Come le aziende possono prevenire il furto di credenziali

Secondo il report 2023 sulle indagini per violazioni dei dati di Verizon, il furto di credenziali è uno dei metodi più comuni utilizzati dai cybercriminali per ottenere l’accesso non autorizzato a un’azienda. Il furto di credenziali espone le organizzazioni a un rischio di violazioni dei dati maggiore, quindi è necessario adottare misure per prevenirlo.

Per prevenire il furto di credenziali, le aziende devono incoraggiare l’uso delle chiavi di accesso, investire in un password manager aziendale, applicare l’autenticazione a più fattori (MFA) e formare i dipendenti sulle migliori prassi in materia di sicurezza informatica.

I più comuni metodi di furto delle credenziali

Il phishing e le violazioni dei dati pubblici sono due degli attacchi di furto di credenziali più comuni.

Attacchi di phishing
Il phishing è un tipo di attacco di social engineering che mira a convincere le vittime a rivelare le proprie informazioni personali. Spesso, nei tentativi di phishing i criminali si fingono una persona o un’azienda conosciuta dalla vittima, che spronano ad agire con urgenza senza farsi troppe domande. I cybercriminali possono sferrare attacchi di phishing usando messaggi e-mail, SMS o telefonate. Se l’obiettivo di un cybercriminale è rubare le credenziali, può inviare un’e-mail di phishing o un SMS fingendosi un’azienda e indirizzando la vittima su un portale di accesso falso. Inserendo le proprie credenziali in questo portale di accesso, la vittima essenzialmente le consegna al cybercriminale, che può quindi utilizzarle per compromettere l’account della vittima.

Violazioni dei dati di tipo pubblico
Le violazioni dei dati di tipo pubblico avvengono quando un’azienda subisce una violazione che espone i dati di dipendenti e/o clienti. Molte di queste violazioni dei dati espongono le credenziali di accesso degli utenti. Quando si verificano queste violazioni, i cybercriminali raccolgono quante più informazioni possibili a seguito della violazione in modo da poterle utilizzare in prima persona o pubblicarle sul dark web.

Come prevenire il furto di credenziali

Ecco come le aziende possono prevenire il furto di credenziali.

1. Incoraggiare l’uso delle chiavi di accesso

Le chiavi di accesso sono una nuova tecnologia di autenticazione che consente agli utenti di accedere a un account senza che sia necessario inserire una password. Se i dipendenti hanno la possibilità di eseguire gli accessi utilizzando queste chiavi di accesso, è bene incoraggiarli a farlo perché sono più sicure delle password e non rischiano di essere trafugate. Le aziende devono istruire i dipendenti su come abilitare le chiavi di accesso in modo che siano più propensi a utilizzare quelle come metodo di accesso anziché le password.

2. Investire in un password manager aziendale

Molti siti web e applicazioni non offrono ancora il supporto degli accessi tramite chiavi di accesso e di conseguenza per la maggior parte degli account si continuerà a utilizzare le password. Il modo migliore per assicurarsi che i dipendenti utilizzino password efficaci è ricorrere a un password manager. Investendo nell’acquisto di un password manager aziendale, le aziende possono assicurarsi che ogni dipendente utilizzi password efficaci. Inoltre, i password manager possono inviare notifiche agli amministratori IT se le credenziali di accesso di un dipendente compaiono in una violazione dei dati, in modo da poter chiedere al dipendente di cambiare le password. In questo modo si riduce il rischio di un attacco di stuffing delle credenziali o di acquisizione dell’account che potrebbero avere gravi conseguenze.

3. Applicare l’uso dell’autenticazione a più fattori

È importante che tutti abilitino sui propri account l’autenticazione a più fattori. Con l’autenticazione a più fattori gli utenti devono fornire più di un metodo di autenticazione oltre al nome utente e alla password. Se un cybercriminale o altra persona non autorizzata ottiene le credenziali di un dipendente, l’autenticazione a più fattori richiede la verifica dell’identità tramite altri metodi di autenticazione. Questo rende più difficile per gli utenti non autorizzati compromettere gli account dei dipendenti.

4. Formare i dipendenti sulle migliori prassi in materia di sicurezza informatica

I dipendenti possono essere l’anello più debole di un’azienda, specialmente se non sono adeguatamente formati o informati sulle migliori prassi in materia di sicurezza informatica. Per mitigare il rischio di furto delle credenziali dei dipendenti, le aziende devono prevedere del tempo per insegnare loro come individuare ed evitare le minacce informatiche più comuni.

Come si è già detto, gli attacchi di phishing sono tra i metodi più comuni di furto di credenziali. Questo vuol dire che le aziende devono formare regolarmente i dipendenti su come riconoscere ed evitare i tentativi di phishing. Uno dei modi migliori per formare i dipendenti sul phishing è inviare loro simulazioni di e-mail di phishing. Grazie a queste simulazioni, le aziende possono scoprire se i dipendenti sono stati correttamente addestrati e sono in grado di individuare i tentativi di phishing. Nel caso in cui non si dimostrino perfettamente in grado di individuare i tentativi di phishing, gli amministratori IT possono prevedere altri corsi di formazione per ovviare al problema.

Proteggi la tua azienda dal furto di credenziali

Il furto di credenziali può comportare notevoli perdite finanziarie e danneggiare la reputazione delle aziende, perciò è importante adottare misure preventive e investire in strumenti che consentano di mitigare queste minacce. Uno degli strumenti su cui dovrebbero investire le aziende per proteggere l’attività e i dipendenti dal furto di credenziali e da altri attacchi legati alle password è un password manager.

Fonte: Keeper Security

Come fanno gli hacker a rubare le password?

Gli hacker rubano le vostre password attraverso una serie di modalità, tra cui la violazione dei dati, il cracking delle password, il “guessing”, il furto fisico e il malware. Questo può avere gravi conseguenze, soprattutto se gli hacker ottengono l’accesso ai vostri account, ma ci sono modi per proteggersi.

Cosa succede quando la password viene rubata?

Quando la password viene rubata, i criminali informatici possono vendere le informazioni sul dark web ad altri hacker o usarle loro stessi per commettere altri crimini informatici.

Le credenziali rubate possono dare agli hacker l’accesso a account importanti, come il vostro conto bancario, e consentire loro di rubare altre informazioni di tipo personale (Personally Identifiable Information-PII). Questo può portare a gravi conseguenze, come il furto di identità e di denaro. Il recupero di un’identità rubata richiede tempo e denaro, e le conseguenze possono accompagnare le vittime per anni.

Metodi utilizzati dagli hacker per rubare le password

Ecco alcuni metodi utilizzati dagli hacker per rubare le password.

1) Violazione dei dati

Le violazioni dei dati sono uno dei modi più comuni per rubare le credenziali. Nel 2022, oltre 422 milioni di persone negli Stati Uniti sono state colpite da 1.802 violazioni di dati. Queste violazioni, spesso in aziende importanti con milioni di utenti, possono esporre nomi utente e password, informazioni sanitarie, numeri di carte di credito, numeri di previdenza sociale e altro ancora.

Per scoprire rapidamente se le vostre credenziali sono state compromesse in una violazione, completate una scansione nel dark web.

2) Cracking di password tramite brute force

La forza bruta è un metodo di cracking delle password che utilizza un bot per indovinare ripetutamente password casuali finché non trova quella giusta. Questi bot possono provare centinaia di password al secondo, ma è più probabile che indovinino password che includono parole del dizionario (noto anche come attacco a dizionario) o password brevi.

Una password casuale di otto caratteri può essere violata in otto ore. Una password più corta può essere violata quasi istantaneamente. Una password casuale di diciotto caratteri con un mix di numeri, lettere e caratteri speciali richiederebbe trilioni di anni per essere decifrata.

3) Guessing

Gli hacker possono raccogliere informazioni ricercando il footprint digitale dell’utente e tentare di indovinare la password utilizzando quanto appreso. Ad esempio, potrebbero provare a utilizzare i nomi dei vostri cari, il vostro compleanno o l’indirizzo di casa come parte di una password. Purtroppo, i criminali informatici hanno spesso successo in questi tentativi, poiché la creazione di una password con queste informazioni è comune. Evitate di utilizzare i dati personali, soprattutto quelli che si trovano sui social media, per rendere più forti le vostre password.

I guessing possono includere anche le comuni password predefinite, che possono essere più facili da indovinare rispetto a una password casuale. È importante cambiare le proprie credenziali dalla password predefinita sui nuovi account a una password unica e complessa.

4) Shoulder surfing

Il Shoulder surfing consiste nel rubare informazioni, comprese le password, osservando fisicamente la vittima che inserisce le informazioni. Le tecniche possono comprendere i criminali che si chinano mentre qualcuno sta inserendo il PIN in un bancomat o che riprendono un utente mentre digita la propria password. Questo può accadere in ufficio, in uno spazio di coworking, in un caffè o ovunque la tastiera o lo schermo del computer siano visibili.

È importante prevenire il fenomeno dello “shoulder surfing” evitando di annotare le password, utilizzando schermi per la privacy e la funzione “nascondi password” quando la si inserisce in luoghi pubblici.

5) Malware e keylogging

I file e i link dannosi possono contenere malware, ovvero software dannosi progettati dai criminali informatici. Gli utenti possono scaricare accidentalmente il malware quando sono vittime di truffe online come gli attacchi di phishing. Esistono molti modi in cui il malware può compromettere il computer, ma uno dei tipi più comuni, chiamato keylogger, registra la pressione dei tasti. Grazie a questa registrazione, il criminale informatico può rubare le vostre credenziali e qualsiasi altra informazione riservata o sensibile digitata sul computer.

6) Attacchi Man-in-the-middle

Gli attacchi Man-in-the-middle si verificano quando i criminali informatici intercettano i dati inviati tra due entità. Esistono diversi metodi per farlo, ma i criminali informatici spesso utilizzano il WiFi pubblico per attaccare le loro vittime. Con gli attacchi man-in-the-middle si possono rubare molte informazioni sensibili, comprese le credenziali.

Evitare il WiFi pubblico, impostare una password forte per la rete domestica e utilizzare una VPN può aiutare a prevenire questi attacchi.

7) Social engineering

I criminali informatici spesso utilizzano l’ingegneria sociale per rubare le credenziali. L’ingegneria sociale, che può essere utilizzata insieme ad altri metodi come il phishing, consiste nell’utilizzare metodi psicologici per ottenere la fiducia della vittima e aumentare la probabilità che fornisca informazioni sensibili. Queste tecniche spesso utilizzano ricerche raccolte dal footprint digitale della vittima per aiutarla a guadagnare fiducia. Esempi di questi metodi possono essere l’utilizzo di un messaggio urgente per indurre la vittima a farsi prendere dal panico e a consegnare le informazioni senza riflettere o fingere di essere una persona cara della vittima.

8) Password spraying

Nel caso del password spraying, gli hacker utilizzano alcune password comuni per attaccare più account su un singolo sito web o applicazione. Le password comuni, come 123456, sono un facile bersaglio, poiché molte persone le utilizzano pur sapendo che non sono molto sicure. Questo tipo di attacco probabilmente consentirà all’hacker di accedere a centinaia di account su una piattaforma importante ed eviterà il blocco della password che avviene con gli attacchi a brute force.

L’utilizzo di password uniche e complesse per tutti gli account impedisce questo tipo di attacco.

9) Phishing

Uno degli attacchi più comuni, il phishing, si verifica quando un hacker finge di essere un’entità legittima, come la vostra banca, e richiede informazioni sensibili, come la vostra password. Per raccogliere le vostre credenziali può anche utilizzare un sito “spoofed”, ovvero una pagina di login falsa che assomiglia a quella reale.

Come capire che le vostre password sono state rubate

A seconda del tipo di attacco, potete scoprire che la vostra password è stata rubata in diversi modi. Se non riuscite ad accedere al vostro account perché la password è stata modificata, è segno che un criminale informatico ha rubato la password e si è impossessato del vostro account. Le password trapelate durante le violazioni dei dati vengono vendute sul dark web. Potrete scoprire se una delle vostre credenziali è stata rubata utilizzando uno strumento di monitoraggio del dark web.

Come proteggere le password dagli hacker

Ecco alcuni suggerimenti per proteggere le vostre password.

Utilizzate password forti e uniche per ogni account
I criminali informatici hanno molto successo nel provare le password comuni perché un gran numero di persone le usa ancora.

Secondo una ricerca di SplashData, tra le password più comuni al mondo vi sono:

123456
password
12345
12345678
football
qwerty
1234567890

Si consiglia di utilizzare una password con almeno 12 caratteri, tra cui lettere maiuscole e minuscole, numeri e simboli speciali. La password deve essere casuale, senza parole del dizionario o dettagli personali come la data di nascita.

Avere password uniche per tutti i vostri account rende difficile ricordarle, ma l’uso di un gestore di password vi aiuterà. I gestori di password memorizzano le vostre password in una cassetta di sicurezza che può essere sbloccata solo con la vostra password principale, l’unica che dovrete ricordare.

Cambiate le vostre password quando si verificano delle violazioni
Utilizzate uno strumento di monitoraggio del dark web per sapere quando si verificano le violazioni dei dati che hanno compromesso i vostri account. Quando vi viene notificato che una password è stata compromessa, cambiatela subito.

Imparate a riconoscere i tentativi di phishing
Identificare i tentativi di phishing è diventato più complicato in un mondo in cui l’intelligenza artificiale può imitare efficacemente la scrittura di persone reali. Il phishing può apparire sotto forma di e-mail, sms o altri messaggi e spesso sostiene che l’utente deve completare un’operazione urgente per evitare di perdere denaro o subire altre conseguenze. Il messaggio può chiedere all’utente di consegnare informazioni sul conto o PII come il numero di previdenza sociale.

Per evitare il phishing, siate scettici nei confronti dei messaggi inaspettati e seguite le notizie sulla sicurezza informatica per conoscere i nuovi tipi di attacchi che stanno emergendo.

Proteggere le password dagli hacker

L’utilizzo di password uniche e complesse, con un mix di tipi di caratteri, è il modo migliore per proteggere le password dagli hacker.

Keeper Password Manager genera automaticamente password forti, le archivia in modo sicuro in una cassetta di sicurezza crittografata e inserisce automaticamente le password nei siti web, evitando di doverle digitare manualmente.

Fonte: Keeper Security

Mix vita privata-lavoro: Come rimanere sicuri nell’era del lavoro ibrido

Il lavoro da remoto non è più una tendenza: nel 2022, i lavoratori da remoto rappresentavano il 30% della forza lavoro complessiva. I servizi cloud e i dispositivi mobili hanno reso l’ambiente di lavoro più flessibile e le aziende hanno implementato politiche BYOD (bring-your-own-device) per consentire ai dipendenti che lavorano da qualsiasi luogo di ottenere maggiori risultati.

L’atteggiamento dei lavoratori nei confronti del lavoro e della tecnologia è cambiato e con esso è cambiato anche il panorama della sicurezza. In una recente indagine, Lookout ha rilevato che il 92% dei lavoratori remoti dichiara di utilizzare i propri tablet o smartphone personali per le attività lavorative, e il 46% di loro ha salvato un file di lavoro su tali dispositivi. Queste pratiche comuni di lavoro da remoto significano che la vostra azienda ha meno visibilità su ciò che accade con i dati aziendali, il che vi rende più vulnerabili ai rischi.

Questo articolo affronta alcune delle principali sfide legate alla protezione dei dati negli ambienti di lavoro remoti; per un approfondimento, consultate il report The State of Remote Work Security pubblicato di recente da Lookout.

Il lavoro da remoto rende meno netta la linea di demarcazione tra vita personale e professionale

I dipendenti non svolgono più tutto il loro lavoro dai portatili aziendali e, se da un lato le politiche BYOD hanno permesso una maggiore flessibilità e un aumento della produttività, dall’altro hanno creato nuove sfide per i reparti IT, tra cui la mancanza di visibilità su ciò che accade con i dati aziendali.

Questo aspetto è particolarmente importante se si considera la frequenza con cui i lavoratori remoti mescolano la sfera personale con quella professionale. Lookout ha rilevato che il 43% dei dipendenti remoti utilizza dispositivi personali invece di quelli forniti dall’azienda e che la maggior parte dei lavoratori remoti e ibridi ha ammesso di svolgere attività personali durante l’orario di lavoro.

Lookout ha anche rilevato che i lavoratori remoti e ibridi sono meno propensi a utilizzare le migliori best practice per la sicurezza dei dati, spesso perché è più comodo. Quasi il 60% ha ammesso di aver inviato un’e-mail da un account di lavoro a un account personale e il 45% dei lavoratori ricicla le proprie password sia per gli account di lavoro che per quelli personali.

La diffusione di queste pratiche è una notizia negativa per la sicurezza generale dell’azienda. Ciò significa che se gli account personali di uno dei vostri dipendenti vengono compromessi, potrebbero essere compromesse anche le informazioni aziendali sensibili.

Un nuovo scenario di esposizione al rischio

In un mondo ibrido, le aziende non hanno più la sicurezza del perimetro. Sono esposte a minacce diverse – e più numerose – di quelle a cui sono state esposte in passato.

Ecco alcune delle aree di sicurezza specifiche su cui la vostra azienda dovrebbe concentrarsi:

Dispositivi obsoleti: In un modello BYOD, i dipendenti sono responsabili degli aggiornamenti e spesso non lo fanno, lasciando il dispositivo vulnerabile alle minacce.
Shadow IT: Un terzo dei dipendenti utilizza applicazioni e software non approvati dall’IT, il che significa che l’azienda non può garantire che i dati aziendali siano al sicuro.
Minacce di phishing sempre più frequenti: I lavoratori remoti sono bersaglio di attacchi di phishing più frequentemente di quanto non lo fossero quando il lavoro in ufficio era la normalità, e tutte le app di messaggistica possono essere utilizzate per attacchi di phishing.

Quando il lavoro e la vita si mescolano, dovete essere pronti ad affrontare questi rischi.

Lavoro remoto senza preoccupazioni

Si sono sviluppate nuove abitudini per i lavoratori ibridi e remoti, e con esse sono arrivate nuove minacce alla sicurezza. In questo panorama in continua evoluzione, come si fa a garantire la sicurezza della propria società?

La risposta è una sicurezza che funzioni ovunque si trovino i vostri dipendenti. Poiché i dipendenti lavorano nel cloud, anche la vostra soluzione di sicurezza dovrebbe farlo. Una soluzione basata sul cloud offre la flessibilità necessaria per proteggere i dispositivi non gestiti e le applicazioni cloud, consentendo di tenere sotto controllo i dati ovunque vadano.

Con una soluzione completa e nativa cloud come Lookout Cloud Security Platform, avrete visibilità e controllo su tutti i dispositivi, le applicazioni e le reti, in modo da poter abbracciare un ambiente di lavoro remoto flessibile senza sacrificare la sicurezza.

Per saperne di più su come il lavoro da remoto sta cambiando il panorama della sicurezza, consultate il report completo State of Remote Work Security di Lookout.

Fonte: Lookout

Il BYOD aumenta i tassi di phishing mobile, e i rischi non sono mai stati così elevati

Le credenziali di accesso rubate dai dipendenti sono uno dei modi più efficaci per i malintenzionati di infiltrarsi nell’infrastruttura della vostra azienda. Una volta in possesso delle informazioni di login di uno dei vostri account, diventa molto più facile per loro aggirare le misure di sicurezza e ottenere l’accesso ai vostri dati sensibili.

Come fanno gli aggressori a ottenere le credenziali di accesso? In molti casi la risposta è il mobile phishing. I dati di Lookout hanno rilevato che nel 2022 la percentuale di attacchi di phishing mobile è stata la più alta mai registrata, con un dispositivo personale e aziendale su tre esposto ad almeno un attacco ogni trimestre. Anche ora, nel primo trimestre del 2023, questa tendenza si mantiene alta.

Gli ambienti di lavoro ibridi e le politiche BYOD (bring-your-own-device) possono essere due ragioni dell’aumento. Le aziende hanno dovuto accettare che i dispositivi mobili personali possano essere utilizzati per scopi professionali. Ma è necessario tenere presente che ogni dispositivo mobile, sia esso personale o aziendale, gestito o non gestito, iOS o Android, è suscettibile di tentativi di phishing.

Abbiamo appena pubblicato il nostro rapporto Global State of Mobile Phishing, che esplora le tendenze del phishing e il rischio che rappresentano sia per i vostri dati che per i vostri profitti finanziari, il tutto basato sugli ultimi dati di Lookout. Questo articolo vi fornirà un’anteprima delle sfide che le società devono affrontare nel tentativo di proteggere i propri dati dagli attacchi di phishing.

Come il BYOD ha cambiato il panorama del phishing

Gli smartphone e i tablet hanno reso più facile per i dipendenti essere produttivi da qualsiasi luogo, ma hanno anche introdotto nuove sfide per i team IT e di sicurezza.

Le politiche BYOD fanno sì che un numero sempre maggiore di persone utilizzi i propri dispositivi personali per il lavoro, e ciò significa che i rischi che incontrano nell’utilizzo di tali dispositivi per motivi personali sono anche rischi per l’azienda. Inoltre, i team IT e di sicurezza hanno una visibilità molto minore su questi dispositivi rispetto a quelli di proprietà dell’azienda, il che significa che è più difficile gestire questi rischi crescenti.

È per questi motivi che gli aggressori prendono di mira i dispositivi personali degli utenti per infiltrarsi nelle organizzazioni. Un dipendente può cadere vittima di uno schema di social engineering da canali personali come i social media, WhatsApp o le e-mail, e una volta che lo fa, gli aggressori potrebbero ottenere l’accesso alle reti o ai dati del proprio datore di lavoro. E non si tratta di un evento sporadico: i dati di Lookout mostrano che nel 2022 più del 50% dei dispositivi personali è stato esposto a un qualche tipo di attacco di phishing mobile almeno una volta ogni trimestre.

Milioni di dollari a rischio

I dati non sono l’unica cosa che si rischia quando si cade in una truffa di phishing. Secondo le stime di Lookout, l’impatto finanziario massimo di un attacco di phishing riuscito è salito a quasi 4 milioni di dollari per le società con 5.000 dipendenti. I settori altamente regolamentati come quello assicurativo, bancario e legale sono considerati i più redditizi e hanno maggiori probabilità di essere presi di mira a causa della grande quantità di dati sensibili che possiedono.

Questi costi elevati arrivano in un momento in cui i tassi di riscontro del phishing sono ai massimi storici. Rispetto al 2020, i tassi di riscontro sono ora superiori del 10% per i dispositivi aziendali e del 20% per quelli personali. Inoltre, le persone cliccano sui link di phishing più spesso rispetto al 2020, il che potrebbe significare che gli aggressori stanno diventando più bravi a creare messaggi dall’aspetto autentico.

Con più rischi e più denaro in gioco che mai, le organizzazioni devono adeguare le proprie strategie di sicurezza per mantenere i propri dati protetti.

Proteggere i dati dalle minacce di phishing mobile

Il panorama del phishing mobile è più insidioso che mai, soprattutto con il consolidarsi del lavoro da qualsiasi luogo, e i team IT e di sicurezza devono adottare strategie che consentano di visualizzare, rilevare e ridurre al minimo i rischi per i dati derivanti dagli attacchi di phishing su tutti i dispositivi dei dipendenti, indipendentemente dal fatto che siano di proprietà aziendale o personale.

Per saperne di più sulle tendenze globali del phishing, sull’evoluzione del comportamento degli utenti e dei metodi di attacco e su come proteggere la vostra organizzazione dagli attacchi di phishing mobile, consultate il webinar State of Mobile Phishing 2023 o scaricate il report completo Lookout Global State of Mobile Phishing.

Fonte: Lookout

L’attacco hacker contro Nvidia illustra l’importanza di proteggere le password dei dipendenti

La violazione della sicurezza di NVIDIA ha portato alla divulgazione online di decine di migliaia di credenziali di accesso dei dipendenti. Sono anche state rubate enormi quantità di informazioni aziendali altamente riservate, inclusi certificati di firma del codice e quello che sembra essere il codice sorgente per la tecnologia Deep Learning Super Sampling (DLSS) dell’azienda.

Metodi comuni per rubare le credenziali dei dipendenti

Verizon stima che oltre l’80% delle violazioni di dati di successo coinvolgono credenziali di accesso compromesse. Come fanno ad entrare in possesso di queste credenziali ? Ecco alcuni metodi comuni:

Attacchi Brute force

“Brute-force” è un termine generico per gli attacchi automatizzati legati alle password, tra cui credential stuffing e password spraying. In un attacco brute-force, i criminali informatici acquistano una lista di password precedentemente compromesse sulla DarkNet, o in alternativa, scaricano una lista gratuita di password comuni, come qwerty e password123. Poi, usano dei bot per provare queste password su quanti più siti possibili. Gli attacchi brute-force fanno leva sul fatto che molte persone riutilizzano le password su più account.

Attacchi mirati

In un attacco mirato i criminali informatici selezionano individui specifici all’interno di un’organizzazione da prendere di mira, quindi cercano sui social network informazioni sulle potenziali vittime, come compleanni, luoghi di vacanza preferiti, hobby e nomi dei loro figli, coniugi o persino animali domestici . Quindi, usano queste informazioni per provare a decifrare la password di ciascun obiettivo. Questo tipo di attacco sfrutta il fatto che molte persone utilizzano password contenenti informazioni personali, come la data di nascita dei propri figli o il nome del coniuge, facilmente reperibili sui social media.

Phishing/ingegneria sociale

Il phishing implica che un criminale informatico rubi le credenziali direttamente da una vittima, spesso inviando un’e-mail o un messaggio di testo con un link dannoso che indirizza la vittima a un sito di phishing, dove le viene richiesto di inserire le proprie credenziali di accesso, oppure scarica un malware per la registrazione delle sequenze di tasti sul dispositivo della vittima, spesso senza che la vittima se ne accorga.

SIM Swapping

Il SIM swapping, noto anche come SIM hijacking, SIM jacking o SIM splitting, è un nuovo attacco di tipo account takeover la cui frequenza sta aumentando rapidamente. In questo tipo di attacco, viene trasferito il numero di cellulare di una vittima su una nuova carta SIM. L’autore della minaccia la inserisce poi in un nuovo dispositivo e si appropria di tutti gli account e le app online della vittima.

Prevenire gli attacchi informatici legati alle password

La violazione di NVIDIA illustra come una sola password rubata possa far crollare decine di migliaia, persino milioni di dollari di difese della sicurezza informatica. Gli attacchi informatici legati alle password continueranno a verificarsi in aziende di tutte le dimensioni, perché i criminali informatici sanno che troppe organizzazioni non dispongono di controlli completi per la sicurezza delle password.

Per evitare che questo accada alla vostra organizzazione, prendete queste misure di difesa:

Non permettete ai dipendenti di creare le proprie password. Richiedete loro di usare password complesse e uniche per ogni account e applicazione online.
Richiedete ai dipendenti di abilitare l’autenticazione a più fattori (2FA) ovunque sia supportata. In questo modo, anche se un criminale informatico ruba la password del dipendente, è inutile senza il secondo fattore di autenticazione.
Detto questo, per prevenire un attacco di SIM swapping, evitate di usare la 2FA basata su telefono e SMS. Usate un codice TOTP o una chiave FIDO2 basata su hardware.
Applicate queste politiche, e rendetele più facili da seguire per i dipendenti, implementando una piattaforma di sicurezza delle password di livello enterprise come Keeper.
Implementate un’architettura di accesso alla rete zero-trust che includa il controllo dell’accesso basato sui ruoli (RBAC) con accesso con privilegi minimi e il privileged access management (PAM).

Keeper, la piattaforma zero-knowledge di crittografia e sicurezza delle password di livello enterprise offre agli amministratori IT una visibilità completa sulle pratiche relative alle password dei dipendenti, consentendo loro di monitorare l’uso delle stesse e di applicare le politiche di sicurezza delle password in tutta l’organizzazione inclusi i requisiti di complessità delle password, 2FA, RBAC e altre policy.

Fonte: Keeper

Gli attacchi di phishing diventano più subdoli con gli Open Redirects

Il phishing, messaggi fraudolenti destinati a ingannare un destinatario a rivelare dati sensibili o installare malware, è stato il tipo più comune di crimine informatico nel 2020. Ci sono stati 241.324 incidenti di phishing segnalati all’FBI nel 2020, quasi il doppio del numero segnalato nel 2019. Questa cifra sarà probabilmente più alta nel 2021, dato che a metà anno il volume era del 22% più alto rispetto allo stesso periodo dell’anno precedente. Secondo il Data Breach Investigations Report di Verizon per il 2021, il 43% delle violazioni di dati ha coinvolto il phishing.

Gli utenti istruiti sono generalmente considerati la prima linea di difesa contro il phishing. La maggior parte degli utenti ormai ha avuto una formazione di base su come proteggersi dagli attacchi di phishing – sanno di non cliccare su link sospetti – almeno teoricamente. Infatti, il 65% delle organizzazioni che sono state colpite dal phishing avevano condotto una formazione anti-phishing.

Passare il mouse sopra i link per vedere se l’URL reale va al sito previsto è una tecnica di base per evitare i link dannosi. Questo è esattamente il motivo per cui i criminali informatici stanno sfruttando sempre più gli ” open redirects ” – utilizzando un URL che sembra collegare a un sito legittimo, ma reindirizza in modo subdolo il traffico a un sito dannoso.

Cos’è un open redirect?

I reindirizzamenti sono molto comuni e molto utili. Per esempio, se inserisci un URL di un particolare estratto conto bancario, il server della banca ti reindirizzerà alla pagina di login, e una volta che hai fatto il login, ti reindirizzerà automaticamente alla pagina che hai richiesto inizialmente. I reindirizzamenti sono spesso usati per ragioni tecniche, come quando un sito viene spostato su un nuovo dominio, o se le pagine del sito vengono cambiate o i siti web riorganizzati e il proprietario non vuole perdere il posizionamento nei motori di ricerca.

I reindirizzamenti sono anche usati per scopi di marketing; alcune aziende hanno più nomi di dominio per lo stesso contenuto e usano i reindirizzamenti per spostare il traffico verso il sito principale. I reindirizzamenti sono anche usati per scopi di monitoraggio degli annunci: Un annuncio specifico può contenere un URL unico che viene reindirizzato alla pagina appropriata, così è possibile valutare quanto sia efficace ogni annuncio nel generare traffico verso il loro sito.

Gli “open redirects ” indicano che un sito web non pone restrizioni sui reindirizzamenti. Questa è una pratica pericolosa che i webmaster esperti dovrebbero sapere. I siti web dovrebbero essere configurati per impedire i reindirizzamenti ad altri siti o richiedere che i reindirizzamenti esterni siano “allow listed”. Ma non tutti i webmaster sono sufficientemente informati o attenti, e gli hacker cercano di sfruttare questi siti.

Quando si utilizza un open redirect, un hacker incorpora l’URL di un sito web legittimo come link in una e-mail di phishing. La natura legittima del link è ciò che un utente attento alla sicurezza noterà – e ciò che lo rassicura che il clic è sicuro. Seppellito in quel link, tuttavia, c’è del codice che reindirizza il clic a un diverso sito web dannoso.

Come vengono sfruttati gli open redirects?

Microsoft ha recentemente pubblicato un report riguardante una diffusa campagna di phishing che combina l’ingegneria sociale “esca” con link di open redirects per ottenere l’accesso alle credenziali degli utenti.

Il modo in cui funziona è questo: Un utente riceve un’e-mail di phishing. Se clicca sul link, viene prima portato – reindirizzato, cioè – a una pagina di phishing che mostra una verifica reCAPTCHA, che aiuta a fargli credere che stanno accedendo a un vero sito sicuro. Poi riceve un falso messaggio di errore che chiede all’utente di reinserire le password. I ladri ora hanno le credenziali di accesso dell’utente.

Proteggersi contro gli attacchi di phishing Open Redirect

Il report di Microsoft afferma,

Le minacce e-mail di oggi si basano su tre cose per essere efficaci: un’esca convincente di ingegneria sociale, una tecnica di evasione del sistema di rilevamento ben realizzata, e un’infrastruttura durevole per portare a termine un attacco. Questa campagna di phishing esemplifica la tempesta perfetta di questi elementi nel loro tentativo di rubare le credenziali e infine infiltrarsi in una rete. E dato che il 91% di tutti i cyberattacchi hanno origine con le e-mail, le organizzazioni devono quindi avere una soluzione di sicurezza che fornisca loro una difesa multistrato contro questi tipi di attacchi.

Non è mai stata una buona idea fare affidamento solo sulla formazione degli utenti per proteggersi dagli attacchi di phishing. Molti studi hanno dimostrato che anche gli utenti addestrati cliccheranno su un’email di phishing sufficientemente sofisticata.

Remote Browser Isolation (RBI) è il modo migliore per proteggersi dagli attacchi di phishing, indipendentemente dai meccanismi che utilizzano – allegati infetti da malware, link dannosi o siti per il furto di credenziali. Con RBI i siti web vengono aperti in browser virtuali in contenitori remoti nel cloud. Solo i dati sicuri vengono trasmessi al browser sul dispositivo dell’utente: Qualsiasi malware sul sito web non raggiunge mai l’endpoint.

Soluzioni come Ericom RBI integrano il Content Disarm & Reconstruct, che analizza gli allegati all’interno del container remoto, eliminando il malware prima di consentire il download dei file con funzionalità native intatte. In base ai dati della Threat Intelligence Network di Ericom, i siti a rischio noti e quelli nuovi, sospetti o non categorizzati vengono aperti in modalità di sola lettura, impedendo agli utenti di inserire le credenziali nei siti di phishing, come quelli utilizzati per aprire campagne con reindirizzamento.

Fonte: Ericom Software

Mantenere la sicurezza informatica del commercio al dettaglio durante la stagione degli acquisti natalizi

Ogni anno, i commercianti attendono con ansia l’inizio della stagione degli acquisti natalizi. E per una buona ragione, visto che questi pochi giorni rappresentano il 20-30% delle vendite annuali.

Anche i criminali informatici non vedono l’ora che arrivi la stagione delle vacanze con lo stesso entusiasmo. Dopo tutto, più transazioni significano più opportunità per loro.

I rivenditori sono un bersaglio privilegiato dei criminali informatici perché dispongono di informazioni personali, comprese quelle relative alla carta di credito, di milioni di persone. Questi dati sono un tesoro che può essere facilmente venduto o sfruttato dagli hacker.

Vulnerabilità della catena di fornitura

I rivenditori, naturalmente, mirano a fornire ai loro clienti un’esperienza il più possibile priva di attrito, basata sulla comprensione che un processo di acquisto più semplice rende più probabile che i clienti comperino – e tornino a comprare. Questo spesso significa memorizzare molte informazioni sensibili sui clienti, comprese quelle relative alla carta di credito, per rendere più semplice l’acquisto. Significa anche dipendere sempre più dalle soluzioni tecnologiche di un numero crescente di fornitori terzi. Secondo un sondaggio, le aziende consentono in media a 89 fornitori di accedere alle loro reti.

Le vulnerabilità della catena di fornitura hanno portato a gravi violazioni dei dati per i rivenditori. Alcuni esempi:

Home Depot. Accedendo alla rete Home Depot tramite un fornitore terzo, gli aggressori hanno installato malware che ha permesso loro di rubare informazioni per 56 milioni di conti di carte di credito/debito.
Under Armour.150 milioni di conti sono stati compromessi da un attacco avvenuto tramite l’applicazione MyFitness Pal, che Under Armour aveva acquisito.
Saks, Lord & Taylor. Cinque milioni di dati di carte di credito e di debito sono stati compromessi da un attacco tramite un fornitore di sistemi di registratori di cassa.

Secondo un rapporto di IBM, il costo medio di una violazione dei dati negli Stati Uniti nel 2020 è stato di oltre 8 milioni di dollari. In alcuni casi, ad esempio se la violazione si traduce in una violazione delle leggi europee sulla privacy dei dati e fa scattare massicce multe, il costo può superare i 100 milioni di dollari, come è avvenuto per British Airways e Marriott.

In molti casi, i criminali informatici hanno utilizzato le credenziali di fornitori terzi per arrivare dietro i firewall aziendali e nei sistemi dei point of sales (POS) per installare malware.

Combattere le vulnerabilità della catena di distribuzione

La sicurezza informatica convenzionale dipende da un perimetro protetto da firewall, VPN e altre tecnologie destinate a tenere fuori gli intrusi. Ma una volta che un utente-attaccante è all’interno della rete, ha accesso a più punti.

I pericoli sono ovunque e nessun sistema di sicurezza è infallibile. Il malware può essere installato tramite un exploit zero-day, da parte di un utente interno o di un terzo fidato – ma non affidabile – o in un attacco di phishing. Ecco perché è importante ridurre al minimo i danni che un hacker potrebbe fare se riuscisse a violare le vostre difese.

Il modo migliore per proteggere il vostro business è quello di implementare una filosofia. Non fidatevi di nessun utente e non fidatevi di nessun sito web. Trattate tutto con sospetto.

La microsegmentazione dell’accesso è un passo importante verso l’implementazione di un approccio “Zero Trust” per proteggere il vostro business da un attacco informatico. Gli utenti possono accedere solo alle risorse di cui hanno bisogno per svolgere il loro lavoro e i diversi server, applicazioni e carichi di lavoro sono isolati l’uno dall’altro. Se qualcuno riuscisse a violare il vostro sistema utilizzando credenziali compromesse, sarebbe comunque in grado di accedere solo a ciò di cui il legittimo proprietario delle credenziali ha bisogno per svolgere il proprio lavoro. Questo riduce al minimo la potenziale esposizione a una violazione dei dati, poiché bloccherebbe gli hacker dall’accesso al sistema POS o dall’installazione di malware dietro il firewall.

Ci sono diversi modi per implementare la microsegmentazione. Molte aziende utilizzano il controllo d’accesso basato sui ruoli (RBAC), che consente a tutti gli utenti di un determinato ruolo di accedere alle stesse risorse. Questo non è l’ideale: una soluzione migliore sarebbe che ogni singolo utente potesse accedere solo alle risorse specifiche di cui ha bisogno. La maggior parte delle organizzazioni non ha implementato questo livello di granularità a causa dell’elevato onere amministrativo che comporta.

Per queste aziende, Ericom Application Isolator (EAI) è una novità assoluta. Esso automatizza il processo di assegnazione dei diritti di accesso, rendendo facile segmentare l’accesso fino al singolo utente e al livello di carico di lavoro. L’EAI maschera inoltre le applicazioni da parte degli utenti che non sono autorizzati a utilizzarle, per cui in caso di violazione l’aggressore non sarebbe nemmeno in grado di vedere ciò che esiste in rete – e ciò che è disponibile per l’attacco.

Andare per “Phishing” durante le vacanze

Con così tanta attività di e-commerce, la stagione delle vacanze è un momento popolare per i criminali informatici che lanciano truffe e attacchi di phishing contro i consumatori. I rivenditori, tuttavia, devono proteggere le loro reti da criminali informatici più sofisticati.

I tradizionali software antivirus / antimalware si basano sull’identificazione e il blocco delle minacce, ovvero sulla fiducia in tutto, tranne che nelle minacce note. Questo è l’opposto dell’approccio Zero Trust. Non può proteggere dagli exploit “zero day”, le cui firme non sono ancora riconosciute e quindi non saranno bloccate. L’isolamento remoto del browser, invece, è un approccio di Zero Trust che blocca tutti i contenuti, a meno che non sia dimostrato (o reso) sicuro.

Ericom Shield Remote Browser Isolation esegue tutta la navigazione web in un contenitore ad uso singolo su un server remoto. Se un utente ha accidentalmente cliccato sul link sbagliato, non c’è modo di installare malware sul dispositivo dell’utente o sulla rete dell’azienda. Ericom Shield protegge anche dal furto di credenziali impedendo agli utenti di inserire le credenziali in siti web non riconosciuti, anche se brillantemente falsificati.

Conclusione

I grandi rivenditori sono un obiettivo particolarmente popolare per i ladri informatici perché dispongono di informazioni personali, compresi i dati delle carte di credito, di milioni di consumatori. Questo è un motivo sufficiente per essere super vigili; le festività natalizie comportano un ulteriore rischio di attacchi nel settore del commercio al dettaglio. L’implementazione di Zero Trust Network Access è un modo eccellente per i rivenditori di evitare di diventare vittime di costose violazioni e vettori di esposizione dei dati dei loro clienti.

Fonte: Ericom Shield

I “phishermen” alzano la posta in gioco

Ormai quasi tutti coloro che utilizzano un computer sono a conoscenza degli attacchi di “phishing” in cui i criminali informatici attirano utenti ignari per indurli a infettare i loro computer con malware facendo clic su un link dannoso o scaricando un file carico di malware, oppure li inducono con l’inganno a rivelare le loro credenziali di utente accedendo a un sito web contraffatto.

Mentre le vecchie e collaudate truffe di email phishing mettono ancora in rete alcune prede, gli hacker continuano a creare nuovi e sempre più sofisticati tipi di attacchi, in grado di ingannare anche gli utenti più esperti. Per difendersi da questi nuovi attacchi intelligenti sono necessari sia i più recenti strumenti anti phishing, sia una migliore educazione per gli utenti.

Malware tramite Macro

Microsoft Security Intelligence ha pubblicato una serie di tweet che descrivono un attacco di phishing che sembra provenire dal Johns Hopkins Medical Center, con oggetto “WHO COVID-19 SITUATION REPORT”. Il messaggio di posta elettronica contiene file di Excel che mostrano casi di coronavirus negli Stati Uniti. Quando il file viene aperto, un file macro maligno scarica ed esegue NetSupport Manager Remote Access Tool, permettendo all’hacker di prendere il controllo del computer dell’ignaro utente. La formattazione delle email è molto simile alle email legittime che provengono dal Johns Hopkins.

Attacchi “Branded” Spear-Phishing

I cybercriminali eseguono sempre più spesso attacchi di spear-phishing “di marca”, ospitando i loro moduli di phishing o le loro pagine su servizi legittimi come Google Docs o gli URL di Microsoft Office. Gli utenti possono essere cullati in un senso di sicurezza dal link a un indirizzo Google o Microsoft – quando in realtà un criminale digitale sta semplicemente abusando di un servizio legittimo.

Rubare le credenziali del cloud

Con molte più persone che lavorano in remoto durante e dopo la chiusura per coronavirus, molte aziende hanno aumentato l’utilizzo di servizi cloud come Amazon Web Services, Microsoft Azure e Google Cloud. I criminali digitali hanno visto questa tendenza e hanno risposto con tentativi aggressivi di rubare le credenziali del cloud.

In una campagna di phishing, gli utenti hanno ricevuto quella che sembrava essere un’email automatica da Amazon Web Services. Le email contenevano link che assomigliavano a indirizzi AWS legittimi, ma la pagina a cui si collegavano in realtà non era una pagina AWS, anche se assomigliava esattamente alla pagina di accesso AWS, completa di logo e di immagini reali di Amazon. Con l’accesso, un utente fornisce le proprie credenziali a un cybercriminale – che può quindi utilizzarle per accedere liberamente all’account dell’utente, almeno fino alla successiva modifica della password o all’attivazione dell’autenticazione multifattore.

Cosa fare?

Per contrastare questi attacchi sempre più sofisticati sono necessarie due cose: strumenti tecnologici più efficaci e un’intensa attività di educazione per aumentare la consapevolezza del phishing via email.

I software anti-malware e antivirus convenzionali sono validi solo quanto l’aggiornamento è più recente. Il modo migliore per impedire agli utenti di installare inavvertitamente malware sui loro computer è quello di istituire e applicare i principi di Zero-Trust “verifica sempre, mai fidarsi”. Con il Remote Browser Isolation, come Ericom Shield, tutti i siti web e gli allegati di posta elettronica vengono aperti in un contenitore isolato, a distanza dall’endpoint. Solo un flusso mediatico interattivo sicuro che rappresenta il sito web raggiunge il dispositivo dell’utente, insieme ai file scaricati completamente igienizzati. Non vi è alcuna possibilità che malware infetti il computer dell’utente o i server aziendali. Inoltre, i link all’interno dei siti web possono essere aperti in modalità di sola lettura, in modo che gli utenti non possano inserire erroneamente le credenziali nei siti spoofed.

Gli utenti devono essere educati a stare attenti alle email che sono appena un po’ fuori luogo e a non cliccare su link o allegati se qualcosa è anche solo leggermente sospetto. Ma l’educazione degli utenti e i consigli per la consapevolezza del phishing via email non vanno oltre. In realtà, anche i professionisti della sicurezza informatica sono noti per essere caduti nelle sofisticate truffe di phishing che gli hacker escogitano. Quando si tratta di attacchi di phishing sofisticati e intelligenti è molto importante essere prudenti, proteggere gli utenti dai loro inevitabili errori è ancora più importante.

Consultate l’articolo “Best Practices in Enterprise Identity and Access Management” per maggiori informazioni su come mantenere al sicuro i vostri dati aziendali.

Fonte: Ericom Software

Il mio telefono è più sicuro del mio computer?

Da WannaCry a NotPetya, le violazioni della sicurezza stanno diventando notizie sempre più comuni. Ma la grande domanda è: da dove vengono queste violazioni? E siamo più vulnerabili su desktop o sui dispositivi mobili?

Guardando più da vicino alcune recenti violazioni della sicurezza, la maggior parte (tra cui WannaCry) è derivata da attacchi che hanno come obiettivo i desktop. Questi attacchi spaziano dallo sfruttamento delle vulnerabilità integrate, all’infiltrazione tramite software obsoleti, al semplice errore umano.

La maggior parte delle violazioni dei dati tendono ad avere origine all’interno del sistema operativo Windows, ed è qui che si concentra l’attività della sicurezza informatica. Un rapporto di Business Insider Intelligence del 2016 ha stimato che tra il 2015 e il 2020, sarebbero stati spesi $ 386 miliardi per iniziative di sicurezza per proteggere i PC. Il rapporto prevedeva che, nello stesso periodo di tempo, sarebbero stati spesi 113 miliardi di dollari per proteggere i dispositivi mobili.

I desktop sono meno sicuri?

Quando Windows è stato sviluppato per la prima volta, è stato creato per un PC standalone. Non è stato creato pensando al mondo connesso. Di conseguenza, il sistema operativo aveva buchi di sicurezza e molti di questi si sono trascinati fino ad oggi. I progetti per Mac OS e Linux erano basati su un sistema multiutente in rete e tendono a essere più sicuri di Windows, che funziona sull’86% dei computer del mondo.

Per risolvere i problemi di sicurezza di Windows, quasi tutte le aziende hanno varie forme di software anti-virus, firewall e web gateway sicuri per proteggere i dati sensibili. Anche molti proprietari di PC personali che utilizzano Windows utilizzano una qualche forma di software anti-virus per proteggere i loro laptop e desktop.

Fatti vs sensazioni

Un altro elemento che alimenta il fatto che i desktop siano meno sicuri è l’esperienza. Molti di noi hanno avuto a che fare con un virus o qualche forma di malware sui nostri computer. Tuttavia, pochi di noi hanno avuto la stessa esperienza con i nostri telefoni. Questo crea l’idea che non dobbiamo preoccuparci delle minacce alla sicurezza sui nostri dispositivi mobili nello stesso modo in cui ci preoccupiamo di quelle sui nostri desktop.

I dispositivi mobili sono effettivamente più sicuri?

In termini di come sono stati fatti, sì. Smartphone, tablet e altri dispositivi portatili non sono stati progettati solo per un mondo connesso, ma progettati da sviluppatori che hanno applicato le lezioni apprese dai desktop che li hanno preceduti. I dispositivi mobili hanno iniziato con un modello di sicurezza integrato molto diverso rispetto al sistema operativo Windows originale, che aveva pochissima sicurezza.

Ma solo perché i dispositivi mobili sono stati creati per essere più sicuri, non significa necessariamente che lo siano ancora.

Il fattore umano

In realtà non è possibile che tutto sia sicuro al 100%, specialmente se consideriamo il fattore umano. Siamo ancora abbastanza spesso l’anello debole della catena. Non importa quanta formazione riceve qualcuno, le persone commettono errori. Dal mancato aggiornamento del software, al clic sui link di phishing o alla semplice perdita di dispositivi, l’errore umano può rendere anche il sistema più sicuro suscettibile di violazione.

Interagiamo anche in modo diverso con i nostri dispositivi mobili rispetto a computer portatili o desktop. Quando si tratta di lavorare, molti dipendenti considerano i telefoni aziendali come dispositivi personali. Questo mix di lavoro e uso personale su un dispositivo può mettere a rischio i dati di un’intera azienda, anche se solo un dipendente cade vittima di un attacco.

È solo una questione di tempo

Dal momento in cui il primo iPhone è stato lanciato nel 2007 ad oggi, gli hacker sono diventati sempre più abili nel navigare tra i livelli di sicurezza esistenti per compromettere i dispositivi mobili. E la quantità di dati sensibili sui dispositivi mobili continua a crescere in modo esponenziale. Non solo riempiamo i nostri telefoni con immagini e video, ma anche informazioni altamente sensibili come dettagli bancari, accessi per account di social media e piattaforme di archiviazione basate su cloud come Dropbox.

A differenza dei computer desktop pesanti o anche dei portatili leggeri, i telefoni cellulari vivono nelle nostre tasche e borsette. In qualsiasi momento, stiamo trasportando dispositivi dotati di telecamere, microfoni e segnali GPS incorporati. Il desiderio degli hacker di accedere a questi dispositivi è ovvio.

Quindi quali sono i problemi di sicurezza per i dispositivi mobili oggi? Di seguito sono riportati i tipi di minacce a cui prestare attenzione.

Malware mobile

Gli aggressori si stanno continuamente innovando. La nostra ricerca mostra che il numero di malware dannosi destinati ai dispositivi mobili è più che triplicato nel 2016, provocando quasi 40 milioni di attacchi a livello globale. La Market Guide di Gartner del 2018 ha rivelato che ogni anno ci sono 42 milioni di attacchi di malware mobile.

L’opinione comune è che gli iPhone non siano sensibili al malware, in parte a causa del malinteso che i computer Mac siano più sicuri. In realtà, su iOS sono stati trovati numerosi tipi diversi di malware e i numeri sono in aumento (per ulteriori informazioni sulle minacce su iPhone, leggi il nostro post: Beware iOS users: malware is by no means an Android-only problem ).

I dispositivi Android sono altrettanto vulnerabili alle minacce, se non di più, e gli hacker sono stati rapidi a scoprire e sfruttare queste vulnerabilità (per ulteriori informazioni sulle minacce su Android, leggi il nostro post: “4 ways hackers are infiltrating Android phones with malware“).

Phishing

Il phishing è la minaccia più grande per i dispositivi mobili. Mentre gli schermi più piccoli rendono molto più facile perdere gli URL completi nelle finestre del browser, il consenso generale sul fatto che i dispositivi mobili siano più sicuri lascia molti utenti con la guardia abbassata e gli hacker ne approfittano.

I dati di IBM mostrano che gli utenti hanno tre volte più probabilità di essere vittime di un attacco di phishing su un dispositivo mobile rispetto a un desktop e che vengono create nuove pagine di phishing ogni 20 secondi. Anche gli attacchi stessi stanno diventando più sofisticati, con pagine che spesso si presentano come collegamenti legittimi da marchi noti. Ciò rende sempre più difficile per gli utenti distinguere tra ciò che è vero e ciò che è inganno. Poiché il 90% delle violazioni dei dati inizia con attacchi di phishing, la protezione dei dispositivi mobili sta diventando sempre più critica.

Quindi, abbiamo un falso senso di sicurezza quando si tratta di dispositivi mobili?

In breve, sì. I consumatori e le aziende pensano allo stesso modo che i dispositivi mobili siano sicuri e questo ci fa tornare alla questione dei fattori umani. Molti di noi non pensano nemmeno alla possibilità di minacce alla sicurezza sui nostri dispositivi mobili, e questa mancanza di consapevolezza è esattamente ciò che rende vulnerabili i dispositivi.

Uno studio del 2014 di Consumer Reports ha rilevato che oltre un terzo degli utenti mobili non implementava alcuna sicurezza sui propri dispositivi, con il 36% che utilizzava PIN a 4 cifre e solo l’11% utilizzava password più complesse.

Questa mentalità sta gradualmente cambiando man mano che sempre più utenti incontrano i link di phishing tramite SMS o messaggi di WhatsApp. Tuttavia, solo il 14% degli americani pensa che sia più importante che i propri dispositivi mobili siano dotati di una crittografia adeguata rispetto a quella dei loro laptop.

Le prove dimostrano che, sebbene i dispositivi mobili all’inizio potevano essere più sicuri dei computer desktop, il gioco è cambiato e gli hacker sono sempre più evoluti. Le minacce sono reali ed è necessario aver la consapevolezza di mantenere i dispositivi protetti.

Fonte: Wandera

Ingegneria sociale – Una battaglia di cervelli?

È probabile che la maggior parte delle persone che conoscete siano persone brave e affidabili. Si potrebbe non voler bere il caffè con il collega scontroso dalla contabilità, ma probabilmente si lascerebbero tutti gli effetti personali nel proprio ufficio nel caso lui passasse accanto.

Per l’esperto di ingegnere sociale, il fatto che la maggior parte delle persone si fidino e sono utili è una benedizione. E’ ciò che permette loro di trarre vantaggio da quasi tutti – dai receptionist ai dirigenti. Ed è il modo in cui si infiltrano anche nelle reti più sicure e fanno uscire le informazioni dai sistemi più protetti con facilità: arruolando l’aiuto di uno o due assistenti inconsapevoli sul libro paga dell’azienda.

Noi umani siamo molto più facili da manipolare di un firewall adeguatamente configurato o di uno strumento completo per la protezione degli endpoint. Pensaci: ci vuole meno tempo per ingannare qualcuno nel consegnare le sue password (spesso solo una questione di una conversazione o due, in cui viene sfruttata la fiducia) di quanto non faccia la forza bruta per attaccare una password di 10 cifre (nel caso ve lo stiate chiedendo, ci vogliono 4 mesi).

La formazione alla consapevolezza dei dipendenti è la chiave?
Per cercare di compensare il fattore umano, le aziende si rivolgono a programmi di formazione per la sensibilizzazione alla sicurezza dei dipendenti. L’idea alla base di questi programmi è quella di portare i dipendenti al punto da poter individuare un’email fasulla o un furfante a un miglio di distanza. Con questa maggiore consapevolezza, le aziende sperano di impedire all’ingegneria sociale di ottenere il meglio dai loro dipendenti e dai loro dati.

L’istruzione è fantastica; qualsiasi tentativo di sensibilizzare i dipendenti dovrebbe essere debitamente elogiato. La formazione di sensibilizzazione alla sicurezza può ridurre notevolmente il tasso di successo degli attacchi comunemente associati a violazioni dei dati come il phishing. Ora i vostri dipendenti sanno meglio come non cadere nella truffa “Windows Tech Support” e probabilmente si rendono anche conto che le email mal formulate che proclamano che hanno vinto il Gran Premio di Google / Microsoft / Apple devono essere cancellate e segnalate.

L’errore umano ci sarà sempre
Ecco il problema; L’educazione non può andare così lontano quando il nemico è l’astuzia umana. Gli aggressori sono sempre alla ricerca di nuovi modi per truffare e violare, sia a livello umano che a livello di macchina. Così, mentre i tuoi dipendenti sanno che devono tenersi alla larga da alcune delle più ovvie email fasulle, potrebbero non sospettare che il curriculum appena arrivato nella casella di posta delle risorse umane sia in realtà solo un allegato malware. Probabilmente l’hacker ha impiegato solo pochi minuti a carpire l’indirizzo email, sapere la posizione lavorativa e usare queste informazioni per creare un’e-mail di spear-phishing altamente plausibile. Negli ultimi anni, infatti, alcune organizzazioni sono state ingannate da aggressori che hanno sfruttato questa tecnica per violare la rete aziendale.

La formazione dei dipendenti non avrebbe impedito a una persona del reparto HR di aprire quell’allegato – aprendolo, stava semplicemente facendo il proprio lavoro. Inoltre, anche se i dipendenti sono molto più attenti, basta un singolo errore per aprire la porta agli infiltrati. Quando si tratta di proteggere la rete, è necessario avere un margine di errore il più vicino possibile allo zero.

Formazione + isolamento del browser
La verità è che, indipendentemente dalla quantità di formazione offerta, la gente commetterà sempre degli errori. Forse sarà il nuovo ragazzo, che non era presente all’ultimo seminario di sensibilizzazione, o forse è un socio troppo desideroso di ricercare nuovi contatti: in ogni caso, le persone saranno sempre vulnerabili all’ingegneria sociale. Questo è il motivo per cui è fondamentale ridurre al minimo il grado in cui la sicurezza si basa sulla capacità decisionale imperfetta degli utenti.

Le tecnologie che utilizzano un modello di sicurezza zero-trust, come l’isolamento remoto del browser, sono fondamentali per garantire che anche quando gli utenti commettono un errore di valutazione troppo umano e fanno clic sui collegamenti “errati”, le reti non vengono compromesse.

Fonte: Ericom Software