Attacco informatico

Gli aggressori variano le loro tecniche di hacking in base al bersaglio, alle risorse e agli obiettivi. Alcuni attacchi mirano a rubare credenziali, altri bloccano i sistemi per chiedere un riscatto e altri ancora raccolgono silenziosamente dati nel tempo. Gli attacchi elencati di seguito rappresentano le minacce più frequenti e dannose che le organizzazioni devono affrontare oggi.

Malware e ransomware

Malware è un termine generico che indica qualsiasi software progettato intenzionalmente per causare danni, rubare dati o ottenere accesso non autorizzato ai sistemi. Questa categoria comprende virus, trojan, spyware, keylogger e worm. Gli aggressori diffondono malware tramite allegati e-mail infetti, siti web compromessi, download dannosi e vulnerabilità software.

Il ransomware è una forma di malware progettata per crittografare i dati o bloccare i sistemi e poi richiedere un pagamento per il loro rilascio.

Un attacco ransomware, tuttavia, non consiste semplicemente nell'impiego di ransomware. Si tratta di un'intrusione in più fasi in cui gli aggressori ottengono prima l'accesso, stabiliscono la persistenza, aumentano i privilegi, si spostano lateralmente tra i sistemi e spesso esfiltrano dati sensibili prima di distribuire il ransomware come passaggio finale per interrompere le operazioni e imporre il pagamento.

I moderni gruppi ransomware combinano la crittografia con il furto di dati e l'estorsione, trasformando la compromissione di una rete su vasta scala in un modello di business criminale altamente redditizio.

Rapporto sulla sicurezza Internet di WatchGuard del quarto trimestre 2024 ha scoperto che il malware zero-day è tornato a essere presente nel 53% dei rilevamenti. Il rapporto ha inoltre documentato un aumento del 141% dell'attività di cryptomining, poiché gli aggressori hanno sfruttato il crescente valore delle criptovalute.

Ingegneria sociale e phishing

L'ingegneria sociale sfrutta la psicologia umana anziché le vulnerabilità tecniche per indurre gli utenti a rivelare dati sensibili o a concedere l'accesso a sistemi sicuri. Questo tipo di attacco è piuttosto complesso, poiché manipola la fiducia, l'urgenza o l'autorità per aggirare i controlli di sicurezza che sono tanto euristici quanto tecnici.

Il phishing è la forma più comune. Gli aggressori inviano e-mail che sembrano provenire da fonti legittime, come banche, fornitori o reparti IT interni, chiedendo ai destinatari di cliccare su link, aprire allegati o fornire credenziali. La maggior parte delle violazioni si basa sull'elemento umano, ovvero hanno bisogno di qualcuno dall'altra parte attraverso cui poter operare. Ciò include phishing, pretexting, abuso di credenziali, errori e interazioni con malware.

Gli attacchi basati sull'intelligenza artificiale hanno reso il phishing più convincente. WatchGuard ha rilevato un aumento del 40% negli attacchi basati sulle firme nel terzo trimestre del 2024, il che indica che gli aggressori hanno adottato tattiche di ingegneria sociale per eseguire le loro campagne. Gli aggressori ora utilizzano modelli linguistici di grandi dimensioni per scrivere e-mail grammaticalmente corrette in più lingue, creare messaggi personalizzati basati su dati raccolti dai social media e generare chiamate vocali realistiche che imitano dirigenti o colleghi.

Il pretexting consiste nel creare uno scenario inventato per estorcere informazioni. Un aggressore potrebbe fingersi un tecnico dell'help desk che chiama per "verificare" una password, oppure un fornitore che richiede i dettagli di pagamento per una fattura. Questi attacchi si basano sulla creazione di credibilità e sullo sfruttamento dei normali processi aziendali.

Attacchi DoS e DDoS

Gli attacchi Denial of Service (DoS) e Distributed Denial of Service (DDoS) tentano di rendere non disponibile un servizio online sovraccaricandolo di traffico. In un attacco DoS, una singola fonte inonda un bersaglio di richieste. In un attacco DDoS, gli aggressori utilizzano più dispositivi compromessi per generare traffico da più fonti contemporaneamente.

Gli aggressori spesso utilizzano botnet, ovvero reti di computer infetti o dispositivi IoT controllati da remoto, per lanciare attacchi DDoS. Queste botnet possono generare milioni di richieste al secondo, esaurendo le risorse del server, saturando la larghezza di banda della rete o bloccando le applicazioni.

Gli attacchi DDoS servono anche come cortina fumogena. Gli aggressori lanciano un attacco DDoS altamente visibile per distrarre i team di sicurezza e contemporaneamente eseguono il furto di dati o distribuiscono malware altrove nella rete. L'enorme flusso di traffico di attacchi maschera l'intrusione più pericolosa che avviene in parallelo.

Attacchi basati sull'identità

Gli attacchi basati sull'identità si concentrano sul furto o sull'indovinazione di credenziali utente valide per aggirare i perimetri di sicurezza. Una volta ottenute le credenziali legittime, gli aggressori appaiono come utenti autorizzati e possono muoversi nei sistemi senza attivare numerosi avvisi di sicurezza.

Il credential stuffing sfrutta combinazioni di nome utente e password rubate durante precedenti violazioni dei dati per tentare di accedere ad altri servizi. Poiché molte persone riutilizzano le password, gli aggressori utilizzano strumenti automatizzati che testano milioni di coppie di credenziali sui siti web presi di mira.

Il dirottamento di sessione si verifica quando un aggressore ruba o intercetta un token di sessione valido, ovvero l'identificatore che mantiene gli utenti connessi dopo l'autenticazione. Con questo token, l'aggressore può impersonare l'utente senza dover conoscere la password effettiva. Gli aggressori ottengono i token di sessione tramite malware, intercettazioni di rete o attacchi cross-site scripting.

L'acquisizione di account rappresenta l'obiettivo finale di molti attacchi basati sull'identità. L'aggressore ottiene il controllo totale e non autorizzato di un account utente reale, commettendo di fatto un furto di identità digitale. Da questa posizione, possono accedere a dati sensibili, autorizzare transazioni, impersonare la vittima di fronte a colleghi o clienti oppure utilizzare l'account compromesso come punto d'appoggio per attaccare altri sistemi.

Spoofing

Lo spoofing è l'atto di camuffare una comunicazione in modo che sembri provenire da una fonte attendibile e legittima. Gli aggressori manipolano le informazioni identificative per ingannare i destinatari e i sistemi di sicurezza.

Lo spoofing delle email falsifica l'indirizzo del mittente nell'intestazione di un'email per far sembrare che il messaggio provenga da qualcuno che il destinatario conosce o di cui si fida. Gli aggressori utilizzano questa tecnica per distribuire malware, raccogliere credenziali tramite pagine di accesso false o indurre i dipendenti a trasferire denaro su conti fraudolenti.

Lo spoofing di domini e siti web crea siti web falsi che assomigliano molto a quelli legittimi. Gli aggressori registrano nomi di dominio simili, copiano il design visivo di siti attendibili e indirizzano le vittime verso queste imitazioni tramite e-mail di phishing o manipolazioni dei motori di ricerca. Gli utenti che inseriscono credenziali o informazioni di pagamento su questi siti falsi consegnano i propri dati direttamente agli aggressori.

Lo spoofing DNS, noto anche come avvelenamento della cache DNS, corrompe il sistema dei nomi di dominio per reindirizzare gli utenti a siti Web dannosi quando digitano indirizzi legittimi. Gli aggressori iniettano falsi record DNS nella cache di un resolver DNS, facendo sì che il sistema restituisca un indirizzo IP errato. Ad esempio, quando gli utenti provano a visitare il sito web della propria banca, vengono indirizzati a un sito simile controllato da un aggressore.

Attacchi Man-in-the-Middle (MITM)

Gli attacchi Man-in-the-Middle si verificano quando un aggressore intercetta la comunicazione tra due parti per intercettare o alterare i dati inviati. Nessuna delle due parti si rende conto che una terza entità sta monitorando o manipolando la loro connessione. Questi attacchi prendono di mira comunicazioni non crittografate, reti compromesse o difetti nei protocolli di autenticazione.

L'intercettazione Wi-Fi è una forma comune di attacco MITM. Gli aggressori installano falsi punti di accesso wireless che sembrano legittimi, spesso chiamati hotspot "gemelli malvagi", in luoghi pubblici come bar, aeroporti o hotel. Quando gli utenti si connettono a queste reti dannose, l'aggressore può catturare tutto il traffico che passa attraverso, comprese le credenziali di accesso, il contenuto delle e-mail e le informazioni di pagamento. Poiché molte persone si connettono automaticamente a nomi di reti familiari, questi falsi hotspot hanno successo imitando i nomi delle reti legittime presenti nella zona.

La distribuzione degli attacchi varia a seconda della regione.Dati WatchGuard del terzo trimestre 2024 mostra che l'area EMEA ha rappresentato il 53% di tutti gli attacchi malware in termini di volume, raddoppiando rispetto al trimestre precedente, mentre l'area Asia-Pacifico ha registrato il 59% dei rilevamenti di attacchi di rete.