazione molto ampio. Un metodo alternativo è la creazione di un punto di ripristino di Windows, ovvero un’immagine del sistema con le informazioni contenute nel computer in un momento dato. È un procedimento meno sicuro perché il punto di ripristino viene salvato sullo stesso hard disk interno del sistema operativo, per cui se il computer è danneggiato perde anche l’immagine di sistema creata. Panda Security consiglia di non affidarsi ad un’unica procedura ma di fare il backup periodico in cloud che su unità esterna. L’obiettivo di aumentare la ridondanza dei dati è percorribile tramite il contemporaneo utilizzo di un servizio cloud che non richieda alcuna gestione da parte dell’utente – il programma crea ed aggiorna una copia dei dati che si vuole preservare – e di una copia su un supporto esterno. In questo modo l’utente avrà a disposizione tre copie dei dati (originale + cloud + memoria esterna). Inoltre, Panda Security suggerisce di tenere periodicamente aggiornati entrambi i backup: per un uso soprattutto personale del computer è auspicabile impostare la sincronizzazione dati del cloud almeno una volta alla settimana. Per le copie di sicurezza su unità esterne il processo è sicuramente più lungo e si scontra con la possibile pigrizia degli utenti. Il consiglio più importante è quello di non procrastinare molto la copia dei file: essendo più difficile da attaccare, si può ridurre la frequenza di salvataggio ad una ogni due settimane massimo su un supporto esterno, ma resta necessario per avere sempre copie aggiornate per ripristinare il computer in caso di attacchi informatici o guasti. Fonte: BitMat.it
Credenziali in pericolo se la gestione non è adeguata
Le abitudini più pericolose e quelle che dovremmo cambiare nel più breve tempo possibile. Durante le normali attività giornaliere, che siano personali o lavorative, abbiamo l’abitudine di salvare credenziali di ogni tipo sui nostri personal computer o smartphone. Alcune delle abitudini sbagliate sono: Salvare username / password su file TXT o su file XLS o DOC. Salvare username / password quando il browser Chrome o Firefox ci chiede di salvare le password appena inserite, ad esempio su un social network o casella di posta elettronica. Salvare username / password di accesso a sistemi di backup in cloud. Salvare username / password di accesso per gestire la posta in maniera centralizzata attraverso un client di posta elettronica come Outlook o Thunderbird (i più utilizzati). Partendo dalla quarta abitudine ed andando a ritroso dobbiamo sapere che quando vengono memorizzate le credenziali di accesso POP, IMAP, SMTP su un client di posta elettronica, quest’ultimo le salva in una determinata cartella del disco fisso; alcuni client le salvano in chiaro, altri ancora le salvano criptate con delle chiavi crittografiche scritte, alcune volte, da qualche parte sul disco fisso dello stesso computer. Detto questo, è abbastanza banale capire che uno script malevolo (ad esempio un allegato arrivato sul nostro computer attraverso un messaggio di posta elettronica) potrebbe in maniera veramente molto semplice accedere a queste informazioni ed inviarle ad un malintenzionato pronto a riceverle e ad assumere il controllo completo delle n-caselle di posta elettronica con annesse credenziali che ha appena ricevuto. Per fare questo lo script malevolo deve tener conto di solo 3 elementi: la posizione dei file in cui ci sono memorizzate le username e le credenziali; la posizione delle eventuali chiavi; il metodo con cui sono stati criptati. Purtroppo queste informazioni sono disponibili sul web per gran parte dei client di posta elettronica, come sono anche disponibili sul web una serie di strumenti pronti a compiere questo tipo di attività. È famoso il tool di NIRSOFT MAIL Pass View, che dimostra la semplicità dell’operazione, strumento utilizzato dai sistemisti per recuperare le credenziali di posta elettronica durante una fase di cambio di una workstation. Il problema sta nel fatto che uno strumento/metodologia di questo genere, potrebbe essere sfruttato anche da malintenzionati che vogliono solo ed esclusivamente impossessarsi delle credenziali di accesso. Addirittura, basterebbe rubare da un PC la cartella “profiles” di Thunderbird per poi analizzarla con calma su qualche altro sistema per estrarne le credenziali. Ancora più semplice dell’avviare uno script malevolo che con gli antivirus di nuova generazione potrebbe incontrare tanti problemi durante l’esecuzione, sarebbe fare un normalissimo copia ed incolla o Ftp Upload che al contrario non avrebbe problemi con gli antivirus. Relativamente all’abitudine n°2 il problema è molto simile, anche in questo caso tutte le credenziali vengono salvate da qualche parte nel disco fisso ed anche in questo caso esistono degli strumenti o degli script malevoli che possono intercettare tali informazioni. Gli elementi da prendere in considerazione sono sempre 3 (posizione delle informazioni, chiavi e metodo) ed anche qui, le informazioni e gli strumenti si trovano sul web. Lo strumento WebBrowserPassView, ad esempio, è famoso e dimostra quanto sia semplice un’operazione di recupero credenziali memorizzate attraverso un browser; attraverso tale semplice strumento, un malintenzionato potrebbe recuperare credenziali di accesso a social network, e-commerce, webmail e servizi web di ogni genere. L’abitudine n°3 presenta simili problemi e rischi poiché anche i software che si occupano di Backup conservano in qualche cartella, le credenziali di accesso ad una connessione di rete, ad un sistema in cloud, ad un NAS o ad una cartella condivisa. È importante conoscere se il software di backup utilizzato conserva le credenziali in chiaro o criptate, e nel caso siano criptate ci si augura non venga usata la banalissima codifica BASE64. Ho consapevolmente deciso di affrontare per ultimo, i rischi dell’abitudine n°1 perché pur sembrando quella più pericolosa, contemplando la possibilità di salvare le credenziali in un file TXT, quest’ultima risulta essere più sicura, nella sua pericolosità, rispetto al problema del client di posta elettronica. Ad esempio, il malware o il malintenzionato dovrebbe conoscere il nome del file su cui l’utente ha salvato alcune credenziali e la sua localizzazione all’interno del disco; se l’utente decide di salvare alcune credenziali nel file readme.txt posizionato all’interno della cartella “C:\Program Files (x86)\Microsoft Analysis Services\AS OLEDB\10\Resources\1033”, l’operazione di individuazione delle credenziali risulterebbe essere alquanto complessa. Le credenziali del tipo “Username/Password” rappresentano ormai un serio pericolo per tutti, quindi si dovrebbe considerare obsoleto e pericoloso l’utilizzo di username/ password in maniera esclusiva. Sono quattro le abitudini che dovremmo cambiare nel più breve tempo possibile attivando anche delle modifiche ai nostri sistemi: Applicare la Multi Factor Authentication ove possibile. Bisogna precisare che si può parlare di MFA quando si integrano almeno 2 soluzioni tra conoscere, avere ed essere rappresentati in modo univoco. Una password, una username, un PIN sono elementi che si conoscono; un token, una smart card, un SMS ricevuto sullo smartphone sono elementi che si hanno; l’impronta digitale, il riconoscimento facciale, la scansione dell’iride sono elementi che ci rappresentano in modo univoco. Attenti a non fare confusione! Utilizzare client di posta elettronica, in cui ci è permesso di usare chiavi crittografiche personalizzate, ad esempio Thunderbird con la Master Password. Utilizzare software e strumenti di backup, in cui le credenziali vengono criptate con una chiave personalizzata o attraverso metodologie di Hashing. Evitare di conservare credenziali su file TXT, XLS facilmente intercettabili da un malware o da un malintenzionato, ad esempio su un file password.xls all’interno della cartella documenti o desktop. Naturalmente, è sempre indispensabile cambiare le credenziali spesso rispettando i criteri di complessità delle stesse e la loro univocità nei vari sistemi in cui si è coinvolti. L’utilizzo di un sistema del tipo “Password Manager”? No Grazie! Per oggi ci fermiamo qui, ne riparliamo nel dettaglio un’altra volta. Fonte: BitMat.it
Traffico crittografato: un pericolo sottovalutato
Due terzi delle aziende non riescono a proteggere adeguatamente le proprie risorse dalle minacce che utilizzano in modo improprio SSL / TLS. Il fornitore di soluzioni per il monitoraggio e la sicurezza della rete Flowmon Networks presenta i risultati di una mappatura delle strategie di difesa che le organizzazioni realizzano per affrontare le minacce nel traffico crittografato. Condotto per conto dell’azienda da IDG Connect, il sondaggio ha coinvolto oltre 100 responsabili IT esplorando le loro esperienze nei confronti di questo vettore di attacco in rapida crescita. Nel corso della storia dell’IT, le nuove tecnologie sono sempre state utilizzate da malintenzionati per realizzare attività criminali, e la crittografia non fa eccezione. Sebbene i team impegnati sulla sicurezza aziendale la implementino come contromisura di sicurezza predefinita, in realtà si aprono spazi agli attori delle minacce per nascondere le loro attività proprio in quello che è considerato traffico sicuro. Un gran numero di aziende sono state esposte non solo agli attacchi che sfruttano le vulnerabilità SSL/TLS, ma anche a quelli che le utilizzano per mascherare i movimenti sulla rete e attaccare le applicazioni. Senza un set di strumenti adeguato che copra tutti i vettori di attacco, gestire le minacce crittografate è una sfida difficile. “Lo studio mostra che la stragrande maggioranza degli investimenti è destinata alla decodifica del traffico sul perimetro, lasciando l’organizzazione vulnerabile a molte forme comuni di attacco, come ransomware, botnet che oscurano la comunicazione con i server Command & Control o exploit del browser. Solo il 36% degli intervistati ha implementato contemporaneamente protezione perimetrale e di rete”, afferma Mark Burton, amministratore delegato di IDG Connect. I risultati chiave dell’indagine: il 41% dichiara di non avere le idee chiare su come rispondere a queste minacce il 61% utilizza per la decrittazione del traffico un proxy SSL dedicato il 76% utilizza il controllo SSL a livello di firewall il 56% utilizza strumenti di analisi del traffico di rete per monitorare i dati criptati. I due maggiori ostacoli all’utilizzo della decrittazione del traffico di rete mediante l’uso di un proxy SSL sono la paura di violare la privacy dei dati (36%) e le preoccupazioni sul degrado delle prestazioni (29%). Tutti coloro che sono impegnati nella difesa della rete devono collaborare per respingere tutte le minacce crittografate. I risultati del sondaggio evidenziano l’importanza di implementare l’analisi del traffico di rete (Network Traffic Analysis) e la decrittazione SSL contemporaneamente per fornire la stessa protezione contro le minacce esterne e interne. Gli intervistati riconoscono gli strumenti NTA come un modo per riunire team operativi di rete e sicurezza, e condividere una singola versione della situazione (il 49% la classifica come una delle capacità principali di tali strumenti), per migliorare la prevenzione e accelerare il rilevamento e la risposta. “La maggior parte delle organizzazioni non è in grado di ispezionare il traffico SSL/TLS su larga scala e i criminali informatici ne sono consapevoli. La decripttazione è uno strumento potente ma anche costoso e dispendioso in termini di risorse. Pertanto, ha un significato tattico utilizzare l’Encrypted Traffic Analysis (ETA), che è leggero e copre la maggior parte dei casi, per monitorare la rete in modo olistico e riservare l’uso della decrittazione solo per i servizi critici”, afferma Angelo Sbardellini, Sales Manager per l’Italia e Malta di Flowmon Networks. Fonte: BitMat.it
Phishing: boom di frodi legate al Coronavirus
Alcuni hacker si stanno spacciando per autorità per perpetrare frodi sfruttando l’emergenza sanitaria. In seguito all’attuale situazione di emergenza sanitaria è aumentato il flusso di informazioni che circolano via mail e su altri canali. È quindi importante porre la massima attenzione ai tentativi di phishing e di attacchi malware. Come in ogni emergenza, i malintenzionati vedono sempre un’opportunità, e questa non fa eccezione. I ricercatori di Barracuda hanno recentemente osservato alcuni criminali informatici che si spacciano per autorità, sfruttando il Coronavirus per perpetrare frodi e hanno registrato nuovi attacchi informatici basati sull’intenso interesse pubblico per questo virus. Uno dei più comuni di questi attacchi passa attraverso le caselle di posta elettronica. Il criminale finge di essere un’organizzazione come Organizzazione Mondiale della Sanità (OMS) oppure i Centri statunitensi per il controllo e la prevenzione delle malattie (CDC) per indurre gli utenti ad aprire un’email malevola. Molte organizzazioni governative hanno emesso avvisi contro questi attacchi. Le truffe via email seguono sempre i titoli dei giornali La maggior parte di queste truffe vengono progettate principalmente con i seguenti obiettivi: Infettare il dispositivo dell’utente e diffondere malware Rubare le credenziali di accesso tramite un sito di phishing o altri meccanismi di phishing Raccogliere donazioni per organizzazioni benefiche false attraverso siti web pericolosi L’attuale pandemia ha offerto ai truffatori queste e altre opportunità: Vendere versioni contraffatte di forniture mediche che attualmente scarseggiano Convincere con l’inganno gli utenti ad acquistare cure fasulle Offrire opportunità di investimento in aziende che dichiarano di aver trovato una cura Diffondere l’infezione C’è stata una vera e propria impennata nella registrazione di nuovi domini che utilizzano la parola ‘coronavirus’. Alcuni di questi saranno usati con finalità corrette, ma molti altri saranno utilizzati dagli hacker a scopo di truffa. Questi siti web pericolosi potrebbero offrire apparentemente notizie o consigli sull’epidemia di coronavirus ma venire invece utilizzati per phishing o per diffondere malware. Le truffe tramite posta elettronica spesso includono link a questo tipo di siti. Attacchi di email impersonation Nelle ultime settimane i ricercatori di Barracuda hanno assistito a numerosi attacchi realizzati fingendosi la World Health Organization. Queste email di phishing sembrano provenire dalla WHO con informazioni sul Coronavirus COVID-19. Spesso utilizzano tattiche di spoofing del dominio per indurre gli utenti a credere che questi messaggi siano autentici. Lavoro a distanza e aumento dei rischi Come misura preventiva contro la diffusione del Coronavirus COVID-19, molte aziende stanno chiedendo ai dipendenti di lavorare da casa fino a nuovo avviso. I lavoratori da remoto utilizzano spesso l’email per comunicare con gli altri dipendenti e per ricevere aggiornamenti sul luogo dal quale lavorare, oltre che su altri temi legati all’epidemia. Ciò pone gli utenti in uno stato di costante attesa di messaggi email da parte delle risorse umane o della direzione sull’argomento del virus. Questa attesa crea un rischio maggiore per l’azienda perché l’utente ha maggiori probabilità di aprire per sbaglio una mail fraudolenta se si aspetta un messaggio simile ma autentico. Questi fattori, uniti alla ridotta capacità di avere certezze sull’autenticità dell’email dovuta al fatto di lavorare da remoto, creano un ambiente perfetto per le truffe via email. Come proteggere azienda e dipendenti Esistono modi diversi per proteggere le aziende e i dipendenti dalle truffe via email e sono basati sulla formazione delle risorse e sulle tecnologie di sicurezza: Mai cliccare sui link contenuti nelle email che provengono da fonti sconosciute; possono portare a siti web pericolosi. Diffidare delle email che affermano di provenire dal CDC o dalla WHO. Si consiglia di andare direttamente sui rispettivi siti web per leggere le più recenti informazioni. Prestare particolare attenzione ai messaggi email dei dipartimenti interni o dei dirigenti che hanno inviato aggiornamenti regolari sull’epidemia. Lo spoofing del dominio e del nome visualizzato sono alcune delle tecniche più comuni utilizzate. Non fornire mai informazioni personali o dettagli di accesso in risposta a una richiesta via email. Tutte le email e gli attacchi malevoli devono essere immediatamente segnalati ai dipartimenti IT che predisporranno indagini e misure correttive. Assicurarsi che la propria azienda disponga di un sistema di protezione affidabile contro virus, malware e phishing. Fare in modo che i dipendenti ricevano una formazione aggiornata sugli ultimi attacchi di phishing e social engineering. Fonte: BitMat.it
Il 94% delle minacce arriva dalla posta elettronica
I sistemi di cyber difesa tradizionali faticano a tenere il passo con le innovazioni delle minacce, sempre più complesse e sofisticate. Qualsiasi business digitale si basa ormai su posta elettronica e piattaforme collaborative. La corrispondenza scritta via mail è il luogo in cui le informazioni aziendali vengono condivise, dove sono elaborati i piani strategici e si formano nuove alleanze. Tuttavia, in quanto mezzo di comunicazione guidato dall’uomo, la posta elettronica sarà sempre caratterizzata da una diffusa assunzione di fiducia che la rende spesso l’anello debole all’interno della strategia di sicurezza di un’organizzazione. Non stupisce, quindi, che ancora oggi il 94% delle minacce informatiche abbia origine nella email e i sistemi di cyber difesa tradizionali fatichino a tenere il passo con le innovazioni delle minacce, sempre più complesse e sofisticate. Peter Firstbrook, VP Analyst di Gartner, ben riassume le dinamiche del mercato affermando che: “I sistemi di controllo tradizionali, come gli antivirus standard, basati sulla reputation e sulle signature e l’anti-spam, possono funzionare per le campagne diffuse ma non sono abbastanza efficaci contro gli attacchi più mirati, sofisticati e avanzati. Oggi più che mai, nella progettazione dei sistemi di sicurezza della posta elettronica, è necessario un cambiamento di mentalità per stare al passo con l’evoluzione del panorama delle minacce in rete”. Nel nuovo report Darktrace Cyber AI – An Immune System for Email, Darktrace rivela come nell’email security di oggi questo cambiamento di paradigma consista in una reale comprensione unificata e personalizzata del traffico di rete, del cloud e della posta elettronica, che grazie all’applicazione dell’intelligenza artificiale su scala aziendale si è finalmente concretizzata in un approccio ‘immune system’ alla cyber-difesa. Nel report, Darktrace ha identificato quattro tipologie di attacco email altamente sofisticate, generalmente in grado di bypassare i sistemi di sicurezza informatici aziendali, ma che grazie all’intelligenza artificiale possono essere facilmente neutralizzati in pochi secondi e ha incluso alcuni esempi significativi di casi che il suo sistema è stato in grado di bloccare, prevenendo ogni possibile danno. Spear Phishing e Payload Delivery – l’attacco WeTransfer all’università di SingaporeLa maggior parte delle campagne di phishing tenta di ingannare gli utenti invitandoli a cliccare su un link o aprire allegati dannosi contenuti nell’email, con l’obiettivo finale di raccogliere credenziali o di diffondere malware. I numeri del fenomeno sono decisamente allarmanti se si pensa che una email su 99 cela al suo interno un attacco phishing. Questo genere di attacchi può essere lanciato massivamente oppure sotto forma di “spear phishing”, personalizzando il messaggio per un particolare destinatario o azienda. È il caso della minaccia lanciata tramite email phishing ai danni di un’università di Singapore che ha utilizzato le tipiche notifiche di WeTransfer per inserire all’interno della mail un link malevolo. Negli header del messaggio non erano presenti segnali evidenti che l’email avesse un mittente diverso da WeTransfer, il che l’avrebbe fatta apparire perfettamente normale agli occhi del destinatario. L’attacco aveva aggirato ogni altro sistema di sicurezza signature-based che l’università aveva in atto. Inoltre, il link utilizzava un dominio completamente benigno e non portava a un payload evidentemente dannoso, per questo anche l’analisi euristica e il sandboxing avrebbero fallito. Antigena Email è stata in grado di cogliere una serie di sottili anomalie, tra cui l’indirizzo IP e la presenza di un link altamente incoerente con quelli solitamente individuati da Darktrace nelle mail WeTransfer autentiche, identificando quest’ultimo come il payload dannoso. Supply Chain Account Takeover: quando la minaccia arriva dai fornitori più fidatiSottrarre e sfruttare i dettagli dell’account di un contatto a partire dai fornitori aziendali con il quale i dipendenti intrattengono spesso scambi di email, è un’altra tecnica sempre più diffusa perché porta chi attacca a guadagnarsi facilmente la fiducia del destinatario inducendolo a cliccare su link dannosi o, nella peggiore delle ipotesi, a trasferire milioni di euro dall’attività. Si stima che le perdite derivanti da account takeover siano più che triplicate nell’ultimo anno, raggiungendo la cifra di 5,1 miliardi di dollari. I criminali che effettuano la sottrazione dell’account a partire da un fornitore aziendale sono in grado di studiare le precedenti interazioni via email e di generare risposte mirate in base agli ultimi messaggi scambiati. Il linguaggio usato spesso appare benevolo e innocuo, ed è il motivo per cui gli strumenti di sicurezza tradizionali basati sulla ricerca di parole chiave o frasi indicative di phishing non sono in grado di cogliere queste minacce. In uno dei casi riportati da Darktrace nell’Email Threat Report, il mittente della mail – una società di consulenza con sede nel Regno Unito – era ben noto all’azienda, e diversi utenti interni avevano intrattenuto scambi di email in precedenza. Uno dei dipendenti era impegnato in una normale corrispondenza con l’account incriminato. Meno di due ore dopo questo scambio di routine, sono state inviate email a 39 utenti aziendali, ciascuna contenente un link di phishing. Le variabili di rischio tipicamente associate agli account takeover della supply chain e indentificate da Antigena Email sono state, oltre all’insolita localizzazione dell’accesso (non nel Regno Unito ma negli Stati Uniti), anche l’”inconsistency” dei link inviati; nonostante fossero ospitati su Microsoft Azure, il dominio risultava essere altamente incoerente per il mittente sulla base della storia della corrispondenza precedente. Infine, l’anomalia del gruppo dei destinatari della mail, che abitualmente non ricevevano mail dallo stesso mittente, e la devianza dagli argomenti solitamente discussi intercettata da Antigena Email hanno permesso l’individuazione e l’eliminazione immediata della minaccia. Social Engineering e Solicitation – Attacchi di impersonificazione: quando è un finto capo a chiedere le informazioniGli attacchi di social engineering implicano tipicamente un tentativo sofisticato di impersonificazione, in cui gli aggressori inducono il destinatario a rispondere e intrattenere una comunicazione o eseguire una transazione offline. Solitamente, questo tipo di attacco non prevede l’invio di link o allegati dannosi, ma email “pulite”, contenenti solo del testo. Si stima infatti che il 98% degli attacchi informatici scagliati tramite email non contengano malware. All’interno di una multinazionale operante nel settore tecnologico, ad esempio, Darktrace ha individuato un attacco a 30 dipendenti, durante il quale il cybercriminale ha accuratamente impersonificato il dirigente in azienda con cui
Aruba PEC: vulnerabilità nella sicurezza della posta certificata
“Nessun accesso illegittimo è stato effettuato sul sistema e non si è verificato nessun furto di identità, dati o password” ha tranquillizzato Aruba. Il Garante per la protezione dei dati personali con un provvedimento d’urgenza ha prescritto ad Aruba Pec S.p.A. l’implementazione di misure per la messa in sicurezza del proprio servizio di posta elettronica certificata, che gestisce oltre sei milioni di caselle utilizzate da soggetti pubblici (come amministrazioni centrali e locali dello Stato), società private e singoli professionisti. A seguito delle vulnerabilità rilevate durante un accertamento ispettivo in merito alla gestione del servizio pec, condotto nella seconda metà del 2019, l’Autorità ha adottato un provvedimento urgente per evitare che diverse categorie di interessati coinvolti (intestatari delle caselle pec, mittenti e destinatari dei messaggi, soggetti i cui dati sono presenti all’interno dei messaggi o degli allegati) fossero esposti a gravi rischi per i diritti e le libertà derivanti da possibili utilizzi impropri di dati personali o da furti d’identità. La pubblicazione del provvedimento è stata però posticipata per dare modo alla società di implementare le misure prescritte e impedire che le vulnerabilità rilevate potessero essere sfruttate da eventuali malintenzionati. La società ha dichiarato di aver adempiuto, nei termini previsti, alle prescrizioni impartite. “Nessun accesso illegittimo è stato effettuato sul sistema e non si è verificato nessun furto di identità, dati o password. In merito alle indicazioni, migliorie e modifiche richieste dal provvedimento del Garante della Privacy, Aruba PEC ha immediatamente provveduto a fare quanto previsto in modo da innalzare ulteriormente il livello di sicurezza del sistema, che non è mai stato violato” questa la comunicazione ufficiale di Aruba. Le problematiche riscontrate Dagli accertamenti del Garante è emerso che circa 560.000 utenti utilizzavano ancora, per l’accesso alla propria casella pec, la password iniziale, scelta per loro da uno degli 8.900 partner della società (come ordini professionali, Pa e soggetti privati) senza che fosse imposto, come avrebbe dovuto, l’obbligo di modifica al primo accesso. Le procedure informatiche adottate contenevano, poi, ulteriori gravi vulnerabilità. Ad esempio, le password tecniche di gestione di alcuni servizi informatici erano riportate in chiaro nei log di tracciamento delle operazioni, aumentando così considerevolmente la possibilità di accessi illeciti, sia da parte di soggetti interni non autorizzati che in caso di attacco informatico. Un’altra criticità riguardava la possibilità di consultare ed esportare, da rete internet, i log dei messaggi scambiati da oltre 6 milioni di caselle Aruba PEC. Tale operazione era per altro effettuabile da un’utenza, con elevati privilegi di amministrazione (superadmin), utilizzata da più persone, in violazione dei più elementari principi di sicurezza del trattamento (che richiedono invece l’attribuzione a ogni operatore di credenziali individuali) e senza un’adeguata valutazione dei rischi connessi alla possibilità di accedere a queste informazioni, anche al di fuori della rete aziendale. Il Garante ha quindi imposto ad Aruba PEC S.p.A. la modifica obbligatoria delle password di accesso alle caselle di posta certificata rilasciate in modo non sicuro, la ridefinizione delle modalità di tracciamento, prevedendo che i log prodotti non contengano informazioni non indispensabili per le finalità di controllo e sicurezza, nonché un intervento sulle modalità di consultazione ed esportazione dei log dei messaggi inviati o ricevuti da tutte le caselle pec. Con successivo provvedimento il Garante valuterà ulteriori aspetti del trattamento dei dati svolto da Aruba Pec S.p.A. , nonché il complesso delle violazioni rilevate. Fonte: BitMat.it