Violazione informatica dei sistemi idrici e fognari degli Stati Uniti

La Cybersecurity and Infrastructure Agency (CISA) ha emesso un avviso relativo a una minaccia informatica in corso contro i sistemi idrici e fognari degli Stati Uniti, evidenziando anche cinque incidenti verificatisi tra marzo 2019 e agosto 2021. Queste infrastrutture vengono utilizzate per gestire e fornire acqua potabile alle comunità di tutto il Paese. Questo avviso giunge pochi giorni dopo che il Segretario alla Sicurezza Interna degli Stati Uniti ha spiegato che attacchi di questo tipo possono rappresentare un rischio per la salute e la sicurezza dei cittadini statunitensi.

Panoramica della violazione

Un rapporto congiunto sulla violazione dei dati, redatto da CISA, FBI, EPA e NSA, afferma che tale attività consiste in tentativi di compromettere l'integrità del sistema attraverso accessi non autorizzati. Gli autori delle intrusioni hanno utilizzato due metodi per penetrare nei sistemi WWS: il spear-phishing e l'utilizzo di sistemi operativi e software obsoleti o non aggiornati.

Il rapporto ha inoltre descritto in dettaglio i cinque diversi attacchi informatici avvenuti dal 2019 all'inizio del 2021 contro il settore WWS:

• Un ex dipendente di una struttura WWS con sede in Kansas ha tentato di accedere da remoto a un computer della struttura nel marzo 2019 utilizzando credenziali che non erano state revocate
• Compromissione di file e potenziale Makop Ransomware osservato in una struttura WWS con sede nel New Jersey nel settembre 2020
• Una variante sconosciuta del ransomware è stata distribuita contro una struttura WWS con sede in Nevada nel marzo 2021
• Presentiamo ZuCaNo ransomware sul computer SCADA per le acque reflue di un impianto WWS con sede nel Maine nel luglio 2021
• A Ransomware Ghost attacco contro una struttura WWS con sede in California nell'agosto 2021

Cosa sono questi attacchi e cosa posso fare?

Spear Phishing

Lo spear-phishing è una forma di attacco di phishing che prende di mira una persona o un'organizzazione specifica, cercando di accedere a informazioni sensibili. Simile al phishing, lo spear-phishing consiste nell'invio di un'e-mail contraffatta a un bersaglio specifico, precedentemente individuato tramite ricerche online, con contenuti unici e pertinenti. Il whaling è simile allo spear-phishing, ma si rivolge a dirigenti di alto livello nel tentativo di ottenere l'accesso ai loro dati riservati.

Cosa fare?

Gli attacchi di phishing sono tra gli eventi più semplici da individuare ed evitare per i dipendenti. Segui queste best practice per ridurre le probabilità di essere violati da un attacco di spear-phishing.

1. Forma i tuoi dipendenti su come individuare, evitare ed eliminare gli attacchi di phishing
2. Metti alla prova i tuoi dipendenti con attacchi di Phish Testing; riqualifica coloro che non superano i test
3. Acquista e forma i tuoi dipendenti sull'utilizzo di un gestore di password. Se visiti un sito web di phishing e provi a inserire le tue credenziali di accesso tramite un gestore di password, NON sarai in grado di farlo. I dipendenti che riutilizzano le password inseriranno sicuramente le proprie credenziali.
4. Per proteggere Internet dagli attacchi di phishing che utilizzano il tuo nome di dominio, configura SPF, DKIM e Record DMARC per bloccare la ricezione di email mascherate da nome di dominio

Sistema operativo e software non patchati

Le patch (aggiornamenti) vengono generalmente rilasciate per risolvere un problema relativo a un dispositivo o a una soluzione software. Spesso, le patch vengono rilasciate dai fornitori per correggere bug o vulnerabilità di sicurezza critici . L'acquisto di software commerciale standard (COTS) contribuisce a garantire un ciclo di sviluppo costante che include le patch per il software utilizzato dalla tua azienda. Tieni presente, tuttavia, che tutti i software possono raggiungere la fine del loro ciclo di vita e la fine del supporto, il che significa che lo sviluppatore non rilascerà più patch per risolvere i problemi. In questi casi, è necessario aggiornare l'hardware o il software a una versione più recente per continuare a ricevere le patch per la tua infrastruttura IT.

Cosa fare?

Ogni PMI dovrebbe disporre di un processo per la gestione degli avvisi di vulnerabilità critiche (patch) al fine di valutare rapidamente il rischio e prendere decisioni importanti e tempestive su come reagire. Con un processo di gestione degli avvisi di vulnerabilità (VAMP) in atto, si può disporre di una guida chiara su quando e quanto intervenire per una determinata vulnerabilità o esposizione.

Per rimanere sempre aggiornati, è fondamentale implementare una soluzione di gestione delle patch basata sul cloud che aggiorni automaticamente il software ovunque e ogni volta che sia necessario. La maggior parte dei Managed Service Provider (MSP) si affida a una delle tre principali soluzioni di Remote Monitoring and Management (RMM) ( Connectwise , Datto e Kaseya) per l'applicazione delle patch ai propri sistemi gestiti. Queste soluzioni RMM offrono anche servizi di monitoraggio e accesso remoto, oltre a servizi di applicazione delle patch testati e validati per i propri clienti.

Tra le soluzioni di gestione delle patch autonome per le aziende che non utilizzano le soluzioni RMM sopra menzionate, si annoverano ManageEngine e Automox.

Identity and Access Management

In una delle violazioni segnalate, un dipendente licenziato ha tentato di accedere a un sistema contenente il suo account live. Assicuratevi di disporre di solidi processi di onboarding e offboarding per concedere e revocare l'accesso in modo tempestivo. Abbinateli a un processo di audit trimestrale per garantire la conformità. Aggiungete alla vostra azienda funzionalità di autenticazione a due fattori e Single Sign-On (SSO) per semplificare i controlli di conformità e migliorare la sicurezza complessiva.

Ransomware

Il ransomware è un tipo di software dannoso progettato per bloccare l'accesso a un sistema informatico e, soprattutto, ai dati critici in esso contenuti, fino al pagamento di un riscatto, compromettendo la " disponibilità " dei dati. Recentemente, il ransomware si è evoluto consentendo agli hacker di esportare i dati bloccati su siti di archiviazione online e minacciando di divulgarli in caso di mancato pagamento del riscatto, con conseguenti ripercussioni sulla " riservatezza " dei dati.

Tradizionalmente, gli aggressori chiedono il pagamento in bitcoin; tuttavia, come dimostrato dagli attacchi al Colonial Pipeline, i pagamenti in bitcoin avvengono su una blockchain pubblica, il che ha permesso il recupero della maggior parte dei fondi. I recenti sviluppi nel campo dei ransomware vedono gli hacker passare ai " pagamenti in criptovaluta Monero " perché la blockchain stessa oscura l'indirizzo del portafoglio, l'importo della transazione e la controparte pagante, garantendo un anonimato molto maggiore per i pagamenti in criptovaluta, elemento essenziale per proteggere i pagamenti dal recupero.

Cosa fare?

L'approccio migliore per difendersi dal ransomware è il seguente:

• Adottare autenticazione a due fattori per prevenire la violazione della password della VPN aziendale, dei servizi di posta elettronica e di qualsiasi altro servizio critico direttamente accessibile tramite Internet
• Eseguire regolarmente il backup dei dati seguendo le istruzioni Metodo di backup 3-2-1 per eseguire il backup di tutti i tuoi dati critici e sensibili
• Formare i dipendenti su come individuare ed evitare gli attacchi di phishing, che sono il modo principale in cui si verificano gli attacchi ransomware
• Avere un documento e un test Piano di continuità aziendale e ripristino in caso di emergenza (BCDR)

Fonti: 

TheHackerNews

Rapporto congiunto CISA

Letture aggiuntive:

Le agenzie avvertono delle continue minacce informatiche agli impianti di trattamento delle acque

Le agenzie mettono in guardia contro le minacce informatiche ai sistemi idrici e fognari.

PCMagazine mette in guardia dalle minacce ransomware contro i sistemi di trattamento delle acque

Scopri come CyberHoot può proteggere la tua attività.

Programma una demo