L'arresto di un noto negoziatore di ransomware, accusato di collaborare con i criminali che doveva contrastare, mette in luce gravi lacune nella gestione dei fornitori di crisi e nella verifica delle credenziali.
Un recente e clamoroso arresto ha gettato un'ombra inquietante sul mondo della risposta agli incidenti di cybersecurity. Un negoziatore di ransomware, figura professionale pagata da aziende colpite da attacchi per trattare con i criminali informatici, è stato fermato dalle autorità federali con accuse di cospirazione per estorsione e interferenza con il commercio tramite minacce. L'uomo, secondo le indagini, avrebbe agito in realtà a favore degli stessi attori malevoli che le aziende gli pagavano per contrastare, operando potenzialmente per conto del gruppo ShinyHunters.
Questo evento non rappresenta un caso isolato di cattiva condotta individuale, ma piuttosto un sintomo di un più ampio e preoccupante fallimento sistemico nella gestione dei fornitori di servizi di crisi.
Il gruppo ShinyHunters è noto per una strategia operativa consolidata che include il furto di credenziali, il compromesso di servizi SaaS, l'esfiltrazione di dati e, infine, l'estorsione. Si stima che questa organizzazione abbia già accumulato oltre 70 milioni di dollari attraverso le sue attività illecite. Uno dei loro bersagli più significativi, tuttavia, non è stata un'istituzione finanziaria o sanitaria, ma l'FBI stessa.
La compromissione dell'agenzia investigativa è avvenuta attraverso una vulnerabilità nota e non corretta in Oracle PeopleSoft, sfruttata da un contractor di Accenture che gestiva il sito FBIjobs.gov. Una volta all'interno, gli attaccanti sono riusciti a muoversi lateralmente nell'ambiente AWS GovCloud, esfiltrando tra i 2TB e i 3TB di dati sensibili dei dipendenti dell'FBI, inclusi nomi, indirizzi, numeri di previdenza sociale e contatti di emergenza, nonché informazioni relative al controspionaggio. Questo incidente evidenzia una dolorosa ironia: l'agenzia incaricata di indagare sui fallimenti nella gestione del rischio di terze parti è stata a sua volta vittima di un tale fallimento.
L'arresto del negoziatore è avvenuto poco dopo altre due fermate legate a ShinyHunters: Pepijn van der Stap nei Paesi Bassi e un giovane di 17 anni noto come "Rey" in Giordania. Le indagini suggeriscono che potrebbero emergere ulteriori accuse nei confronti di altre società di risposta agli incidenti.
Ciò che spesso sfugge nelle analisi post-incidente è che le organizzazioni colpite non necessariamente falliscono nella loro sicurezza perimetrale o interna. Il vero punto debole risiede nella gestione dei fornitori, in particolare per quella categoria di partner che ottiene accesso illimitato ai dati più critici e sensibili durante i momenti di massima crisi.
I fornitori tradizionali, come i provider cloud o i processori di pagamenti, sono solitamente sottoposti a rigorosi processi di valutazione: report SOC 2, questionari di sicurezza, revisioni contrattuali e valutazioni periodiche. Questi passaggi, pur non essendo infallibili, creano attrito e aiutano a identificare potenziali rischi.
I fornitori di crisi, invece, operano in un vuoto normativo e procedurale. Quando un attacco ransomware colpisce nel cuore della notte, la priorità assoluta diventa la risoluzione immediata del problema. In questi frangenti, nessuno ha il tempo o la possibilità di condurre un'approfondita valutazione di un fornitore. Ci si affida al contatto di risposta agli incidenti raccomandato, a chi risponde più velocemente o a chi presenta le credenziali più convincenti sul proprio sito web. L'urgenza del momento disabilita i controlli di sicurezza che sarebbero normalmente attivi.
I negoziatori di ransomware si trovano letteralmente nella stanza dei dati più sensibili di un'azienda violata. Interagiscono direttamente con gli attaccanti, consigliano sulle decisioni di pagamento e acquisiscono una conoscenza approfondita dei dati esfiltrati e del loro valore sul mercato nero. In molti casi, le organizzazioni che li ingaggiano non hanno mai effettuato una verifica approfondita del loro background.
L'indagine sul negoziatore arrestato ha messo in luce tre aree specifiche di debolezza:
La gestione tradizionale del rischio di terze parti (TPRM), basata su audit, contratti e conformità normativa, pur avendo il suo valore, si rivela insufficiente di fronte a scenari come questo. Un analista TPRM con una solida competenza tecnica può interpretare diversamente le informazioni su un fornitore, riconoscendo i segnali di allarme quando le reti professionali di un'azienda di negoziazione si sovrappongono a infrastrutture note di attori malevoli e ponendo le domande giuste sui canali di comunicazione e sulla plausibilità tecnica delle capacità dichiarate.
L'incidente all'FBI, causato da una vulnerabilità nota e non patchata, sottolinea come anche le valutazioni tecniche di routine possano essere trascurate. La sicurezza richiede un approccio olistico che vada oltre la mera conformità, abbracciando una comprensione profonda dei rischi specifici associati a ogni tipo di fornitore, specialmente quelli che operano nel delicato ecosistema della risposta agli incidenti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
