⚠️ INSIDE THREAT: il PERICOLO è già ALL'INTERNO

Immaginate di avere un conto corrente con Intesa Sanpaolo acceso nella filiale di Bisceglie. Ricevete spesso comunicazioni dalla banca che vi informano su quanto facciano di tutto per impedire attacchi dall'esterno e vi mettono in guardia da possibili frodi. Vi sentite al sicuro, pensate di esservi affidati a una buona banca che ha un alto livello di attenzione nei confronti dei clienti. È una mattina di agosto del 2024 e state leggendo il giornale quando capitate su una notizia che riguarda proprio la vostra banca. Un dipendente della filiale di Bisceglie che voi conoscete e avete visto spesso negli anni, è stato licenziato. Il motivo? Aveva l'hobby di spiare i conti correnti dei clienti, non solo quelli di persone normali come voi, ma anche quelli di personaggi di spicco come Mattarella, la Meloni, Matteo Salvini, Francesco Totti, Paolo Bonolis e chi più ne ha più ne metta. Dal punto di vista pratico non c'è stata alcuna violazione, il dipendente aveva tutte le credenziali e aveva fatto operazioni sulla carta normalissime. Ma voi, in quanto clienti, vi sentite violati Come tutti gli altri clienti di Intesa Sanpaolo, siete appena stati vittime di insider threat. Ciao a tutti e benvenuti in questo nuovo video in cui parleremo di insider threat, in italiano minaccia interna. Quando parliamo di attacchi informatici pensiamo sempre a qualche malintenzionato che tenta di infiltrarsi nei sistemi. Pensiamo al firewall, alle mail, ai software che contengono qualche vulnerabilità. Abilità che verrà sfruttata da un informatico solitario che indossa immancabilmente una felpa nera con il cappuccio indossato. La realtà è che molto più spesso di quello che pensiamo il pericolo risiede dentro alla stessa azienda. Ma andiamo con ordine. La parola insider nel gergo della sicurezza informatica indica chiunque abbia un accesso legittimo ai sistemi e ai dati di un'organizzazione. È un insider quindi il dipendente, ovviamente, ma anche il consulente esterno che però lavora sul gestionale, l'addetto alle pulizie che ha il codice dell'allarme, il fornitore a cui è stata aperta una VPN per fare manutenzione, l'ex dipendente a cui non sono state disattivate le credenziali quando se n'è andato, ma anche tutti i dirigenti. In pratica tutte le persone che in qualche modo sono dentro al perimetro dell'azienda e che per un motivo o per l'altro sono autorizzate a stare lì. Ora, detta così, questa definizione è abbastanza larga e mette insieme persone che non hanno niente in comune fra loro. Per scendere più nel dettaglio dovremmo chiederci quale di queste figure più problemi nella pratica? La risposta ci viene data dal report che fa uscire ogni anno il Ponemon Institute intitolato Cost of Insider Risks. Ma facciamo un piccolo quiz e proviamo a indovinare: quale tra questi insider comporta rischi più alti per un'azienda? A) Dipendente infedele. B) Dipendente negligente. C) Consulente esterno. O D) Dirigente. Vi lascio qualche secondo per pensare. Fatto? Se come me avete risposto A, il dipendente infedele, quello che ruba tutti i dati dell'azienda perché pagato da qualche concorrente o per una propria ideologia, sappiate che la risposta è errata. La risposta giusta è B, il dipendente negligente, quello che fa qualche errore o che non rispetta le indicazioni date dall'azienda. Secondo il Ponemon Institute, il 50% 33% dei casi di violazione dei dati aziendali è causato proprio da un dipendente distratto o negligente. Solo il 27%, quindi circa un quarto, è causato da un dipendente che volontariamente sceglie di danneggiare l'azienda. Le altre due ipotesi sono invece minime e spesso sono accompagnate da una compromissione più di vasta scala, dove il malintenzionato colpisce varie aree dell'azienda finché non riesce in qualche modo a entrare. Ma si tratta quasi sempre appunto di una violazione esterna, mentre noi oggi ci concentriamo sui pericoli che sono già all'interno dell'azienda. Questo fenomeno nasce molto prima dell'informatica e affonda le sue radici nel mondo dello spionaggio. La persona che ha fatto capire che questa minaccia era passata dalla carta ai computer, e quindi che il pericolo aveva assunto delle dimensioni molto più grandi e pericolose rispetto a prima, è Robert Hanssen, agente dell'FBI che per oltre 20 anni ha venduto informazioni ai sovietici. Quando è stato scoperto e arrestato nel 2001, si è scoperto che Hansen raccoglieva informazioni utilizzando le sue credenziali dell'FBI sui sistemi informatici di ricerca dei fascicoli. Le sue ricerche chiaramente finivano nei log di sistema, quindi qualcuno poteva notare che lui aveva scaricato questi fascicoli, ma nessuno ci faceva caso perché lui era una persona autorizzata, era un vero agente dell'FBI, faceva le cose dal proprio computer in orario d'ufficio, solo che le faceva nell'interesse di un altro stato. L'FBI allora cosa fa quando scopre questa cosa? Aumenta le misure di sicurezza? Fa in modo che solo chi è realmente autorizzato possa vedere i fascicoli? No, il contrario. Nel 2001 c'è infatti anche l'attentato alle Torri Gemelle e i vertici dell'FBI decidono che la strategia migliore è quella di adottare un approccio di condivisione massima delle informazioni fra tutti gli agenti e le agenzie di intelligence statunitensi, creare diciamo una sorta di cervello condiviso in cui tutti possono vedere tutto, perché ogni restrizione di accesso poteva rallentare le indagini sugli attentati. Ovviamente questa decisione non va a finire bene, o meglio, almeno per qualche anno regge fino al 2010. Poi esplode il caso WikiLeaks con una gigantesca fuga di dati e di documenti militari e diplomatici che, neanche a dirlo, era stata causata proprio da un agente dell'intelligence. Ma di questo caso parliamo nel video della prossima settimana. Nel 2011, comunque, dopo lo scandalo WikiLeaks, la Casa Bianca obbliga tutte le agenzie statunitensi a dotarsi di un programma per individuare e prevenire le minacce interne. Programma che funziona fino a un certo punto, dato che nel 2013, quindi pochi anni dopo, sarà poi Snowden a far uscire altri documenti classificati. Dopo la vicenda Snowden diventa chiaro un po' a tutti quanto sia facile portare via dei dati classificati o comunque riservati ora che è tutto digitale. C'è una scena molto famosa nel film di Snowden in cui lui infila una schedina SD piena di file e segreti militari dentro a un cubo di Rubik e riesce a eludere il controllo delle guardie. Ma pensiamo se invece avesse dovuto portare via 20 faldoni di documenti cartacei. Inoltre diventa chiaro che molto spesso il pericolo più grave non è all'esterno, non sono gli hacker, ma sono i dipendenti stessi che hanno accesso a moltissime informazioni e hanno tutto il tempo del mondo per trafugarle. Questa preoccupazione inizia a spostarsi dagli enti governativi alle aziende che temono di mettersi in casa il nemico, qualcuno magari pagato dalla concorrenza. Ma come abbiamo detto, nella maggior parte dei casi i problemi di sicurezza dei dati di un'azienda non arriva da un dipendente infedele, ma da un dipendente distratto o negligente. Ed è quello che è successo nel 2023 a Reddit. Anche Reddit, una piattaforma social americana, è stata vittima di fuga dei documenti interni e addirittura del codice sorgente. A rubare i dati è stato sì un hacker esterno, pare affiliato al gruppo ransomware BlackCat, ma c'è riuscito grazie all'aiuto inconsapevole di un dipendente. Il malintenzionato aveva inviato una mail ad alcuni dipendenti chiedendo di rifare il login all'intranet aziendale e uno di loro ha cliccato sul link che rimandava a una pagina molto simile a quella reale dove il lavoratore ha inserito le proprie credenziali e persino il codice dell'autenticazione più fatto In questo modo l'attaccante è riuscito a rubare in tempo reale le credenziali e a introdursi nella rete aziendale, arrivando poi a mettere le mani sui dati che gli interessavano. Se consideriamo questo genere di errori come un inside threat, una minaccia che proviene dall'interno perché è il nostro dipendente che per sbaglio dà una mano ai criminali, ecco che capiamo le statistiche fatte dal Ponemon Institute. Anzi, se penso a tutti i casi di cybercrime di cui abbiamo parlato in questo canale, la stragrande maggioranza dei quali causati proprio da un dipendente che cascava in qualche trappola, mi sembra fin troppo basso il 53% come numero. Lo diciamo sempre, l'essere umano è l'anello debole della sicurezza informatica. È molto più facile convincere un dipendente a rivelarci la sua password che provare a indovinarla. E diciamo sempre anche che le aziende sottovalutano l'importanza della formazione sui rischi informatici. Quindi non ci dobbiamo stupire se poi la maggioranza degli attacchi avviene a causa di un dipendente. Ma come dicevo, comunque non sempre si tratta di un errore. A volte un dipendente crea un danno all'azienda volutamente per guadagno economico, economico di un concorrente o anche un guadagno personale. È quello che è successo ad esempio nel caso Anthony Lewandowski. Nel 2016 Anthony Lewandowski lavorava per Google a un progetto sulle auto a guida autonoma quando decide di mettersi in proprio. Lascia Google con l'intenzione di fondare una propria società chiamata Otto, dedicata, caso strano, ai camion a guida autonoma. Per farlo però aveva bisogno del materiale su cui aveva lavorato da Google. Prima di lasciarli quindi scarica 14.000 file e se li porta via. La sua nuova società funziona così bene che che nello stesso anno viene acquistata da Uber per 680 milioni di dollari. A quel punto Google fa causa a Uber accusando la nuova proprietaria di Otto di aver utilizzato file riservati di Google per avviare l'attività. La causa si chiuderà con un accordo con cui Uber cede a Google una parte di azioni per un valore di circa 245 milioni e impegnandosi a non usare informazioni riservate di Google nella continuazione dell'attività. Ma il nostro Anthony Lewandowski che fine ha fatto? Appena Google fa causa a Uber lui viene licenziato in tronco Uber non voleva essere associata a qualcuno che aveva rubato segreti industriali. Google fa causa anche a lui per violazione del contratto, che prevedeva chiaramente che non potessero essere portati via dei dati riservati alla conclusione del rapporto di lavoro. Anthony viene condannato a versare 179 milioni di dollari come risarcimento e nel 2020 è costretto a dichiarare bancarotta. Viene anche condannato a 18 mesi di carcere per furto di segreti industriali, che è anche un reato oltre che una violazione del contratto. Contratto, ma non li sconterà mai perché Trump decide poi di graziarlo. Il caso di Lewandowski non è assolutamente l'unico nel suo genere, anzi, è una cosa che capita più spesso di quanto pensiamo. Nel 2022, ad esempio, Yahoo fa causa a un suo ricercatore, Qian Sang, per aver scaricato circa 570.000 pagine di materiale riservato sulla tecnologia pubblicitaria dell'azienda. Questo download stranamente era stato fatto poco tempo dopo che Sang aveva ricevuto un'offerta di lavoro da un concorrente di Yahoo. Nello anno Apple fa causa a Rivos, una startup che lavora su processori, accusandola di aver reclutato oltre 40 suoi ingegneri e sostenendo che alcuni di loro si fossero portati via gigabyte di materiale riservato sui chip. La differenza è che in quasi nessuno di questi casi, a parte quello di Lewandowski, si finisce nel penale. In genere le aziende preferiscono passare da un risarcimento civile, che in America ha tempi decisamente più brevi, perché il loro interesse è quello di bloccare la circolazione dei dati sul nascere ed evitare che possano essere usati dalla concorrenza. Il movente economico comunque non è l'unica cosa che porta un dipendente a tradire l'azienda per cui lavora. Molto spesso è pagato dalla concorrenza o vuole mettersi in proprio, questo ovvio, ma ci sono molti casi in cui dietro c'è un movente ideologico, come nel caso di Tesla. Il 10 maggio del 2023 il quotidiano tedesco Handelsblatt avvisa Tesla di avere in mano informazioni riservate dell'azienda. Sono 100 GB di materiale, oltre 20.000 documenti interni che il giornale chiama Tesla Files e che contengono di tutto, dai dati personali dei dipendenti alle lamentele dei clienti sul funzionamento della guida assistita. Tesla inizia subito a indagare su chi fosse la talpa che aveva fatto uscire questo materiale e arriva ben presto a due nomi: due ex dipendenti che vengono subito citati in giudizio con sequestro dei loro dispositivi elettronici. Il motivo per cui avevano trafugato i file e li avevano passati al giornale non era di natura economica. A detta loro, le auto Tesla avevano dei seri problemi tecnici sulla guida autonoma di cui i clienti non erano messi a conoscenza. Il loro scopo era quindi denunciare le tecniche commerciali della società che, pur di vendere le auto, non si curava dei rischi per i clienti e anzi li invitava a provare la guida autonoma nonostante non fosse ancora perfetta. In questa categoria di dipendenti che fanno le cose per un motivo ideologico rientra anche il caso di WikiLeaks, di cui come dicevo parleremo la prossima settimana. Ma c'è un caso che non siamo ancora riusciti a incastrare in nessuna una di queste tipologie. Il caso del bancario di Bisceglie, il dipendente di Intesa Sanpaolo che aveva l'hobby di spiare i conti correnti dei clienti famosi. In questo caso la vicenda ha seguito due rami diversi. La banca Intesa Sanpaolo intanto è stata sanzionata dal Garante Privacy per quasi 32 milioni di euro. Il motivo era il modello di gestione dell'istituto, che chiamavano di piena circolarità, che permetteva a qualunque operatore di qualunque filiale di guardare i conti correnti di chiunque, non solo dei clienti della propria filiale. Come cosa in sé ci stava, perché giustamente la banca voleva garantire ai clienti un servizio pieno in cui loro potessero andare in qualunque filiale ottenendo sempre lo stesso livello di assistenza. Il Garante però dice che un modello di questo tipo deve per forza essere accompagnato da controlli molto seri per individuare e prevenire gli abusi. Ad esempio, viene Giorgia Meloni nella mia filiale di Bisceglie e vuole fare un'operazione sul suo conto. Benissimo, gliela posso far fare, posso accedere al suo conto, ma magari prima le faccio firmare un dove mi autorizza a farlo e lo conservo. In questo modo poi, se la banca dovesse fare dei controlli e chiedermi come mai il tal giorno alla tal ora hai guardato questo conto, ho la giustificazione pronta. Invece il dipendente di Bisceglie per 26 mesi aveva fatto quello che voleva e la banca non aveva modo né di verificare se erano operazioni autorizzate né di fermarlo. Questo è quello che è successo alla banca. Invece il dipendente è stato indagato per aver commesso il reato ex articolo 615-ter del codice penale. Questa è cosa molto interessante, e qui viene fuori l'avvocato che è in me, perché questo reato punisce l'accesso abusivo a un sistema informatico. Molti pensano che questa norma riguardi solo il caso dell'hacker esterno che entra in un sistema, ma in realtà lo commette anche il dipendente che usa le proprie credenziali valide per finalità estranee alle proprie mansioni. Le indagini contro questo dipendente e altri 7 ex colleghi che facevano la stessa cosa sono state chiuse proprio un paio di settimane fa, e ora tutti loro dovranno affrontare il processo. Quindi vedremo come andranno le cose. Abbiamo parlato quindi delle spie governative, di chi agisce per la concorrenza, di chi è spinto da motivazioni ideologiche e di chi invece fa danni solo per la voglia di farsi i cavoli altrui. Avevo pensato di chiudere qui il video, ma c'è un ultimo caso di cui vorrei parlarvi che non so neanche bene come classificare, ed è quello del dipendente che si finge un attaccante. È il 2020 e Nicholas Sharp lavora come sviluppatore per Ubiquiti, azienda che produce apparati di rete. Decide di cambiare lavoro e mentre fa colloqui con altre società ne approfitta per scaricare una gran quantità di dati riservati. Sfrutta poi le sue conoscenze per nascondere le proprie tracce e cancellare dai log queste attività. La Ubiquiti si accorge comunque di questa esfiltrazione e pensa immediatamente a un'intrusione dall'esterno. Quindi a gennaio 2021 comunica ai clienti di aver subito una violazione dei dati e chiede a tutti di cambiare la password e attivare l'autenticazione a più fattori. L'azienda mette persino su un team per gestire questo incidente e fra i membri del team c'è anche lo stesso Sharp. Mentre lavora nel team di risposta all'incidente che ha causato lui, Sharp manda all'azienda una richiesta di riscatto firmandosi come un hacker anonimo. Chiede 50 Bitcoin, che in quel momento valevano circa 2 milioni di dollari, in cambio della restituzione dei dati e dell'indicazione di una vulnerabilità che diceva di aver trovato. Ubiquiti si rifiuta di pagare e coinvolge le autorità, per cui Sharp pubblica online una parte dei file sottratti, tentando nel frattempo di far ricadere la colpa su dei colleghi. Iniziano le indagini e vengono perquisite le case di alcuni dipendenti, tra cui lo stesso Sharp, che a quel punto cambia tattica. Contatta un giornalista di sicurezza informatica molto famoso, Brian Krebs, presentandosi come un whistleblower, quindi un dipendente che vuole segnalare delle violazioni aziendali, e racconta che Ubiquiti stava minimizzando la gravità di quello che era successo e che non disponeva dei log necessari a capire cosa fosse stato effettivamente portato via. Krebs, che non ha motivo di dubitare di quello che gli viene detto, pubblica degli articoli su questo che fanno crollare il valore in borsa di Ubiquiti. Le indagini intanto proseguono e ci si accorge di una cosa: in realtà dei log erano rimasti, ma non erano riconducibili a Sharp perché lui usava una VPN che nasconde l'indirizzo IP di chi sta davanti al computer in quel momento. C'era stato un momento però in cui la VPN si era staccata per qualche secondo mentre Sharp continuava a fare quello che stava facendo, quindi era risultato visibile per quei pochi secondi il suo vero indirizzo IP. Da lì sono riusciti a risalire alla VPN venne usata e al metodo di pagamento fatto con la carta di credito di Sharp, che quindi si è trovato con le spalle al muro. Nel 2023 si è infine dichiarato colpevole di 3 capi d'accusa ed è stato condannato a 6 anni di carcere e a 1 milione e mezzo di dollari di risarcimento. Krebs nel frattempo ha ritirato gli articoli, ha chiesto scusa all'azienda e hanno chiuso la vicenda con un accordo di risarcimento del danno d'immagine. Dopo aver visto tutti questi casi, penso che a ogni datore di lavoro che sta guardando questo video sia passata la voglia di assumere personale, ma in realtà ci sono tante cose che si possono fare per tutelarsi da questo pericolo. Intanto, come prima cosa, formazione. Il punto d'ingresso principale rimane l'errore del lavoratore, non qualcosa che fa intenzionalmente. Quindi se gli insegniamo a riconoscere un tentativo di attacco, a sapere come comportarsi se ha qualche dubbio o riceve richieste strane, abbiamo già costruito uno strato di difesa non da poco. Un'altra cosa da fare è quella di adottare il principio chiamato least privilege, privilegio minimo. Le persone devono avere solo gli accessi strettamente necessari per lavorare. Se io sono un dipendente delle risorse umane, non devo vedere il codice sorgente del software che stiamo sviluppando, così come un programmatore non deve vedere le buste paga degli altri dipendenti. Bisogna anche sempre ricordarsi di togliere gli accessi quando qualcuno se ne va, altrimenti rischiamo che un ex dipendente possa continuare a entrare e fare quello che vuole, o che un malintenzionato riesca a mettere le mani su credenziali ancora valide. Vedo un sacco di datori di lavoro che al massimo tolgono il saluto ai dipendenti che se ne vanno, ma gli accessi, quelli no. Ovviamente quando dico togliere gli accessi non dico semplicemente cambiate la password dall'indirizzo mail, ma dico proprio chiudete l'indirizzo mail, perché altrimenti il dipendente potrebbe lamentare una violazione della privacy e avrebbe anche ragione. Un'altra cosa che si può fare è avere un buon sistema di log per capire chi ha fatto cosa. Non dico che si debbano spiare i dipendenti, anzi, però se avete un sistema che vi avverte quando qualcuno scarica una quantità enorme di dati, avete modo di capire cosa è successo e potete risalire al responsabile, che può essere essere un dipendente in malafede, uno che ha fatto un semplice errore, o anche un malintenzionato che in qualche modo è riuscito a entrare. Tenete presente che l'esfiltrazione dei dati di massa è la cosa tipica che fanno i malintenzionati quando sono dentro un sistema, quindi è sempre bene avere un alert che ci avvisa quando succede questa cosa. In ogni caso, anche per la vostra salute mentale e di quella dei vostri dipendenti, adottate le precauzioni necessarie, ma poi non fatevi la guerra. Non ha senso vivere in uno stato di perenne sospetto nei confronti di chiunque, perché non si nemmeno bene. Semplicemente si adotta quello che si può adottare, si prendono le precauzioni, si fa formazione, si responsabilizzano i dipendenti sui rischi, e poi si cerca di fidarsi per quanto rimane. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate. Se c'è qualcosa che volete approfondire, vi lascio nella descrizione del video le principali fonti che ho usato. Non perdetevi il video della prossima settimana sul caso WikiLeaks, che non vedevo l'ora di affrontare. Penso sia un anno che aspetto di fare questo video. A presto!