⚠️ ATTACCHI alla SUPPLY CHAIN: cosa sono (e perché ti riguardano)

Immaginate di essere al lavoro e di sentire un vostro collega che dice di aver appena pagato il bollo della sua auto. Vi viene in mente che anche il vostro è in scadenza, quindi vi collegate al sito dell'ACI per pagare online in tutta comodità. La pagina, dopo un caricamento lunghissimo, si blocca su una schermata di errore. Controllate la vostra connessione ed è a posto, altri siti in effetti si stanno caricando normalmente, è solo il sito dell'ACI che non funziona. Decidete di cercare notizie online e vi collegate al sito de Il Mattino, il giornale che leggete più spesso e cui siete abbonati. Anche il sito del giornale però non dà segni di vita. Il vostro collega vi chiede poi se potete inviargli il contenuto di un articolo che stava leggendo su Italia Oggi. Gli serve per lavoro ma non riesce più ad accedere al sito. E nemmeno voi. Dulcis in fundo, vi ricordate di aver ordinato un libro sul sito della casa editrice Giunti, ma quando vi collegate per vedere a che punto era spedizione, anche questo sito non dà segni di vita. Eppure tutto il resto funziona normalmente. Quello che vi sto raccontando non è uno scenario ipotetico. A metà del 2024 72 siti web italiani, per lo più di testate giornalistiche o case editrici, sono stati violati da un attacco hacker. I malintenzionati in realtà non hanno avuto bisogno di compiere 72 attacchi diversi, ne hanno messo a segno solo uno contro la Naviga Global, azienda che forniva a tutti questi siti web il CMS, cioè il sistema che gestiva i loro contenuti, articoli e pagine. Gli attaccanti avevano trovato una vulnerabilità nel CMS e sfruttandola sono riusciti a dati degli utenti di 72 siti web diversi, tutti in una volta. Questo è un tipo di attacco rivolto non a un target specifico, ma alla cosiddetta supply chain, la catena di fornitura. Ma per capire bene come funziona e perché riguarda tutti noi, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Oggi affronteremo un tema che sicuramente interessa più aziende ed enti utenti rispetto al cittadino comune, ma visto che è un tipo di attacco di cui spesso si parla sui giornali e che viene trattato in modo sempre molto superficiale, ho pensato comunque di farci un contenuto, in modo che la prossima volta che leggerete su internet che il prezzo della carne è aumentato a causa di un attacco alla supply chain, saprete esattamente di cosa si sta parlando. Vedremo anche che in realtà ci sono alcuni accorgimenti che noi utenti possiamo adottare per proteggerci anche da questo genere di attacco. Ma andiamo con ordine. Partiamo con quella che è la domanda principale: cos'è la catena di fornitura o supply chain? Continuerò a usare anche il termine in inglese perché nel mondo della cyber security si usa questo per indicare questo tipo di attacco, quindi non me ne vogliate. La catena di fornitura comprende tutti i passaggi che vengono svolti prima di arrivare al prodotto finale. Quando ordiniamo una pizza e la mangiamo, se pensiamo a chi è il nostro fornitore, ci viene in mente il pizzaiolo. Lui in realtà però è solo l'ultimo tassello della catena di fornitura. C'è il contadino che ha coltivato il grano per la farina, il mugnaio che l'ha macinata, il fornitore che l'ha consegnata alla pizzeria. C'è l'allevamento in cui è stato prodotto il latte e il caseificio che l'ha trasformato in mozzarella. C'è il campo di pomodori raccolti e venduti per trasformarli in salsa. E così via per ogni singolo ingrediente. Il pizzaiolo ha semplicemente scelto i fornitori, ha acquistato i loro ingredienti e poi li ha assemblati per fare la vostra pizza. Ora immaginate di avere un nemico, qualcuno che proprio vi odia intensamente e vuole farvi del male. Decide di mettere quindi del lassativo nel vostro cibo per farvi passare una brutta nottata e inizia a pianificare come fare. Sa che ogni settimana il venerdì sera ordinate la pizza in quella determinata pizzeria, quindi potrebbe entrare, cercare di capire qual è il vostro ordine e poi inserire il lassativo. Ma così è molto complicato, lui vuole andare sul sicuro. Allora cosa fa? Anziché puntare a mettere il lassativo sulla vostra singola alla pizza, va nel mulino che produce la farina, vede che loro lasciano tutte le porte aperte di notte perché non sono molto attenti alla sicurezza, e mette il lassativo in tutte le 10 tonnellate di farina prodotte quella settimana. In questo modo è sicuro che a cascata ogni pizza prodotta con quella farina contenga il lassativo. Non serve avvelenare ogni singola pizza, basta contaminare un punto strategico della catena e improvvisamente migliaia di pizze diventano pericolose. E il prossimo venerdì quando prenderete la pizza sarà piena di lassativo come le altre. E qui ci potremmo chiedere: di chi è la responsabilità per tutte quelle nottate passate in bagno? Sicuramente del vostro nemico, questo è poco ma sicuro. Sicuramente anche del mulino, perché non avendo nessuna misura di sicurezza lo ha lasciato entrare indisturbato. Ma per la legge può essere anche colpa del pizzaiolo per aver scelto un mulino senza controllare le misure di sicurezza messe in atto. E questo è quello che avviene anche nel mondo della cyber security. In questo ambito la supply chain comprende tutti i fornitori di software, quindi di programmi e applicazioni, di hardware come il computer, il cellulare, insomma le cose fisiche, e tutti i servizi e componenti di terze parti da cui dipende un'organizzazione. Un attacco alla supply chain avviene quando i criminali informatici sfruttano proprio uno di questi elementi come vettore per infiltrarsi nel bersaglio finale. È un attacco di tipo indiretto: io voglio colpire l'azienda X e per farlo risalgo nella catena di fornitura cercando un punto debole. Debole e quando lo trovo mi infilo. Io ho detto punto infiltrarmi nell'azienda X, ma ovviamente si può trattare anche semplicemente della volontà di mettere le mani su quanti più dati possibile. Quindi posso anche scegliere un punto della catena di fornitura un po' più debole in modo da riuscire a colpire varie aziende che usano quel fornitore lì e che a loro volta hanno tanti utenti. Ci sono tantissimi modi in cui può avvenire un attacco alla supply chain. Vediamo insieme i più comuni e come potrebbero essere evitati, condendo il tutto qualche caso reale. Innanzitutto un malintenzionato può compromettere uno strumento che usano molte aziende in modo che tutte quelle che lo utilizzano siano violate. È quello che è successo appunto alle testate giornalistiche, perché violando il singolo CMS, quindi il programma che serviva per gestire i contenuti, sono stati compromessi 72 siti web diversi. Ma è anche quello che è successo a Codecov nel 2021. Codecov è un programma che serve a dire agli sviluppatori quanto del loro codice è stato testato. Per capirci, quando un programmatore sviluppa un sito o un'app deve fare tutta una serie di test per verificare che tutto funzioni, ma è impossibile ricordarsi se è stato testato ogni singolo pezzetto di codice inserito. Codecov serviva proprio a questo, a evidenziare quali parti del codice erano state testate ed erano a posto e quali invece non erano mai state messe alla prova e potevano quindi contenere dei bug. A gennaio 2021 degli hacker sono riusciti a modificare in modo impercettibile il codice di CodeCov, aggiungendo una piccola funzione nascosta. Ogni volta che CodeCov veniva eseguito, frugava nel computer dello sviluppatore cercando password, codici di accesso e credenziali, per poi copiarle di nascosto inviandole a un server controllato dai criminali. L'attacco, come ho detto, iniziò a gennaio 2021 ma fu scoperto solo ad aprile. In quei 3 mesi oltre 29.000 organizzazioni avevano usato la versione compromessa di Codecov, inviando quindi dei dati confidenziali agli aggressori. Fortunatamente sembra che i criminali fossero interessati solo ad alcuni bersagli specifici e quindi che non abbiano utilizzato tutte le credenziali rubate, ma il danno potenziale era devastante. Con quelle chiavi avrebbero potuto entrare nei sistemi interni delle aziende, rubare codice proprietario, accedere ai dati dei clienti, sabotare le infrastrutture critiche. Insomma, potevano veramente fare di tutto. Come ci si protegge da un attacco di questo tipo? Direi che la risposta è nel modo in cui l'attacco è stato scoperto. Molto spesso quando si installano dei tool per sviluppatori di questo tipo, la versione originale contiene un codice hash, cioè un codice alfanumerico univoco che rappresenta l'impronta digitale del file. Questo codice hash viene dichiarato da chi distribuisce il tool, in modo che quando vado a scaricare lo strumento posso verificare che il codice hash di quello che ho scaricato e quello dichiarato dal venditore corrispondano. Corrispondano. Nel caso Codecov non corrispondevano, ed è una cosa che va assolutamente verificata prima di iniziare a usare il tool, perché è vero che può trattarsi di un errore, per esempio lo sviluppatore si è dimenticato di aggiornare sul sito il nuovo codice hash, ma è vero anche che può trattarsi invece di una compromissione volontaria. È stato un programmatore particolarmente zelante che come prima cosa dopo aver scaricato Codecov ha verificato che l'impronta del file scaricato e quella dichiarata sul sito corrispondessero, e quando ha visto che non era così ha contattato immediatamente la società. Qualcuno aveva manomesso lo script, e se noi cambiamo anche solo una virgola di uno script, il codice hash, quindi questa impronta digitale, non combacia più. Questi controlli di routine che richiedono letteralmente 5 minuti sono la salvezza di un'azienda. Un altro attacco è quello rivolto ai dipendenti di un'azienda fornitrice, ed è invece quello che è successo a British Airways, come abbiamo visto la scorsa settimana. Il malintenzionato ha cercato il modo di infilarsi nei sistemi di British Airways, e non riuscendo a mettere mani sulle credenziali di qualche dipendente della compagnia aerea, ha cambiato strategia. Ha scoperto che alcuni dipendenti di Swissport, la società che forniva alla British Airways tutto il servizio di gestione dei bagagli, avevano accesso ai sistemi della compagnia aerea. Quindi cosa ha fatto? Si è concentrato sul rubare le credenziali ai dipendenti del fornitore. Anche questo è un esempio di attacco alla supply chain, perché se la British Airways fosse stata più attenta a valutare le misure di sicurezza sicurezza messa in atto dal suo fornitore, forse l'attaccante non sarebbe riuscito a entrare. Ma abbiamo visto che tanto la British Airways non è che fosse particolarmente attenta, eh. Un altro tipo di attacco alla supply chain è quello in cui è l'azienda fornitrice stessa a essere il target del malintenzionato, con effetti che però si propagano su tutti quanti. L'abbiamo visto ad esempio quando abbiamo parlato del caso Colonial Pipeline. Gli hacker hanno bloccato con un ransomware i sistemi della compagnia petrolifera più importante degli Stati Uniti, che distribuiva carburante a 17 stati diversi, con la conseguenza che quando la Colonial Pipeline ha fermato tutta la fornitura nell'attesa di risolvere il problema, la gente si è trovata senza benzina ed è scattato il panico. Stessa cosa è successa sempre nel 2021 a JBS, il più grande fornitore di carne al mondo. Sistemi bloccati da un ransomware, fornitura di carne bloccata, con la conseguenza che nei supermercati non si trovava più e quella che si trovava aveva dei prezzi allucinanti. Tornando agli attacchi lato software, capita anche che un malintenzionato si infili dentro un'azienda legittima che produce programmi o sistemi operativi e mandi a tutti i clienti un finto aggiornamento di sistema che in realtà è un malware. Immaginate di avere un computer Windows, di avviare Windows Update, che è la parte che si occupa di verificare se ci sono degli aggiornamenti, di vedere che c'è effettivamente un aggiornamento da scaricare ed installarlo senza alcun pensiero. Vi verrebbe mai in mente che in realtà può essere stata hackerata la Microsoft stessa e che l'aggiornamento è un malware? Penso proprio di no. E se state pensando, eh, ma che paranoica, vuoi che capiti una cosa del genere? Aspettate di sentire quello che è successo alla società SolarWinds, che nel 2020 è stata protagonista di un attacco pazzesco. Ma quasi quasi ve ne parlo nel video della prossima settimana. C'è anche la possibilità, per fortuna molto più rara, che un attaccante si infili nell'hardware di un'azienda, quindi nei componenti fisici. Facciamo l'esempio di un'azienda normale come la Dunder Mifflin, società che vende risme di carta. Ha bisogno di computer per farlo e i computer hanno bisogno di tastiere, quindi si rivolge a un fornitore di tastiere. Il fornitore di tastiere non costruisce ogni singolo componente, spesso si limita ad acquistare vari pezzi e ad assemblarli. Potrebbe tranquillamente succedere che un'azienda a cui si rivolge per acquistare un componente sia malevola e venda pezzi che fanno quello che devono fare e anche qualcosa di più, ad esempio registrare tutto quello che viene digitato e trasmetterlo in qualche modo ai malintenzionati, che così possono carpire credenziali, password e così via. Anche un dipendente bravo e attento della Dunder Mifflin, che chiameremo giusto per fare un esempio Dwight Schrute, potrebbe essere ingannato in maniera completamente inconsapevole, perché il loro fornitore di tastiere è fidato e non c'è motivo di pensare che lui in realtà si rivolga a fornitori non non così bravi. Quest'ultima considerazione ci collega a una riflessione molto più ampia, che poi è il problema stesso degli attacchi alla supply chain. Noi spesso, dico noi come utenti ma anche come aziende, sappiamo solo chi è il nostro fornitore diretto. Se io ho un cellulare Samsung, conosco il mio fornitore diretto, che è appunto la Samsung, ma non so con precisione chi è che produce ogni singolo componente del telefono. Non so a chi si rivolgerà Samsung per acquistare tutti i vari pezzi e non lo sa nemmeno lei. Il mio smartphone ha circa 200 componenti diversi prodotti in 30 paesi diversi. Pensate che Samsung sappia esattamente chi produce ogni singolo microchip, ogni condensatore, ogni cavo? E anche se lo sapesse, come fa a controllare che in ognuna di quelle fabbriche non ci siano dei problemi di sicurezza? Ed è qui che arriviamo a due domande cruciali: 1) come può difendersi un'azienda? E 2) come possiamo difenderci noi utenti finali? Partiamo dalle aziende. Abbiamo visto che il problema principale è che non possono conoscere e controllare ogni singolo anello della catena di fornitura. Però qualcosa si può fare, e infatti negli ultimi anni, dopo alcuni attacchi particolarmente devastanti, sono state introdotte una serie di misure e normative. La prima cosa che un'azienda dovrebbe fare è adottare quello che si chiama principio Zero Trust, che tradotto letteralmente significa fiducia zero, e in poche parole nell'ambito della supply chain vuol dire non fidarti mai completamente di nessuno, nemmeno dei fornitori migliori che hai. Verifica sempre, anche se un aggiornamento arriva da una fonte legittima, bisogna controllarlo, testarlo in ambienti isolati prima di installarlo su tutti i sistemi e monitorarlo anche in seguito per rilevare dei comportamenti anomali. Abbiamo visto con CodeCov che sarebbe stato sufficiente verificare il codice hash per scoprire che qualcosa non andava. Tra l'altro, sul principio Zero Trust farò sicuramente un video di approfondimento più avanti, perché in realtà è un concetto molto più ampio di così. Un'altra misura importante è quella di fare audit periodici ai propri fornitori. Non posso pensare di scegliere un fornitore, fare qualche controllo iniziale e poi fidarmi ciecamente per sempre. Bisogna controllare regolarmente che abbiano le giuste misure di sicurezza, che aggiornino i loro sistemi, che formino i loro dipendenti sulla cyber security e cose di questo tipo. Riprendendo l'esempio del mulino che lasciava le porte aperte di notte, il pizzaiolo dovrebbe ogni tanto andare a controllare che mulino abbia delle misure di sicurezza, che chiuda le porte, che abbia delle telecamere, che faccia controlli sulla farina, e se vede che non lo fa deve cambiare fornitore. È un lavoro in più? Sì, ma è anche l'unico modo per evitare che migliaia di clienti finiscano in bagno tutta la notte e poi lascino recensioni al vetriolo su TripAdvisor. A livello normativo c'è un'altra cosa interessante che sta prendendo piede, ovvero il Software Bill of Materials, detto anche SBOM, o come mi piace chiamarlo, Sbon. Che cos'è? È l'elenco dei componenti di un software. Quando compriamo un cibo confezionato, sulla confezione c'è sempre la lista degli ingredienti, giusto? Beh, lo SBOM è la stessa cosa per il software. È una lista completa di tutti i componenti, tutte le librerie, tutte le dipendenze utilizzate in un programma. Questo elenco è utilissimo perché se viene scoperta una vulnerabilità in un componente specifico, ogni azienda può rapidamente verificare quali dei suoi software sono esposti e quindi quali pezzi devono essere aggiornati. Segnati. È come se sulla confezione della pizza surgelata ci fosse scritto: farina del mulino X, mozzarella del caseificio Y, pomodori della fattoria Z. Se scopro che il mulino X ha un problema, so immediatamente che devo controllare quella pizza. Una delle ultime normative europee emesse in materia di cyber security, il Cyber Resilience Act, che diventerà applicabile definitivamente, se non sbaglio, a partire dal 2026, prevede che ogni produttore di hardware o software debba includere nella scheda tecnica di quello che vende anche questo SBOM, quindi questa lista di materiali. E forse a livello normativo è una delle introduzioni più utili in assoluto. Sempre sul fronte normativo ci sono tantissime leggi o certificazioni che prevedono un controllo approfondito dei fornitori. Penso alla Direttiva NIS2, penso alla ISO 27001, al GDPR, al Cyber Resilience Act e così via. Non sto ad annoiarvi sul contenuto delle singole leggi, ma questa cosa ci fa capire che se il controllo dei fornitori è in ogni singola norma emessa in ambito privacy o cybersecurity significa che gli attacchi alla supply chain sono considerati veramente pericolosi dal legislatore e non dovremmo sottovalutarli nemmeno noi. E arriviamo alla seconda domanda: cosa possiamo fare noi utenti comuni? Perché questi attacchi riguardano principalmente le aziende, ma le conseguenze poi le subiamo tutti. Quando non troviamo benzina al distributore, quando la carne al supermercato costa il doppio, quando il sito del nostro giornale preferito non funziona, o quando vengono rubate le nostre credenziali a causa di un hackeraggio, tutto può dipendere da un attacco alla supply chain. Ci sono alcune cose che anche noi come singoli utenti possiamo fare per proteggerci. Prima di tutto evitate come la peste il software pirata. Lo so, ci fa gola l'idea di scaricare la versione crackata e gratuita di quel programma che costa 200€, ma è importante che sappiamo che moltissimi software pirata sono in realtà un veicolo per malware. Pensate che qualcuno si prenda la briga di creare una versione craccata di un software solo come lotta contro il capitalismo? Sicuramente può capitare, ma direi che è meglio che anche noi adottiamo un approccio zero trust, fiducia zero, perché quando il prodotto è gratis, il prodotto potremmo essere noi. Tra l'altro, in uno dei miei video, quello sui malware per cellulari, parlavo dell'esistenza di applicazioni gratuite che permettono ad esempio di vedere tutti i film e tutte le serie gratis. Sono praticamente dei browser che vi danno l'accesso gratis a piattaforme come Netflix, Disney Plus e così via, come se foste abbonati. Avevo detto di stare attenti ad applicazioni di questo tipo, perché nel peggiore dei casi sono dei malware e nel migliore dei casi sono innocue, ma comunque illegali, visto che lo streaming pirata è reato. Qualcuno nei commenti mi aveva scritto di avere queste applicazioni e che non sono dei virus, fanno vedere dei film con la pubblicità, quindi anche chi fa queste applicazioni ci guadagna, e per loro quindi era tutto normale. In realtà è uscita da poco una notizia, ne ho parlato nella newsletter di lunedì scorso, su una di queste applicazioni che fingeva di essere una normale app per lo streaming pirata. In realtà, durante la notte si attivava, entrava nell'applicazione della banca tramite le credenziali rubate in precedenza e svuotava il conto, o comunque portava via tutto quello che riusciva. Attacco che si è concentrato per lo più in Italia e in Spagna. Come si collega questo agli attacchi alla supply chain? Che noi per primi dobbiamo stare attenti ai nostri fornitori, non dobbiamo fidarci di ogni cosa che scarichiamo solo perché ci dà quello che vogliamo, soprattutto se quello che vogliamo è illegale. Altra cosa che possiamo fare, chi mi segue da un po' ormai lo sa, è tenere sempre aggiornati i nostri sistemi e le nostre applicazioni. Perché è vero che gli aggiornamenti rallentano, sono noiosi, ci capitano sempre nel momento meno opportuno, però sono veramente importanti perché molto spesso contengono proprio delle patch sicurezza, quindi servono a tappare un buco di sicurezza che hanno trovato gli sviluppatori. Terza cosa, anche questa ormai nota a chi segue il canale: usiamo l'autenticazione a due fattori ovunque possibile. In questo modo, anche se il nostro giornale preferito è vittima di un attacco alla supply chain e un malintenzionato riesce a rubare le nostre credenziali, farà più fatica a utilizzarle nei servizi in cui abbiamo impostato l'autenticazione a più fattori. E infine, la cosa più importante: informatevi e verificate. Il fatto che stiate guardando questo video è già un ottimo segno, perché più conoscete le minacce informatiche, più sarete in grado di riconoscerle e difendervi. Se ricevete una mail che vi chiede di scaricare un aggiornamento urgente di un servizio che usate, se siete consapevoli dell'esistenza di truffe di questo tipo, non cliccherete sul link contenuto nella mail, ma andrete sul sito ufficiale del servizio per verificare se è vero che è stato rilasciato un aggiornamento, e nel caso lo scaricherete da lì. Ricapitolando: Ricapitolando: gli attacchi alla supply chain sono pericolosi perché colpiscono un punto debole della catena di fornitura per raggiungere migliaia di vittime in un colpo solo. Sono difficili da prevenire perché spesso non sappiamo nemmeno chi sono tutti i nostri fornitori diretti, men che meno quelli indiretti, cioè i fornitori dei nostri fornitori. Ma possiamo comunque difenderci le aziende attuando controlli rigorosi, audita ai fornitori fattori, principi Zero Trust e rispetto delle normative. Noi utenti comuni usando software legittimi e autenticazione a due fattori, scaricando gli aggiornamenti di sicurezza e mantenendo sempre un pizzico di sana diffidenza. QB, quanto basta. La cosa figa è che la prossima volta che non riuscite ad accedere al sito dell'ACI per pagare il bollo o che leggete sul giornale che il prezzo di qualcosa è improvvisamente schizzato alle stelle proprio a causa di un attacco hacker alla supply chain, saprete esattamente di cosa si sta parlando. Bene, come sempre spero che il video di oggi vi sia piaciuto. Capisco che sia un tema un po' più tecnico rispetto al solito, ma non potevo privarvi delle conoscenze necessarie per capire tutto quello che è successo nel caso SolarWinds, l'esempio migliore di attacco alla supply chain che si possa trovare. Quindi non perdetevelo. A presto!