Un affiliato del ransomware 3AM avrebbe cifrato circa 37 delle quasi 50 macchine di un patrimonio scolastico del Regno Unito, in quello che viene descritto come un sospetto attacco ransomware scolastico assistito dall'IA. Secondo il rapporto, l'intruso ha raggiunto quelle macchine da un host non gestito. I dettagli sono limitati, ma l'incidente è un utile caso di studio su come un singolo dispositivo trascurato possa aprire la porta all'intera rete.

Come l'affiliato di 3AM ha colpito il patrimonio scolastico

La fonte che riporta la notizia afferma che un affiliato del ransomware 3AM ha preso di mira un patrimonio scolastico nel Regno Unito. Partendo da un host non gestito, una macchina che si trovava al di fuori degli strumenti di sicurezza e della supervisione normali dell'organizzazione, l'attaccante ha raggiunto quasi 50 macchine. Di queste, circa 37 sono state cifrate con successo.

Questo rapporto è importante. Suggerisce che, una volta ottenuto un punto d'appoggio, c'era ben poco a ostacolare lo spostamento nell'ambiente. Gli affiliati del ransomware operano tipicamente come partner di un'operazione ransomware più ampia, utilizzando gli strumenti del gruppo mentre portano avanti essi stessi l'intrusione. In questo caso, l'affiliato sembra essere passato da un unico punto di ingresso alla maggior parte del patrimonio raggiungibile.

Il riassunto dell'articolo non specifica come sia stato compromesso l'host non gestito, quali dati possano essere stati sottratti o se sia stato richiesto un riscatto, quindi non intendiamo fare speculazioni su questi punti.

Perché gli host non gestiti e le reti piatte hanno reso tutto facile

Un host non gestito è qualsiasi dispositivo che il team IT non monitora, aggiorna o protegge attivamente. Nelle scuole, questi possono includere vecchi PC, dispositivi portati da personale o appaltatori, o apparecchiature installate al di fuori delle procedure standard. Poiché mancano di protezione degli endpoint e di registrazione, un attaccante può utilizzarli in modo silenzioso.

Il secondo ingrediente è la progettazione della rete. In una rete piatta, i dispositivi possono comunicare tra loro con poche restrizioni. Se un attaccante controlla una macchina, spesso può vedere e tentare di raggiungere molte altre. La segmentazione, che separa i sistemi in zone con accesso controllato tra di esse, limita questo tipo di movimento laterale.

Le scuole sono spesso a corto di risorse, con piccoli team IT che coprono molti dispositivi e utenti. Questo rende più difficile mantenere un inventario completo di ciò che è connesso, e i dispositivi non gestiti tendono a sfuggire. Il risultato riportato, circa tre quarti delle macchine raggiungibili cifrate, corrisponde a questo schema.

Cosa dimostra e cosa non dimostra l'affermazione sull'assistenza dell'IA

Il titolo descrive l'attacco come sospettato di essere assistito dall'IA. Vale la pena leggerlo attentamente. "Sospettato" significa che la valutazione non è confermata, e il materiale di partenza fornitoci non specifica per cosa sia stata usata l'IA o quanto abbia cambiato l'esito.

Ciò che l'affermazione suggerisce è che gli attaccanti potrebbero usare strumenti di IA per accelerare alcune parti di un'intrusione, come capire come muoversi in un ambiente. Ciò che non dimostra è che l'IA abbia creato un nuovo tipo di attacco. Le debolezze fondamentali in questo caso, un host non gestito e una rete che ha permesso a un intruso di diffondersi, sono di vecchia data e ben note. Sono anche le parti che i difensori possono correggere.

In altre parole, l'aspetto dell'IA vale la pena di essere monitorato, ma le lezioni pratiche qui sono ancora l'igiene di sicurezza di base.

Cosa significa per te

Se sei un genitore, un alunno o un membro del personale, un attacco a un patrimonio scolastico non è astratto. I sistemi scolastici contengono informazioni su bambini e famiglie, e l'interruzione può bloccare lezioni e comunicazioni. Incidenti istituzionali di questo tipo possono anche alimentare una più ampia esposizione dei dati; la violazione dell'agenzia britannica per gli investimenti che ha esposto i dati di 51 funzionari è un altro recente esempio di un ente del settore pubblico britannico che ha dovuto gestire informazioni esposte.

C'è anche un aspetto legato alla rete domestica. Le famiglie spesso collegano dispositivi forniti dalla scuola o personali allo stesso router domestico di tutto il resto: laptop, tablet, console per videogiochi, smart TV. Un dispositivo non gestito o trascurato a casa può svolgere lo stesso ruolo dell'host non gestito in questo caso. Per essere chiari, una VPN non è una difesa contro il ransomware, quindi l'attenzione dovrebbe essere rivolta all'igiene dei dispositivi e della rete.

Cosa possono fare ora scuole, genitori e utenti domestici

Per le scuole e i team IT:

  • Creare e mantenere un inventario di ogni dispositivo sulla rete, e portare gli host non gestiti sotto gestione o rimuoverli.
  • Segmentare la rete in modo che una macchina compromessa non possa raggiungere l'intero patrimonio.
  • Mantenere backup testati, offline o separati, in modo che i sistemi possano essere ripristinati senza pagare un riscatto.

Per i genitori e gli utenti domestici:

  • Controllare quali dispositivi sono connessi al router e rimuovere quelli che non usi più o che non riconosci.
  • Installare gli aggiornamenti su computer, telefoni, tablet e sul router stesso, e sostituire le password predefinite del router.
  • Mantenere aggiornati i dispositivi legati alla scuola ed evitare di condividere account o riutilizzare password.
  • Eseguire il backup dei file importanti in una posizione che non sia permanentemente connessa al computer principale.
  • Valutare di mettere i gadget per la casa intelligente e i dispositivi degli ospiti su una rete guest separata, se il router lo supporta.

Il punto essenziale

Questo presunto attacco ransomware scolastico assistito dall'IA dimostra che i rischi maggiori spesso derivano dalle cose di base: dispositivi che nessuno controlla e reti che lasciano propagare i problemi. Qualunque sia stato il ruolo dell'IA, le correzioni restano pratiche e realizzabili. Prenditi qualche minuto questa settimana per rivedere i dispositivi e il router della tua rete familiare, e usa l'incidente come spunto per chiedere alla scuola di tuo figlio come gestisce dispositivi e backup.