I Cybercriminali mirano alle nuove tecnologie per i pagamenti, ai principali domini e alle elezioni US 2016
L’anno 2015 è stato da molti definito come l’anno della violazione dei dati. Quali nefande cyber-attività caratterizzeranno il 2016? Per la prima volta insieme nella nuova azienda, gli esperti di sicurezza di Raytheon | Websense hanno condiviso oggi le loro previsioni sulla sicurezza per il prossimo anno. I ricercatori si aspettano in particolare, tra le altre sfide riguardanti la sicurezza: le elezioni presidenziali US saranno prese di mira, ci sarà un vero e proprio borseggio dei cybercriminali sui nostri telefonini ed osserveremo un aumento delle vulnerabilità in una Internet ormai invecchiata. Di seguito i punti salienti.
1. Il processo delle elezioni negli Stati Uniti guiderà significativi attacchi a tema
Gli aggressori sfrutteranno l’attenzione dedicata a campagne politiche, piattaforme e candidati come opportunità per creare esche personalizzate tramite attività di social engineering. Altri si concentreranno sull’attivismo, mirando candidati e piattaforme di social media. Oltre all’attività di social engineering delle minacce rivolte a campagne politiche, piattaforme e candidati, anche gli strumenti e le infrastrutture di coloro che sono coinvolti con il processo politico (es. candidati, siti di notizie, gruppi di supporto) saranno fortemente presi di mira. Gli attivisti potrebbero rivelare dati personali scomodi o utilizzare gli account compromessi per diffondere false informazioni come se provenissero realmente dal candidato. Lacune nella sicurezza e nella difesa si riveleranno molto costose per quanti non stiano prendendo provvedimenti adesso.
2. I portafogli mobili e le nuove tecnologie di pagamento introdurranno ulteriori opportunità per il furto di carte di credito e per le frodi
Le violazioni contro i dispositivi mobili e le nuove metodologie di pagamento avranno un impatto sulla sicurezza dei pagamenti ancora maggiore rispetto a quello che colpisce EMV (Europay, MasterCard e VISA). L’aumento dei metodi di pagamento non tradizionali su dispositivi mobili o attraverso beacon e carrelli intelligenti apriranno le porte ad una nuova ondata di violazioni dei dati nella vendita al dettaglio.
3. La mancata manutenzione di Internet diventerà un grosso problema per chi ha il compito di difenderlo, in termini di aumento dei costi, perdita di maneggevolezza e carenza di skill
Come balene su una barca, i costi di manutenzione della sicurezza inizieranno a crescere e creare enormi problemi con Internet e con le pratiche stesse di sicurezza. Un numero sorprendente dei siti più popolari su Internet non sono così sicuri come dovrebbero essere in relazione ai certificati. Ulteriori problemi sono: versioni di javascript obsolete e incomplete che sono un vero e proprio invito ad essere compromesse; aggiornamenti del sistema operativo veloci e nuove tendenze nei processi di end of life dei software che causano il caos; nuove applicazioni basate su codice riciclato con vecchie vulnerabilità. Tutti questi fantasmi del passato di Internet torneranno a perseguitarci nel 2016.
4. L’inserimento del sistema gTLD offrirà nuove opportunità per gli aggressori
Il numero di gTLD (generic top-level domain) a novembre 2015 è superiore a 700 domini, e circa 1.900 altri sono in lista d’attesa. Non appena nuovi domini top-line emergeranno, saranno rapidamente colonizzati da aggressori ben prima che dagli utenti legittimi. Approfittando della confusione del dominio, i criminali e gli attaccanti, siano essi individui o stati-nazioni, creeranno esche di social engineering altamente efficaci per indirizzare gli utenti ignari verso malware e furto di dati.
5. Gli assicuratori dell’area Cybersecurity creeranno un modello attuativo di rischio sempre più completo – modificando le modalità in cui la sicurezza è definita e implementata
Le compagnie di assicurazione potranno maturare le loro offerte con qualifiche, eccezioni ed esenzioni che permetteranno loro di rifiutare il pagamento per le violazioni causate da pratiche di sicurezza inefficaci, mentre i premi e le vincite saranno meglio allineati con le posizioni di sicurezza sottostanti e ci saranno modelli sempre più precisi del costo di una violazione effettiva. Inoltre, le compagnie di assicurazione avranno un peso sempre più determinante per i programmi di sicurezza, tanto che i requisiti per l’assicurazione diventeranno altrettanto significativi di molti requisiti normativi (PCI, HIPAA, ISO 27001).
6. L’Internet delle cose (IOT) aiuterà (e farà del male a) tutti noi
I confini tra i dispositivi aziendali e personali sono diventati sfocati, mettendo a dura prova la sicurezza e causando nuove problematiche che interessano direttamente le infrastrutture critiche. Le industrie che utilizzano un gran numero di dispositivi collegati a Intenet e sistemi collegati in rete nel corso della loro attività di tutti i giorni, come la sanità, rischiano di affrontare una più ampia gamma di vulnerabilità e minacce.
7. L’adozione di soluzioni di DTP (Data Theft Prevention) aumenterà notevolmente anche nelle aziende non finance
A seguito delle violazioni a tutti note del 2015, delle novità di cui abbiamo discusso sopra in ambito assicurativo, di una maggiore visibilità nella sala del consiglio di tutte le attività in ambito cyber e delle continue preoccupazioni per la perdita di dati, ci sarà una adozione più aggressiva delle strategie di prevenzione del furto di dati anche al di fuori del tradizionale settore dei servizi finanziari che ad oggi costituisce la maggiore base di installazioni. Il nuovo mantra all’interno dei team di sicurezza aziendali sarà “Siamo già compromessi” e sarà utile per aiutarli a rafforzare la loro capacità di affrontare l’inevitabile.
8. I punti di vista della società sulla privacy si evolveranno, com un grande impatto sui difensori
Il grande aumento della frequenza delle violazioni dei dati, come già abbiamo potuto osservare nel 2015, sta cambiando il modo in cui pensiamo le informazioni di identificazione personale (PII l’acronimo in Inglese). Ulteriori violazioni e la perdita di informazioni personali guideranno importanti cambiamenti nel modo in cui la privacy è percepita. Proprio come l’ultimo decennio ha visto l’introduzione del “diritto di essere dimenticati,” possiamo prevedere che entro il prossimo decennio emergeranno importanti cambiamenti simili in merito ai diritti di privacy e alle aspettative.
“L’aumento della connettività e la digitalizzazione della vita quotidiana delle imprese e del pubblico in generale porteranno anche ad uno sfruttamento maggiore dei sistemi di pagamento e dei dispositivi IOT e di conseguenza ad una nuova formulazione del nostro attuale concetto di privacy.”
“La sicurezza informatica intelligente non consiste più solo nel prevenire una violazione, ma nel costruire la resilienza e la flessibilità necessaria per rispondere ad essa e nel ridurre al minimo i potenziali danni di una violazione.” – Joshua Douglas, CTO, Raytheon|Websense.
“The evolution and expansion of an aging Internet will present significant opportunity for attackers while simultaneously tripping up defenders.” “Il 2015 sarà visto in retrospettiva come un anno spartiacque per la sicurezza delle informazioni, poichè molte delle minacce in evoluzione e delle pratiche di sicurezza ora emergenti saranno direttamente attribuibili a eventi accaduti in questo ultimo anno.”
“Esche create a seguito dell’interesse focalizzato sulle elezioni americane, così come su altri eventi di alto profilo, saranno ottime opportunità per attività di social engineering, non solo per gli elettori ma anche per gli stessi candidati. Nell’era digitale, dati che non siano trattati in assoluta sicurezza potrebbero avere un impatto sulle elezioni stesse o persino sugli stessi candidati.
“L’evoluzione e l’espansione di un Internet che sta rapidamente invecchiando offriranno significative possibilità di attacco e contemporaneamente uno scoglio per i difensori.” – Carl Leonard, principal security analyst, Raytheon|Websense Security Labs.
Anche in italia, a seguito dei grandi attacchi avvenuti nel corso del 2015 ed in relazione ai diversi piani strategici Europei e nazionali per le definizione di politiche attive di sicurezza, in particolare su specifici mercati come quello finanziario e della pubblica amministrazione, si è osservata una sempre maggiore attenzione ad implementare tecnologie e politiche di sicurezza efficaci su tutti gli stages della catena di attacco. In particolare, il dissolversi dei perimetri da proteggere causato dall’adozione di cloud e mobility, ha focalizzato attenzione e budgets sul DATO, che rimane l’unico elemento certo da salvaguardare. Osserviamo quindi un’adozione sempre più massiva di tecnologia di Data Theft Prevention in grado di innestare nuove funzionalità di security,basate su analitiche, senza la necessità di effettuare una classificazione del dato, che rimane uno dei principali elementi ostativi alla introduzione delle soluzioni di Data Loss Prevention. – Emiliano Massa, Sr. Director Sales Southern Europe.
