Un gruppo ransomware che si identifica come D1R ha rivendicato la responsabilità di aver compromesso ARM, l'azienda britannica di progettazione di semiconduttori la cui architettura dei chip alimenta un'ampia porzione di smartphone e dispositivi connessi in tutto il mondo. Secondo un rapporto pubblicato da DeXpose, gli aggressori affermano di aver esposto dati aziendali e, fatto degno di nota, di aver eluso le protezioni dell'autenticazione a due fattori (2FA) su cui molte organizzazioni fanno affidamento come livello di difesa fondamentale.

Al di là della divulgazione iniziale, i dettagli restano limitati e, al momento di questo rapporto, ARM non ha rilasciato un resoconto pubblico dettagliato sulla portata dell'incidente. Tuttavia, la rivendicazione in sé è significativa. ARM non è un marchio rivolto al consumatore come un rivenditore o un servizio di streaming, ma la sua tecnologia è presente in una porzione enorme dell'ecosistema globale dei dispositivi. Qualsiasi violazione che tocchi un'azienda con una simile portata merita attenzione, anche prima che ogni dettaglio venga confermato.

Come si sarebbe svolto l'attacco ransomware D1R

Gli attacchi ransomware seguono in genere uno schema noto: gli aggressori ottengono un punto d'appoggio nella rete, aumentano i privilegi di accesso, esfiltrano dati sensibili e poi utilizzano crittografia o tattiche di estorsione per spingere la vittima a pagare. Ciò che distingue la rivendicazione di D1R contro ARM è l'affermazione che l'autenticazione a due fattori sia stata aggirata durante l'intrusione.

L'autenticazione a due fattori è ampiamente promossa come uno dei modi più semplici ed efficaci per prevenire l'accesso non autorizzato agli account, poiché richiede un secondo passaggio di verifica oltre alla password. Quando gli aggressori dichiarano di averla elusa – tramite phishing, furto di token di sessione, tattiche di tipo SIM-swapping o sfruttando debolezze nell'implementazione della 2FA – si mina una misura di sicurezza su cui sia gli individui sia le aziende hanno imparato a fare grande affidamento. Se confermato, questo dettaglio da solo rende il caso ARM un buon esempio da seguire con attenzione per l'intero settore tecnologico.

Perché una violazione in un gigante della progettazione di chip comporta un rischio per la privacy sproporzionato

Il modello di business di ARM è diverso da quello della maggior parte delle aziende discusse nei resoconti sulle violazioni. Piuttosto che vendere prodotti direttamente ai consumatori, ARM concede in licenza i propri progetti di processori a produttori nei settori smartphone, IoT, automotive e data center. Ciò significa che un cedimento della sicurezza a livello di progettazione e ingegneria ha il potenziale di propagarsi a catena attraverso innumerevoli aziende partner e, in ultima analisi, agli utenti finali che potrebbero non sapere nemmeno che la tecnologia ARM si trova all'interno dei loro dispositivi.

Questo fa parte di uno schema più ampio osservato in recenti incidenti di alto profilo. Proprio come Novo Nordisk ha contattato le autorità per una presunta violazione di dati da 1 TB dopo che un gruppo di hacker aveva dichiarato di aver rubato dati aziendali, ARM affronta ora domande simili su cosa sia stato consultato, quanti dati abbiano lasciato la rete e chi potrebbe essere coinvolto a valle. Questi episodi sottolineano un tema costante: gli aggressori prendono sempre più di mira i grandi fornitori di infrastrutture e tecnologie, non solo le piattaforme rivolte al consumatore, perché il potenziale raggio d'azione è molto più ampio.

Cresce la pressione normativa e sulla responsabilità

Le aziende che subiscono violazioni si trovano ad affrontare un controllo crescente da parte delle autorità di regolamentazione e dei tribunali. L'autorità sudcoreana per la protezione dei dati ha recentemente imposto una sanzione record quando ha multato Coupang per 409 milioni di dollari per una violazione dei dati, segnalando che i regolatori di tutto il mondo sono disposti a imporre gravi conseguenze finanziarie alle aziende che non proteggono i dati degli utenti. Anche l'azione legale non si limita alle sole vittime delle violazioni. La recente causa in cui il Procuratore Generale del Texas ha fatto causa a Netflix per la raccolta segreta di dati mostra che le pratiche di trattamento dei dati in senso ampio, e non solo le violazioni, stanno attirando l'attenzione della giustizia. Per un'azienda come ARM, che opera al centro della catena di fornitura tecnologica globale, qualsiasi esposizione confermata di dati potrebbe attirare un controllo analogo da parte delle autorità di regolamentazione britanniche e internazionali.

Cosa significa per te

La maggior parte dei lettori non ha un account diretto con ARM come potrebbe averlo con una banca o un servizio di streaming, quindi non c'è un'azione immediata come il reset della password legata a questo specifico incidente. Ma il caso è un utile promemoria del fatto che la sicurezza della catena di fornitura è importante tanto quanto la sicurezza delle app e dei servizi che usi direttamente. I dispositivi che hai in tasca, nella tua auto e nella rete domestica si basano probabilmente su componenti e progetti di aziende di cui la maggior parte delle persone non ha mai sentito parlare.

È anche un promemoria che l'autenticazione a due fattori, per quanto preziosa, non è infallibile. Gli aggressori stanno attivamente sviluppando tecniche per aggirarla, il che significa che stratificare ulteriori protezioni come chiavi di sicurezza hardware, passkey o monitoraggio basato sul comportamento è sempre più da prendere in considerazione per chiunque gestisca account sensibili.

Indicazioni pratiche

  • Presta attenzione alle dichiarazioni ufficiali di ARM o dei suoi partner riguardo alla portata di questo incidente, poiché le rivendicazioni iniziali dei ransomware non sono sempre completamente verificate.
  • Dove possibile, passa dall'autenticazione a due fattori via SMS o app a metodi resistenti al phishing come le chiavi di sicurezza hardware o le passkey.
  • Controlla gli account e i dispositivi che utilizzano chip basati su ARM, in particolare se gestisci sistemi IoT o embedded, e segui gli avvisi di sicurezza dei fornitori.
  • Osserva come i regolatori rispondono a incidenti come questo, poiché le tendenze di applicazione delle norme in crescita suggeriscono che le aziende violate potrebbero dover affrontare una responsabilità sempre maggiore.

Man mano che emergono ulteriori dettagli sull'attacco ransomware D1R ad ARM, questa storia ricorda opportunamente che nemmeno gli attori più fondamentali dell'industria tecnologica sono immuni da minacce informatiche sofisticate e che la protezione della privacy dipende sempre più dalla messa in sicurezza dell'intera catena di fornitura, non solo dei prodotti che i consumatori vedono direttamente.