Dal 2014 a oggi sono 119 le azioni, portate a termine in Europa, da 159 attentatori (dei quali 57 sono deceduti) e che hanno provocato la morte di 390 persone e il ferimento di altre 2359. Intervista a Claudio Bertolotti, direttore esecutivo React e di Start InSight (Strategic Analysts and Research Team)

“Difesa e Sicurezza: prevenire il radicalismo per contrastare il terrorismo”: è il titolo del convegno che si è svolto questa mattina a Torino, presso la sede del Consiglio della Regione Piemonte, per iniziativa di “ReaCT – Osservatorio sul Radicalismo e il Contrasto al Terrorismo”, con il patrocinio dal Ministero della Difesa e dalla Regione Piemonte. L’evento giunge a pochissimi giorni di distanza dal venerdì nero (29 novembre) del terrorismo che ha fatto registrare tre attacchi rispettivamente a Londra, L’Aja e Parigi. Tre i morti nella capitale inglese, tra cui l’aggressore, il 28enne Usman Khan, cittadino britannico di origini pakistane, già condannato per terrorismo nel 2012 e in libertà vigilata dal 2018, con il braccialetto elettronico. L’attentato londinese è stato rivendicato dall’Isis, attraverso la sua agenzia di propaganda “Amaq”.

Quest’ultimo cyber-attacco sembrerebbe risalire a 3 anni fa, agosto 2013, con un furto che riguarderebbe:

• password,
• e-mail,
• numeri di telefono,
• date di nascita,
• ma anche domande di sicurezza, utili a risalire al proprio account di posta elettronica nel momento in cui la chiave di accesso viene dimenticata.

Ma i numeri sono addirittura arrivati a raddoppiare rispetto all’attacco dichiarato il 22 settembre di quest’anno (ma risalente a due anni prima), quando ad essere violati erano stati circa 500.000 account. Il consiglio per tutti gli utenti con account Yahoo! è ovviamente quello di cambiare subito la password.

Si tratta di un altro gravissimo danno d’immagine per Yahoo!, che a questo punto rischia di portarsi dietro strascichi in merito all’acquisizione di Verizon, colosso delle telecomunicazioni wireless negli Stati Uniti, che probabilmente chiederà uno sconto rispetto ai 4,8 miliardi di dollari previsti per l’acquisto dell’azienda web californiana. Yahoo!, esattamente come a settembre, dichiara che potrebbe essere coinvolto uno Stato anche in questo attacco hacker (si parlava di Russia e Cina) e intanto il titolo ha perso oltre il 2% a Wall Street.
In ogni caso, qualora l’acquisizione di Verizon andasse in porto, a rischiare il posto sarebbe Merissa Mayer, amministratrice delegata attualmente in carica, che sembra non convincere i nuovi acquirenti.

«Tutte le analisi evidenziano, su scala globale, il cospicuo aggravio delle conseguenze degli attacchi informatici, in termini di frequenza e gravità — sottolinea Davide Gilli, direttore commerciale di XL Catlin in Italia, filiale di un gruppo assicurativo globale che opera in tutto il mondo ed è specializzato nel settore aziende — e la richiesta di coperture assicurative è aumentata in modo esponenziale. Nel nostro paese, però, a questo non ha corrisposto un incremento nella diffusione delle polizze contro i rischi informatici. Il budget stanziato dalle aziende italiane per queste coperture sembra per ora modesto e residuale: spesso l’effettivo acquisto avviene solo in caso di risparmio su altre polizze tradizionali».

Da cosa deriva questa disparità fra il rischio percepito e la scarsa propensione a trasferirlo al mercato assicurativo? «In primo luogo – risponde Gilli – come per ogni pericolo emergente, a fronte della chiara percezione della sua esistenza, soprattutto nelle culture latine vi sono scetticismo e incredulità, e quest’approccio è forte in un ambito come il Cyber, dove il rischio non è tangibile. Questa reticenza, inoltre, è accentuata dall’assenza in Italia di una chiara e diffusa normativa in materia. Escludendo il settore delle telecomunicazioni, per le aziende non esiste alcun obbligo di comunicare un attacco informatico ai propri clienti: questi ultimi, quindi, sono ignari del fatto che i propri dati possano essere stati sottratti da hacker anonimi». La strada sembra comunque segnata. «È inevitabile che, a fronte del trend di crescita del rischio, continui ad aumentare l’interesse per la copertura – sostiene Gilli – e si assisterà a un’evoluzione: accanto alla responsabilità civile, che rimborsa i danni procurati a terzi, le polizze copriranno sempre più anche i danni subìti dalla stessa azienda, per esempio quelli provocati dall’eventuale interruzione del servizio. Da parte nostra, siamo pronti rispetto a quest’evoluzione: utilizziamo un processo di sottoscrizione che permette ai nostri clienti di ottenere polizze ottimizzate alle reali esposizioni, evidenziando il reale profilo di rischio cui sono sottoposti».

Nel settore dei rischi aziendali, un altro tema che assume sempre maggiore importanza è quello dei programmi assicurativi internazionali. «Quando una società cresce oltre i confini nazionali investendo in nuove aree geografiche, un approccio decentralizzato diventa sempre più difficile da gestire e spesso non conveniente – spiega Gilli – utilizzando un assicuratore globale si conseguono importanti vantaggi: copertura omogenea dei rischi in tutti i paesi, ottimizzazione della spesa, compliance con tasse e regolamenti locali, monitoraggio centralizzato dei sinistri ed efficienza nella loro gestione». Quando si parla di programmi assicurativi internazionali, quest’ultimo aspetto viene spesso trascurato. «Si tratta invece di elemento cruciale – sottolinea Gilli – in un’economia globale, la gestione dei sinistri richiede competenze sofisticate e la disponibilità di strumenti tecnologici all’avanguardia. Le diversità linguistiche, culturali, legislative e di pratiche di mercato devono essere affrontate con una gestione che sia in grado di assicurare la compliance legale e fiscale a ogni livello». Il gruppo XL Catlin opera in oltre duecento paesi sottoscrivendo oltre tremila programmi assicurativi globali, nel 75% dei quali ha il ruolo di leader; è fra i primi tre assicuratori dei rischi aerospaziali e fra i primi cinque per quelli politici.

Non c’è un target specifico di soggetti più esposti al rischio ransomware. Finora sono state colpite organizzazioni appartenenti a settori molto differenti, dagli ospedali alle squadre della National Association for Stock Car Auto Racing (NASCAR), solo per fare alcuni esempi a livello internazionale. E pagare il riscatto a volte non è un’opzione: per gli ospedali riavere la disponibilità dei dati criptati dai criminali può significare infatti salvare o meno la vita di un paziente.

I motivi che rendono in questo momento i ransomware così popolari tra i criminali informatici sono molti, ma due sono quelli più importanti.

Il primo motivo ha a che fare con i privilegi. La maggior parte dei malware ha bisogno di diritti di amministratore locale per agire e i ransomware si mettono alla ricerca proprio dei privilegi di amministratore quando entrano in azione. Quindi, se un utente su un dispositivo colpito dispone delle autorizzazioni necessarie per aprire Microsoft Word per redigere e modificare un documento – permessi standard nella maggior parte delle organizzazioni – anche il ransomware avrà le autorizzazioni necessarie per cifrare i documenti. Pur seguendo le cosiddette “Dieci immutabili leggi della sicurezza” di Microsoft e rimuovendo agli utenti standard i diritti di amministratore locale, la maggior parte dei ransomware può ancora svolgere il suo lavoro e crittografare i file.

Il secondo motivo di diffusione del ransomware è il modo in cui è stato progettato. In genere, quando il malware viene scoperto per la prima volta da un programma antivirus, quest’ ultimo individua l’impronta digitale del file, cioè ne calcola l’hash, in modo che la volta successiva che lo scopre riesce a bloccarlo. Ma il ransomware è un esempio di minaccia polimorfica, nel senso che può cambiare piccoli attributi rimanendo ancora efficace. Ciò significa che trasformandosi in una versione 2.0, diventa sconosciuto per l’antivirus che non riesce più ad individuarlo.

Ci sono tuttavia modi per mitigare i rischi derivanti dai ransomware. Mantenere i backup aggiornati quanto più frequentemente possibile permette di ripristinare i file in versioni recenti. Ma questo può rivelarsi un metodo scomodo e che richiede molto tempo, e quindi non può essere una soluzione praticabile da tutti. Un’altra strada da percorrere parallelamente, in particolare questo vale per le imprese, è quella di utilizzare sempre software antivirus, anche se a causa della natura di malware polimorfico del ransomware, l’efficacia non è elevata.

Per mitigare più efficacemente i rischi degli attacchi di ransomware a livello di server, CyberArk – azienda leader nella gestione degli account privilegiati – consiglia di utilizzare applicazioni di whitelisting, dal momento che i server sono in genere statici e non eseguono molte applicazioni. La natura dinamica degli endpoint, tuttavia, rende difficile l’attuazione di un efficace whitelisting. Sugli endpoint è più efficace ed efficiente l’utilizzo di strumenti di controllo delle applicazioni quali il greylisting, che supporta ambienti applicativi dinamici, evitando alle applicazioni sconosciute di ottenere i privilegi necessari per crittografare i file.

Quello che è stato imparato dallo studio del ransomware e dei suoi comportamenti è che deve aver letto, scritto e modificato privilegi su file per riuscire a crittografarli. Strumenti che possono limitare i privilegi da applicazioni sconosciute, compresi i ceppi di malware polimorfico non ancora noti per la loro pericolosità, possono prevenire la crittografia dei file, salvando così i dati ed evitando ripercussioni sul business.

“Minuti che bastano per raccogliere credenziali, informazioni personali, crittografare i dati, recuperare informazioni “finanziarie” per accedere a sistemi di internet banking. Contrastare questo tipo di attacchi richiede un approccio innovativo perché è necessario mettere a punto un sistema intelligente a prova di hacker”, spiega Claudio Panerai, CTO Achab.

I dati raccolti durante tutto il 2015 mostrano inequivocabilmente che oggi gli attacchi sono ormai divenuti globali e fortemente dinamici. Gli esperti hanno analizzato:

• Oltre 27 miliardi di URL.
• Più di 600 milioni di domini.
• Più di 4 miliardi di Indirizzi IP.
• Oltre 9 miliardi di file.
• Più i 20 milioni di App mobile.
• Oltre 10 milioni di sensori connessi.

Gli attacchi informatici oggi rappresentano ormai una realtà che non riguarda più solo enti governativi e multinazionali ma interessa anche PMI, liberi professionisti e utenti finali. Essere informati e conoscere le minacce, per scegliere le migliori soluzioni per difendersi dai cyber criminali, è il primo passo per prevenire situazioni di rischio.

Malware e applicazioni PUA (Potentially Unwanted Application) sono diventatati polimorfici: oltre il 97% delle istanze di malware rilevate nel 2015 è comparsa su un solo dispositivo. Ciò significa che il malware di oggi è personalizzato e specifico per ognuno di noi. Altri numeri portano a questa conclusione: i “ceppi” delle applicazioni PUA sono passati da 30.000 nel 2014 a 260 nel 2015. Il “ceppo” di virus è passato da 700 a circa 100. Parallelamente la diffusione dei virus è cresciuta e per spiegare questo fenomeno la chiave di lettura è il polimorfismo, ossia meno “fonti” di virus unici ma con molte più varianti rispetto a prima. Il fatto che i virus cambino in continuazione richiede anche un cambio di azioni nel contrastare i virus. Non sono più sufficienti antivirus che scaricano “le firme” aggiornate perché, se i virus continuano a cambiare velocemente, gli aggiornamento degli antivirus non riescono a reggere questo ritmo: occorre un software di protezione che lavori a più livelli e faccia ricorso a più tecnologie per l’individuazione delle minacce, possibilmente in tempo reale.

Una delle tecniche che si possono usare per fermare il malware è quella di censire i siti che diffondono il malware. Da anni Webroot continua a tenere aggiornata una lista di indirizzi IP ad alto rischio, lista che oggi conta all’incirca 12 milioni di indirizzi IP. Degli indirizzi che vengono aggiunti ogni giorno alla lista, il 40% risulta non essere mai stato in contatto con attività “malevole”, il che dimostra come sia pervasiva la diffusione dei sistemi portatori di virus.

Gli IP presenti in lista si trovano in tutte le regioni del mondo, anche se le nazioni con il maggior numero di IP presenti in lista (Stati Uniti e Cina) sono largamente davanti a tutti gli altri stati. La maggior parte degli indirizzi IP della lista ha in qualche modo a che fare con lo spam; questi indirizzi inoltre hanno una vita molto breve e sono quindi praticamente impossibili da intercettare utilizzando le “tradizionali” blacklist statiche. Possono essere invece bloccati con sistemi che usano liste dinamiche aggiornate in tempo reale.

Nel corso del 2015 Webroot ha analizzato e classificato milioni di URL e in particolare per il phishing emergono dei numeri interessanti. La probabilità per un utente di incappare in un sito di phishing nel corso del 2015 è del 50% (contro il 30% del 2014), il che testimonia l’efficacia di questo tipo di attacchi. Le aziende più colpite dal phishing sono le aziende finanziarie e tecnologiche – di seguito la tabella con le Top 5 aziende maggiormente prese di mira nel 2014. Google in particolare la fa da padrone: nel solo 2015 ci sono stati 83.000 siti che si spacciavano per Google cercando di recuperare le credenziali degli utenti. La “classifica” dei Paesi che ospita siti di phishing evidenzia al primo posto gli Stati Uniti e a seguire Regno Unito e Germania.

Webroot ha analizzato inoltre lo scenario mobile, in questo contesto sono state prese in considerazione oltre 10 milioni di App Android nel solo 2015. Queste App sono state classificate secondo i parametri “buona”, “dannosa”, “a rischio moderato”, “sospetta”, “indesiderata”. Il 52% di tutte le nuove App sono state categorizzate come indesiderate o dannose, e solo il 18% come buone. E non finisce qui: la maggior parte delle App risultano essere veicolo di virus Trojan (60%) o OUA (28%). Nemmeno gli utenti di iOS non possono considerarsi immuni dagli attacchi: la versione Trojan dell’ambiente di sviluppo Xcode, per esempio, ha infettato 2 milioni di utenti iOS.

“Oggi gli utenti utilizzano app per esigenze più disparate: cucinare, allenarsi, conoscere nuove persone, informarsi. E’ ormai un obbligo proteggere i telefonini con specifiche App di sicurezza che ci avvisino prima di scaricare delle App nocive”, commenta Claudio Panerai.

Con la crescente diffusione di virus e malware polimorfi appare evidente che le aziende, ma anche i privati, devono fare affidamento su sistemi di sicurezza real-time, per esempio con endpoint di nuova generazione che impediscano agli utenti di entrare in contatto con cybercriminali. I sistemi di intelligenza real-time e basati su cloud permettono di impostare policy proattive per salvaguardare le reti, gli utenti e le informazioni dal dilagante fenomeno del malware.

Cosa possono fare le aziende e i singoli utenti?

• Contrastare le minacce con un approccio innovativo per la rilevazione degli attacchi basati su tecniche fortemente avanzate.
• Adottare un approccio alla sicurezza in tempo reale, ad alta precisione e intelligente per contrastare le minacce e per proteggersi dalle attività dei criminali informatici
• Impostare politiche proattive per proteggere automaticamente le reti, gli endpoint e gli utenti come parte di una strategia profonda di difesa.
• Essere più vigili che mai rispetto ai siti web che si visitano, agli URL che si seguono e alle applicazioni mobile che si utilizzano.

Non stiamo ad elencare tutte le possibilità e le modalità in cui si può essere vittima di danni che provengono dal mondo online: ormai non sono solo i computer ad essere collegati e vulnerabili, ma persino i frigoriferi (non si scherza, è successo davvero!) possono essere vittime e complici inconsapevoli di cyber-criminali.

Il prodotto presentato ha tutti i presupposti per dare risposte adeguate e modulabili sulle esigenze e sulle dimensioni dell’azienda, offrendo comunque una servizio a “largo spettro” non solo in termini di copertura, ma anche, ed è fondamentale, in termini di prevenzione dei danni e di disaster recovering.
Il costo? Sicuramente abbordabile: si parte da 290 euro all’anno. Come sempre il progetto di salvaguardare la vita stessa della propria azienda va accompagnato da una corretta analisi e gestione dei rischi preventiva, per definire poi non il costo, ma l’investimento nella sicurezza.
Ormai non solo tra gli addetti ai lavori circola il detto: “ci sono due tipi di aziende: quelle che hanno subito almeno un attacco informatico e quelle che non lo sanno”.
Per inciso, in conclusione: la copertura è offerta da due sindacati dei Lloyd’s e progettata e distribuita da Dual, tramite agenti e broker come Adeia RIM.

FALSE INFORMAZIONI AI CLIENTI – Così si legge in una nota diffusa questa mattina da Banca Monte dei Paschi di Siena. Gli uffici del gruppo aggiungono che Mps “sta inoltre valutando la proposizione di iniziative legali anche nei confronti di coloro che si sono resi responsabili, attraverso strumenti audio/video, telefonici e informatici di qualsiasi genere, di azioni tese a diffondere false informazioni sulla banca nei confronti dei clienti”.