Negli ultimi giorni, i rivenditori britannici The Co-Operative Group (Co-op), Marks & Spencer (M&S) e Harrods sono stati tutti colpiti da importanti attacchi informatici. Sebbene non si conoscano ancora tutti i dettagli sull'hacker o sugli hacker responsabili, la vicinanza temporale degli attacchi suggerisce che un unico gruppo di hacker sia responsabile di tutti e tre , probabilmente lo Scattered Spider, già collegato all'attacco a M&S. Come dovrebbero reagire i rivenditori, le banche e tutti gli altri soggetti coinvolti?
Tattiche degli hacker al dettaglio
Mentre la catena di vendita al dettaglio britannica Boots è l'ultima ad essere colpita da interruzioni informatiche, le vendite di Morrisons sono state gravemente compromesse lo scorso anno da un attacco informatico, e anche Currys e JD Sports hanno subito attacchi che hanno compromesso i dati dei clienti. I rivenditori sono chiaramente vulnerabili e, con Marks & Spencer che ha perso mezzo miliardo di sterline a causa dell'impossibilità di accettare pagamenti contactless e i negozi Co-op che si sono ritrovati con gli scaffali vuoti, la portata di questi attacchi non può essere sottovalutata.
Cosa sta succedendo? È possibile che i reparti IT siano stati infiltrati da lavoratori da remoto nordcoreani che hanno ottenuto il lavoro con credenziali false? Sappiamo che questi criminali sono già piuttosto sofisticati. Un reparto delle risorse umane, che ha condotto quattro videointerviste (che hanno confermato la corrispondenza tra il candidato e la foto migliorata dall'IA presente nella domanda di lavoro) e ha effettuato ulteriori controlli sui precedenti, tutti con esito negativo (perché era stata utilizzata un'identità statunitense rubata), ha finito per assumere un finto dipendente che ha immediatamente iniziato a scaricare malware. Un'altra azienda ha infine scoperto di essere caduta vittima di un piano coordinato per assicurare posti di lavoro da remoto ai nordcoreani e che oltre un terzo del suo intero team di ingegneri era composto da nordcoreani!
Se non sono stati i programmatori Python nordcoreani, è possibile che agenti di una potenza straniera abbiano avuto accesso a un computer quantistico fino ad allora sconosciuto per decifrare codici segreti ed entrare nelle reti di vendita al dettaglio duplicando le chiavi private e aggirando la sicurezza della rete? Gli addetti ai lavori si sono rivoltati contro i loro ospiti e hanno cercato di ostacolarli per rappresaglia in seguito a una modifica indesiderata dei termini e delle condizioni? I sistemi IT dei principali fornitori sono stati hackerati da aggressori mascherati che lavorano per conto di rivenditori concorrenti?
No, certo che no. Non si trattava di falsi dipendenti o hacker che decifravano codici; era il solito attacco che si verifica ovunque, in continuazione. Gli hacker contattavano l'assistenza tecnica fingendosi dipendenti che avevano perso la password. Il National Cyber Security Centre (NCSC) del Regno Unito ha affermato, in relazione a questi attacchi, che le aziende dovrebbero rivalutare le modalità con cui i loro servizi di assistenza IT " autenticano i dipendenti " prima di reimpostare le password, soprattutto per il personale senior con accesso a parti di alto livello della rete IT. Beh, è ovvio. È il solito attacco di ingegneria sociale.
Non deve andare per forza così. Nel settore finanziario, uno degli usi più comuni della biometria è il recupero dei conti, e non vedo perché i rivenditori non possano utilizzare lo stesso tipo di tecnologia per risolvere il problema dell'autenticazione Know Your Employee (KYE), proprio come le banche utilizzano l'autenticazione Know Your Customer (KYC) per ripristinare l'accesso ai conti.
(Vedi ad esempio cosa stanno facendo aziende come Keyless e Anonybit.)
Nell'ultimo rapporto annuale, M&S ha avvertito che il passaggio al lavoro ibrido l'ha resa più vulnerabile agli attacchi informatici. È interessante notare che parte della risposta dell'azienda all'attacco ha previsto l'indicazione ai dipendenti di tenere le telecamere accese durante le riunioni da remoto e di "controllare tutti i presenti". Un'e-mail interna inviata a 70,000 dipendenti ha inoltre intimato loro di non registrare o trascrivere le chiamate su Teams, lasciando intendere che gli hacker partecipavano alle riunioni interne e ne conservavano le trascrizioni per raccogliere informazioni utili a perfezionare gli attacchi di ingegneria sociale, nonché per ottenere potenzialmente informazioni sui sistemi interni da utilizzare per future violazioni.
Nuovi crimini, nuovi criminali.
Sappiamo tutti che la natura del crimine sta cambiando e che i criminali informatici stanno diventando sempre più astuti. Non sono sicuro che tenere le telecamere accese, pur essendo una buona politica per molti motivi, possa fare una grande differenza in questo caso. L'intelligenza artificiale è già in grado di creare video di persone che possono ingannare i colleghi ed è stata utilizzata per scopi illeciti per anni: Arup ha perso 25 milioni di dollari a causa di truffatori che hanno utilizzato l'IA per impersonare il direttore finanziario dell'azienda e istruire un suo collaboratore a trasferire fondi durante una videochiamata di gruppo che, secondo la polizia di Hong Kong, " si è rivelata essere composta da persone che [il collaboratore] vedeva finte ".
Deepfake come questi si stanno diffondendo, e non solo nel settore bancario e nella vendita al dettaglio. Il proprietario di una galleria d'arte londinese ha perso 30,000 sterline dopo aver trascorso mesi a negoziare una mostra con un falso Pierce Brosnan. In un altro caso nel Regno Unito, una donna è stata arrestata dopo aver presumibilmente indossato una serie di parrucche e costumi per superare i test di cittadinanza per conto di almeno altre 14 persone, sia uomini che donne, utilizzando "documenti di identità falsi" per evitare di essere scoperta. Il proprietario di un AirBnB ha affittato la sua proprietà a una donna a cui era stato rubato un documento d'identità e che aveva presentato il rapporto di referenze con una patente di guida falsa: poi ha rubato i mobili e ha subaffittato la casa per organizzarvi delle feste!
Hacker dell'IA, difese dell'IA? NO.
Il governatore della Federal Reserve Michael Barr ha recentemente affermato che, di fronte ai crescenti attacchi deepfake basati sull'intelligenza artificiale, le banche dovrebbero "combattere il fuoco con il fuoco" e investire di più nell'intelligenza artificiale stessa. Non sono d'accordo. È possibile che il riconoscimento facciale, l'analisi vocale e la biometria comportamentale saranno in grado di rilevare le contraffazioni basate sull'intelligenza artificiale finché queste non miglioreranno. Se è vero che investimenti significativi nell'intelligenza artificiale potrebbero aiutare a difendere le banche da un'ondata di frodi basate sull'intelligenza artificiale, questo potrebbe rappresentare un sollievo temporaneo, man mano che i truffatori migliorano i loro metodi. Ma perché intraprendere questa strada? Invece di cercare di superare in astuzia gli aggressori con l'intelligenza artificiale, perché non utilizzare una tecnologia collaudata e non falsificabile: le firme digitali?
La sfida tra IA e IA è una corsa frenetica e senza fine. Dovremmo invece imporre a banche, rivenditori, aziende mediatiche e tutte le altre entità di potenziare l'utilizzo di infrastrutture di sicurezza collaudate per contrastare gli hacker moderni armati di deepfake. Come ho scritto in precedenza , si potrebbe anche creare un video falso di Brad Pitt perfettamente convincente, ma non si può creare una firma digitale di Brad Pitt altrettanto convincente. Invece di chiedere ai dipendenti di indovinare se stanno davvero guardando il vicedirettore aggiunto di Bill Settlement (regione nord-orientale) o un bot, dovremmo fornire loro l'autenticazione a due fattori al posto delle password, credenziali verificabili con una solida autenticazione biometrica invece delle autorizzazioni di attivazione della fotocamera, copie crittografate e firmate digitalmente e archiviazione a prova di manomissione delle chiavi di crittografia (ad esempio, sui telefoni cellulari). *Nota: le firme digitali offrono una solida garanzia di autenticità e integrità dei dati, rendendole uno strumento prezioso nella lotta contro la falsificazione.*
I commenti sono chiusi.