Non sempre un attacco informatico richiede di violare un firewall o sfruttare una vulnerabilità. Utilizzando credenziali rubate, i criminali possono accedere ai sistemi aziendali fingendosi utenti autorizzati. Come riconoscere questi accessi, quali segnali monitorare e perché intervenire tempestivamente può evitare conseguenze ben più gravi?
Quando immaginiamo un attacco informatico, pensiamo spesso a un criminale che cerca di superare firewall, antivirus e sistemi di protezione. Ma uno degli scenari più insidiosi è quello in cui l'attaccante non deve violare alcuna difesa per ottenere l'accesso.
Gli basta utilizzare le credenziali di una persona autorizzata.
Una password sottratta tramite phishing, un malware che ruba informazioni o una sessione di autenticazione compromessa possono consentire a un criminale informatico di accedere ai sistemi aziendali utilizzando un'identità apparentemente legittima.
Il sistema riconosce l'utente, ma non necessariamente la persona che sta utilizzando quell'account.
Come vengono compromessi gli accessi
Le tecniche utilizzate dai cybercriminali sono numerose.
Un dipendente può essere indotto a inserire le proprie credenziali in una pagina contraffatta. Un malware può sottrarre password e cookie di sessione. Un fornitore esterno può subire una compromissione che espone anche gli accessi ai sistemi dei propri clienti.
In alcuni casi, il furto di una sessione già autenticata può consentire di aggirare anche determinate forme di autenticazione multifattore.
Una volta entrato, l'attaccante può consultare informazioni riservate, intercettare comunicazioni, modificare configurazioni o tentare di raggiungere altri sistemi.
Come riconoscere un accesso sospetto
Un'autenticazione riuscita non garantisce che l'accesso sia sicuro.
Esistono però segnali che possono aiutare a individuare comportamenti anomali:
-
Accessi da dispositivi o località insolite.
-
Autenticazioni in orari incompatibili con le normali attività.
-
Modifiche inattese ai privilegi degli utenti.
-
Creazione di regole di inoltro della posta verso indirizzi sconosciuti.
-
Accessi a risorse normalmente non utilizzate da quell'account.
Questi eventi non indicano necessariamente una violazione, ma devono poter essere analizzati e correlati.
Perché cambiare la password potrebbe non bastare
Quando si sospetta una compromissione, intervenire rapidamente è fondamentale.
Oltre a modificare le credenziali, può essere necessario revocare le sessioni attive, verificare i metodi MFA registrati, controllare eventuali modifiche non autorizzate e analizzare le attività svolte dall'account.
La risposta deve inoltre comprendere la verifica dei dispositivi coinvolti e dei sistemi ai quali l'utente aveva accesso.
Il ruolo di PAMOPLUS
Proteggere gli account è importante, ma oggi è altrettanto fondamentale individuare tempestivamente comportamenti sospetti.
PAMOPLUS supporta le aziende con soluzioni di autenticazione sicura, protezione delle identità, raccolta e analisi dei log e servizi di monitoraggio della cybersecurity.
L'obiettivo è ridurre il rischio che un accesso compromesso si trasformi in un incidente capace di coinvolgere l'intera infrastruttura.
Perché non basta sapere chi possiede le credenziali di accesso. Bisogna anche riconoscere quando vengono utilizzate dalla persona sbagliata.