L’idea di dover difendere un’azienda soltanto da attacchi provenienti dall’esterno rischia di essere ormai superata. Il nuovo terreno di confronto per la cybersecurity è infatti rappresentato anche dalle persone che operano all’interno delle organizzazioni e che, volontariamente o sotto pressione, possono trasformarsi in una risorsa per i criminali.

È la fotografia tracciata da TrendAI, business unit di Trend Micro, nello studio The Market for Trust: How Cybercriminals Recruit Corporate Insiders, secondo cui l’insider threat non è più necessariamente il dipendente infedele che agisce autonomamente, ma può diventare parte di una vera filiera criminale, con reclutatori, broker, sistemi di remunerazione, programmi di referral e rapporti continuativi gestiti attraverso forum underground e canali Telegram.

Il punto più significativo riguarda il tipo di dipendente ricercato. I criminali non sono necessariamente interessati a chi possiede i massimi privilegi amministrativi sui sistemi IT. Spesso infatti è molto più preziosa una persona che dispone di autorità operativa, cioè della possibilità di approvare un pagamento, ripristinare un account, modificare un’informazione, aggirare un controllo antifrode o accedere a dati riservati.

Come osserva Marco Fanuli, Technical Director di TrendAI Italia, il bersaglio si sta spostando dal perimetro tecnologico ai processi di business. Un firewall può essere difficile da superare, mentre trovare qualcuno autorizzato a premere il pulsante giusto può essere molto più efficace.

La fiducia diventa una commodity criminale

Questa evoluzione ha portato alla nascita di un vero e proprio mercato. I servizi forniti dagli insider vengono descritti con caratteristiche tipiche di un’attività commerciale tra prezzi, tempi di esecuzione, intermediari e formule di collaborazione. La remunerazione può partire da poche centinaia di dollari per attività relativamente semplici e arrivare a centinaia di migliaia di dollari quando l’accesso riguarda database particolarmente preziosi o organizzazioni di grandi dimensioni.

Tra le attività osservate figurano il recupero di account compromessi, lo sblocco di profili sospesi, la manipolazione dei sistemi antifrode, le frodi sui rimborsi, gli attacchi SIM swap e la modifica dei dati relativi alle spedizioni. Il fenomeno attraversa inoltre comparti molto diversi. Nella pubblica amministrazione, per esempio, gli accessi interni possono essere venduti come veri e propri servizi access-as-a-service, consentendo all’acquirente di evitare completamente la fase di intrusione. Nel settore governativo gli annunci risultano molto più rari, ma gli accessi disponibili possono raggiungere valori elevati proprio per la sensibilità delle informazioni coinvolte.

insider cyber

Crediti: Shutterstock

La sanità presenta un doppio livello di rischio. Da una parte ci sono dipendenti che possono sottrarre o alterare cartelle cliniche, dall’altra professionisti con competenze di cybersecurity che possono collaborare clandestinamente con gruppi criminali.

Dal SIM swap alle frodi sui rimborsi

Nel settore delle telecomunicazioni il valore dell’insider è particolarmente evidente. Un dipendente può agevolare un SIM swap, permettendo ai criminali di aggirare l’autenticazione a due fattori basata sugli SMS e conquistare il controllo di account di posta elettronica, servizi finanziari o portafogli di criptovalute. In ambito finance, invece, gli insider possono diventare l’elemento che rende possibili frodi su scala più ampia. Ecco allora che approvazione di pagamenti, accesso ai dati dei clienti e disattivazione dei controlli antifrode diventano attività che acquistano un valore enorme quando vengono inserite in una catena criminale organizzata.

Un meccanismo simile emerge nel retail. Le frodi sui rimborsi si sono trasformate in servizi strutturati nei quali l’insider autorizza la restituzione del denaro mentre il cliente conserva la merce. Broker e rapporti continuativi rendono queste operazioni molto più simili a un servizio professionale che non alla tradizionale truffa occasionale.

Anche logistica e piattaforme digitali sono esposte. Un dipendente di un corriere può modificare lo stato di una spedizione, mentre chi lavora per un social network o una piattaforma di recensioni può intervenire su account sospesi, contenuti o valutazioni. In quest’ultimo caso viene messa in vendita la reputazione stessa della piattaforma, visto che eliminare una recensione negativa o alterare un punteggio significa intervenire direttamente sul meccanismo di fiducia su cui si basa il servizio.

L’industria e l’energia sembrano invece meno interessate dal fenomeno, almeno secondo le evidenze raccolte. Quando il reclutamento avviene, può riguardare soprattutto l’accesso fisico e non supervisionato ai terminali di pagamento, una risorsa che un gruppo criminale esterno non può procurarsi semplicemente acquistando strumenti o competenze online.

Per le aziende il problema diventa quindi più complesso della semplice protezione degli account privilegiati, dal momento che la superficie d’attacco comprende ormai anche ruoli, autorizzazioni e procedure operative. Capire quali dipendenti possono alterare un processo critico, quali controlli possono essere aggirati e dove esiste una concentrazione eccessiva di potere operativo diventa una componente sempre più importante della strategia di cybersecurity.

(Immagine in apertura: Shutterstock)