Cyber crime ad “alta velocità”

Da qualche anno attendo sempre con una certa curiosità il “Threat Hunting Report” di CrowdStrike perché c’è un numero che mi interessa particolarmente. Si tratta del tempo medio che un attaccante impiega a spostarsi all’interno dei sistemi dopo che ha ottenuto il primo accesso. Anche per questo 2023 i criminali sono tristemente riusciti a migliorare la loro performance, scesa da 84 a 79 minuti. Il dato è sempre più preoccupante, anche al netto di quello che potremmo considerare il primatista mondiale della categoria, che è riuscito nell’impresa in soli sette minuti. Sono pronto a credere che i “cattivi” stiano diventando sempre più bravi, ma evidentemente anche i “buoni” ci mettono del loro.

Tutti gli esperti di settore, compreso il sottoscritto, vanno affermando da qualche anno che la protezione dei sistemi deve partire dal presupposto che il nemico non è alle porte, ma si è già accomodato in salotto. Appare chiaro che le organizzazioni faticano a strutturare una sicurezza che non sia prevalentemente perimetrale: abbiamo il fossato e le mura e tanto basta. Personalmente penso si tratti di una questione in parte culturale (scarsa consapevolezza del rischio), in parte di operatività perché applicare principi come la “difesa in profondità” (più misure di sicurezza per evitare che superata la prima il sistema ceda) o lo “zero trust” (nessuno è affidabile fino a prova contraria) rendono un po’ meno “user friendly” i sistemi tecnologici. Sembra così che il compromesso tra velocità e controllo sia irraggiungibile, e i criminali lo hanno capito perfettamente perché il primo obiettivo è quello di impossessarsi di credenziali valide per accedere ai sistemi. Recuperate quelle ecco che bastano i famosi 79 minuti per portare a termine l’operazione.

In questo senso, un altro segnale arriva dal crescente attivismo degli Initial Access Broker, le organizzazioni criminali specializzate nel fornire il primo accesso ai sistemi. Sui mercati “underground” i loro annunci sono aumentati del 147 per cento. In definitiva chi attacca è come un centometrista che ogni anno si migliora, chi si difende al momento pratica un altro sport.