Attacchi informatici: la minaccia del furto di sessione nel cloud e le regole GDPR
Pensiamo spesso che l’autenticazione a due fattori sia lo scudo definitivo per la nostra rete. Purtroppo i dati recenti dello CSIRT Italia e i report di Microsoft ci dicono il contrario. Nell’ultimo periodo abbiamo assistito a una crescita netta di una tecnica d’accesso molto insidiosa, l’Adversary-in-the-Middle. I criminali non provano nemmeno a indovinare la tua password. Aspettano semplicemente che tu metta la tua chiave e poi ti sfilano il pass d’ingresso digitale direttamente dal browser. È il nuovo volto che stanno assumendo gli attacchi informatici mirati al cloud aziendale.
Immagina la scena. Un tuo collaboratore fa il solito accesso a Microsoft 365, riceve la notifica sul telefono e dà l’ok. Tutto sembra normale. In quel preciso istante, un server nascosto copia il cookie di sessione, ovvero quel piccolo file temporaneo che dice al sistema che l’utente è già approvato. Da quel momento, l’attaccante cammina dentro i tuoi applicativi con la tua stessa identità. L’MFA non suonerà mai più, perché per l’infrastruttura quell’accesso è legittimo.
Durante un controllo che abbiamo fatto di recente per un’azienda nostra cliente, abbiamo trovato tracce di un’intrusione che andava avanti da tre settimane. Nessuno se n’era accorto. Avevano libero accesso alle caselle email, pronte per essere usate in truffe finanziarie, e stavano scaricando i database dei clienti. Un controllo preventivo tramite un Vulnerability Assessment aziendale avrebbe mostrato queste sessioni dormienti prima che degenerassero in blocchi completi, simili a quelli che abbiamo analizzato nel nostro approfondimento sui ransomware aziendali.
Le autorità di controllo stanno guardando a questi episodi con molta attenzione. La responsabilità oggettiva del GDPR parla chiaro. Se non dimostri di aver protetto gli accessi seguendo l’evoluzione delle minacce, la colpa della violazione ricade sull’organizzazione. Diventa necessario attuare un piano di Cloud Security Hardening per evitare che una distrazione si trasformi in un data breach grave. Quando i sistemi non sono isolati alla radice, persino l’introduzione di strumenti innovativi presenta insidie strutturali, un argomento che abbiamo sviscerato parlando di data poisoning nei modelli AI.
Cosa possiamo fare concretamente per difenderci? La risposta non è aggiungere un altro SMS di conferma, ma cambiare il modo in cui verifichiamo chi entra. L’obiettivo è muoversi verso sistemi di autenticazione resistenti al phishing, come le chiavi hardware FIDO2 o la biometria legata al singolo dispositivo. A questo va abbinata una gestione rigida degli accessi condizionali. Se un utente si collega da Milano e due minuti dopo lo stesso token si attiva da un server estero, il sistema deve bloccare tutto all’istante, impedendo che gli attacchi informatici vadano a segno.
Proteggere l’identità digitale del tuo team significa difendere la stabilità stessa della tua impresa. Se vuoi capire se le tue attuali difese cloud hanno dei punti ciechi, ti consiglio di mappare i tuoi sistemi prima che lo faccia un malintenzionato. Puoi contattare gli esperti di SecurityLab per fare una chiacchierata e analizzare la tua situazione senza impegno, scoprendo come mettere in sicurezza ogni singolo accesso alla rete.