I criminali informatici sfruttano l'IA generativa per potenziare le campagne di phishing, accelerare la ricognizione e identificare dati sensibili, spostando il focus dall'encryption all'esfiltrazione e alla minaccia di divulgazione.
L'avvento dell'intelligenza artificiale generativa sta trasformando radicalmente il panorama delle minacce informatiche, in particolare nel settore del ransomware. Secondo un'analisi di Zscaler ThreatLabz, gli operatori di ransomware stanno integrando l'IA per rendere i loro attacchi più efficaci, rapidi e selettivi. Questo si traduce in una crescente tendenza a privilegiare l'esfiltrazione di dati e la minaccia di divulgazione pubblica piuttosto che affidarsi esclusivamente alla cifratura dei file.
L'IA generativa viene impiegata in diverse fasi del ciclo di vita di un attacco. In primo luogo, potenzia le campagne di phishing, consentendo la creazione di email, siti web e materiali di impersonificazione linguisticamente impeccabili e personalizzati. Questo indebolisce le tradizionali strategie di difesa basate sull'identificazione di errori grammaticali o sintattici, rendendo le comunicazioni malevole molto più convincenti.
Una volta ottenuto l'accesso iniziale a un sistema o a un account (post-compromise), l'IA diventa uno strumento prezioso per la ricognizione. Invece di analizzare manualmente enormi quantità di dati, gli attaccanti possono utilizzare l'IA per classificare rapidamente i documenti accessibili e individuare informazioni di valore commerciale, sensibile o strategico. Questo permette loro di concentrarsi sui dati la cui divulgazione potrebbe esercitare la massima pressione sull'organizzazione vittima, sia essa di natura finanziaria, reputazionale o normativa.
Una delle evoluzioni più significative osservate è il passaggio da un modello basato prevalentemente sulla cifratura dei dati a uno incentrato sull'esfiltrazione e sulla minaccia di pubblicazione. Zscaler ha documentato un aumento del 275,8% in questo tipo di attività su base annua. Questo cambiamento strategico implica che il ripristino dei backup, una soluzione tradizionale per gli incidenti di ransomware, potrebbe non essere più sufficiente a risolvere completamente il problema. Un caso emblematico citato dall'analisi riguarda un'organizzazione sanitaria che ha pagato 2 milioni di dollari unicamente per prevenire la pubblicazione di informazioni rubate, senza che vi fosse alcuna cifratura dei dati.
Le tecniche di accesso iniziale si stanno anch'esse evolvendo. Zscaler ha osservato schemi che includono l'invio massivo di email seguito da chiamate su piattaforme come Microsoft Teams, in cui gli aggressori si spacciano per personale di supporto IT. Le vittime vengono indotte a concedere accesso tramite strumenti di assistenza remota legittimi come Microsoft Quick Assist, AnyDesk e TeamViewer. L'analisi ha rivelato che una percentuale significativa di vittime in una campagna di ransomware di rilievo ricopriva posizioni manageriali o superiori, operando in settori chiave come finanza, vendite, operazioni, risorse umane o marketing, evidenziando come l'accesso a informazioni aziendali e la credibilità organizzativa siano obiettivi primari.
L'IA viene utilizzata anche nello sviluppo di tool malevoli. È stata osservata attività potenzialmente assistita dall'IA nella generazione programmatica di multiple versioni di script batch malevoli, come nel caso di Payouts King. Sebbene l'attribuzione diretta sia complessa, la rapida modifica del codice può ostacolare il rilevamento basato su firme e rendere meno affidabili gli indicatori di strumenti noti. Tuttavia, il comportamento sottostante, come l'accesso remoto sospetto, la raccolta insolita di documenti e i trasferimenti in uscita, rimane un segnale critico.
Di fronte a queste evoluzioni, le priorità difensive devono essere ridefinite. Non basta più concentrarsi sul blocco del malware. Le organizzazioni devono implementare misure rigorose per limitare l'amministrazione remota non autorizzata, applicare controlli degli accessi con privilegi minimi e monitorare attentamente i download massivi, le attività di staging anomale e le destinazioni di trasferimento inaspettate. Soluzioni come la Data Loss Prevention (DLP) e i controlli di accesso al cloud possono interrompere le esportazioni non autorizzate di dati.
La correlazione di dati provenienti da identità, endpoint e rete è fondamentale per accelerare i tempi di indagine. Sebbene l'IA possa supportare gli analisti nel triage delle minacce, la contenimento efficace dipende da segnali affidabili e controlli applicabili. Il parametro operativo chiave diventa il tempo di esfiltrazione: rilevare la cifratura dei dati potrebbe significare che l'organizzazione ha già perso il controllo delle sue informazioni più sensibili.
In sintesi, l'integrazione dell'IA nel ransomware rappresenta un salto qualitativo per i criminali informatici, richiedendo alle organizzazioni un approccio alla sicurezza più proattivo, basato sulla visibilità, sul controllo degli accessi e sul monitoraggio continuo dei flussi di dati.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
