In un contesto di crescente rischio informatico, il furto di account è emerso come una delle minacce più subdole. Quando un attaccante riesce a compromettere un legittimo account di posta elettronica, può facilmente fingersi un individuo o un’organizzazione fidata senza suscitare alcun sospetto. Le misure di sicurezza tradizionali per le e-mail spesso non registrano alcuna anomalia. Da quel momento, il criminale può scegliere il momento opportuno per agire, con obiettivi che spaziano dal furto di denaro all’espropriazione di dati sensibili, fino alla diffusione di malware catastrofici. Le conseguenze possono includere gravi perdite finanziarie e danni all’immagine aziendale.
Il ciclo di vita tipico del furto di account inizia con i malintenzionati che ottengono le credenziali, generalmente attraverso la phishing. L’uso dell’intelligenza artificiale generativa ha semplificato per gli aggressori il compito di ingannare le vittime e indurle a fornire i propri dati di accesso, spesso simulando un collega o un’altra persona fidata o incoraggiandole a inserire informazioni riservate su una falsa pagina di accesso.
Contrariamente a quanto ci si potrebbe aspettare, una volta compromessa l’identità legittima, il ladro di account oggi è più astuto e meno incline a far scattare subito l’allerta. “Tradizionalmente, gli aggressori prendevano possesso di un account e iniziavano a inviare spam e phishing. Ora sono diventati più astuti e, una volta in possesso dell’account, rimangono fermi, osservando il traffico di e-mail e attendendo l’opportunità per inserirsi nella conversazione”, spiega Dave Baggett, SVP Cybersecurity della software house Kaseya.
Una strategia dall’interno
Dopo aver individuato i punti deboli di un’organizzazione e ideato un piano d’attacco, i malintenzionati iniziano a sfruttare l’account di posta elettronica compromesso per colpire altri dipendenti e sistemi interni. Se il loro obiettivo è finanziario, potrebbero cercare accesso ai database di stipendi o fatturazione. Tuttavia, il vero incubo può iniziare quando mirano ai clienti e ai fornitori dell’azienda attraverso la cosiddetta phishing outbound, che consente loro di esercitare il controllo su ulteriori punti sensibili.
Le vittime della phishing outbound sono particolarmente vulnerabili di fronte a messaggi che sembrano provenire da un partner fidato. Sebbene un’organizzazione possa proteggere i propri account e-mail con controlli robusti come l’autenticazione a più fattori (MFA), non ha alcun controllo sulle pratiche di autenticazione delle altre parti. “Immaginiamo un cliente che stiamo proteggendo; loro sono al sicuro, ma cosa accade quando iniziano a ricevere e-mail sospette da una terza parte?” chiede Baggett. “Il nostro cliente non ha idea di quali siano le protezioni in atto per quella terza parte.”
Poiché non è possibile effettuare controlli sulle organizzazioni terze, è necessaria una soluzione più sofisticata rispetto alla normale sicurezza e-mail. Questa dovrebbe idealmente essere basata su un’intelligenza artificiale generativa in grado di analizzare in profondità le conversazioni per identificare comportamenti anomali.
La situazione si complica quando l’attaccante assume con successo l’identità di una figura senior. Se impersona un manager di alto livello con una reputazione ben consolidata, si ritrova a gestire un asset potente: la fiducia e la buona reputazione di quel dirigente. I sistemi di filtraggio delle e-mail convenzionali tendono a consentire a personale senior un accesso più fluido a determinate difese, per non ostacolare comunicazioni aziendali vitali. A questo proposito, è difficile per i destinatari mettere in discussione e segnalare tali e-mail quando sembrano provenire da un dirigente di alto livello e sono state appositamente contrassegnate come autentiche dal sistema.
L’intelligenza artificiale al servizio della sicurezza
La pressione non riguarda solo i dipartimenti IT, ma anche i fornitori di servizi gestiti (MSP) che devono proteggere più organizzazioni, molte delle quali potrebbero non avere una reale conoscenza di sicurezza interna. La ricerca di Kaseya dimostra quanto siano esposte molte di queste aziende. Sono necessari nuovi approcci per affrontare la minaccia del furto di account prima che possano causare danni. E se un furto si verifica, è fondamentale contenere il suo impatto prima che dati e infrastrutture vitali siano compromessi.
Fortunatamente, esistono strumenti moderni che svolgono proprio queste funzioni. INKY è l’analizzatore di e-mail basato su intelligenza artificiale generativa sviluppato da Kaseya, che presenta capacità superiori rispetto alla sicurezza e-mail tradizionale, permettendo di rilevare, attraverso segni sottili, quando una conversazione e-mail è soggetta a infiltrazioni.
Utilizzando tecniche come il profilo avanzato dei mittenti, la stilometria e l’apprendimento automatico, INKY è in grado di identificare le incongruenze tra i modelli di scrittura noti di un dipendente legittimo e il tono leggermente estraneo di un messaggio falso. Può individuare anomalie contestuali che rivelano un messaggio fasullo, anche quando i dati di intestazione sono autentici.
INKY risulta particolarmente utile per il furto di account di terze parti, costruendo e mantenendo profili dettagliati dei mittenti fidati basati su caratteristiche tecniche e comportamentali. Nel tempo, apprende cosa significa “normale” e può notare quando un’email di terza parte non corrisponde al profilo di un mittente stabilito.
Containere un attacco
Se un tentativo di furto ha avuto successo, ci sono ulteriori misure da adottare oltre a bloccare un account sospetto. All’atto della scoperta, un’identità compromessa può aver già causato infiltrazioni in applicazioni SaaS collegate, archiviazione cloud e strumenti di collaborazione, espandendo così la potenziale area di crisi ben oltre un singolo thread di e-mail.
Gli ambienti IT moderni sono un intrico di punti di accesso e gateway basati sull’identità, rendendo sempre più difficile difendersi contro intrusi muniti di credenziali legittime. A complicare ulteriormente la situazione, quando i malintenzionati hanno accesso a intelligenza artificiale, possono trattare questi ecosistemi SaaS come una singola superficie di attacco. La difesa basata su un insieme di strumenti individuali, ciascuno progettato per affrontare una sfida particolare in un silos dell’organizzazione, non sarà sufficiente a contrastare questa tipologia di minaccia.
Proprio per questo motivo, INKY è configurato per operare con Kaseya SaaS Alerts, una piattaforma di rilevamento e risposta basata su cloud progettata per aiutare gli MSP e altri a monitorare e proteggere le applicazioni aziendali. Una volta che INKY rileva che una cassetta postale è stata dirottata, isola l’utente e blocca le e-mail in uscita, inviando poi un evento a SaaS Alerts per bloccare l’accesso di quell’utente nel resto dell’ecosistema. I due strumenti lavorano in sinergia: INKY blocca l’account compromesso e SaaS Alerts previene la diffusione del danno.
La collaborazione tra INKY e SaaS Alerts si basa sulla capacità di INKY di inviare in tempo reale telemetria di sicurezza e-mail a SaaS Alerts, includendo risultati di analisi in entrata, rilevamenti di minacce, attività di phishing segnalate dagli utenti ed eventi di protezione e-mail in uscita. Questo tipo di integrazione è utile per automatizzare la rilevazione delle minacce in tempo reale in un ecosistema SaaS complesso.
“Ciò significa che se vediamo e-mail sospette in uscita, possiamo chiudere l’account e prendere altre misure correttive”, dichiara Baggett. “Più comprendi il significato dell’e-mail, più puoi intervenire.”
Strumenti intelligenti per la sicurezza
La battaglia contro il furto di account è per sua natura continua e richiede sempre innovazioni. Abbiamo visto come l’intelligenza artificiale possa trasformarsi in un’arma pericolosa tra le mani degli aggressori. Ma è anche uno strumento utile per la difesa, sebbene sia necessario fare alcune precisazioni: “Non puoi semplicemente far passare ogni e-mail in entrata e in uscita attraverso un LLM, poiché l’economia non regge”, avverte Baggett. “Devi essere più furbo di così.”
Uno degli utilizzi più intelligenti e promettenti per l’intelligenza artificiale generativa non consiste solo nel proteggere contro il furto di account, ma nel prevedere dove potrebbero trovarsi le vulnerabilità, aiutando a prevenire un problema prima che si verifichi. Baggett è convinto che l’industria della sicurezza si trovi all’inizio di un nuovo approccio in cui l’uso di modelli predittivi diventi una pratica comune. Un passo importante sarà assicurarsi che i numerosi componenti utilizzati per garantire la sicurezza di un’organizzazione possano condividere informazioni tra loro.
Questo lavoro di integrazione è già in corso, con esempi come il dialogo in tempo reale tra il sistema di protezione delle e-mail INKY e SaaS Alerts. Il passo successivo consiste nella creazione di uno strato dati unificato dove qualsiasi componente di sicurezza possa pubblicare un evento in tempo reale e qualsiasi altro componente possa abbonarsi.
“Continueremo a realizzare altre integrazioni di questo tipo nel tempo”, promette Baggett. “Stiamo inoltre costruendo una capacità centralizzata per l’IA. Poiché molti diversi componenti possiedono la propria intelligenza artificiale, è necessaria una piattaforma di supporto.” La vigile attenzione è indispensabile poiché il volume degli attacchi è destinato ad aumentare.
Leggi di più nel Report sulla Cybersecurity di Kaseya qui
Sponsored by Kaseya
