Uno strumento di indagine diventa l'anello debole

Nintendo non è stata violata perché qualcuno ha craccato i suoi server di gioco o ha bypassato la sicurezza del suo account. Secondo le notizie sull'incidente, l'esposizione risale a TinyPulse, un fornitore terzo che Nintendo utilizzava per condurre sondaggi interni sul coinvolgimento dei dipendenti. Un gruppo che si fa chiamare Shadowbyt3$ ha rivendicato la responsabilità e ha chiesto circa 2 milioni di dollari, inquadrando l'operazione come "extortion-as-a-service" (estorsione come servizio).

Questa etichetta è più importante di quanto possa sembrare. I gruppi ransomware tradizionali utilizzano cifratori che bloccano i sistemi della vittima e poi chiedono un pagamento per la chiave di decrittazione. Negli ultimi anni, la maggior parte degli operatori ha aggiunto una seconda leva: rubare i dati prima di cifrare qualsiasi cosa, in modo da avere un mezzo di pressione anche se la vittima ripristina i backup. Gruppi di extortion-as-a-service come Shadowbyt3$ sembrano saltare del tutto la fase di cifratura. Non c'è bisogno di bloccare i sistemi quando la minaccia di pubblicare dati sensibili dei dipendenti è sufficiente per esercitare pressione e ottenere un pagamento.

Per Nintendo, un'azienda il cui core business ruota attorno a console, account online e una vastissima base installata, questo incidente ricorda che la superficie d'attacco si estende ben oltre i prodotti che i clienti vedono. Si estende a ogni fornitore con accesso ai dati interni, anche a quelli apparentemente a basso rischio come una piattaforma per i feedback dei dipendenti.

Perché i fornitori terzi continuano a diventare il punto d'ingresso

Gli strumenti per sondaggi HR, le piattaforme per i benefit, i software di pianificazione e altri fornitori di back-office raramente ricevono lo stesso livello di controllo sulla sicurezza delle infrastrutture core. Vengono considerati comodità amministrative piuttosto che custodi di dati, anche se trattano abitualmente nomi, dettagli sull'impiego e a volte informazioni finanziarie o di identità legate alla forza lavoro di un'azienda.

Questa discrepanza è esattamente ciò che i gruppi di extortion-as-a-service sono costruiti per sfruttare. Gli aggressori non hanno bisogno di violare direttamente un'azienda con le risorse di Nintendo. Devono solo trovare un fornitore nella catena di fornitura di quell'azienda con difese più deboli, raccogliere i dati presenti nei sistemi di quel fornitore e poi usare il marchio e la reputazione dell'azienda madre come leva per il pagamento. Il fornitore diventa la porta; il marchio riconoscibile diventa la leva.

Questo schema non è esclusivo di Nintendo. Riflette un cambiamento più ampio nel modo in cui operano i gruppi di estorsione: invece di investire in payload di cifratura complessi che possono essere rilevati e annullati, si concentrano sull'esfiltrazione dei dati e sulla pressione pubblica, perché il costo reputazionale di una fuga di dati è spesso ciò che costringe a una risposta, non il disagio tecnico.

Cosa significa per te

Se sei un cliente Nintendo, questo incidente riguarda principalmente i dati dei dipendenti, non gli account dei giocatori, in base a quanto riportato. Tuttavia, porta con sé una lezione che vale la pena prendere sul serio se interagisci con l'ecosistema digitale di qualsiasi grande azienda, comprese le piattaforme di gioco: l'esposizione dei tuoi dati dipende dal fornitore più debole nella catena di fornitura di quell'azienda.

Per i titolari di account Nintendo, questo è un buon momento per rivedere le basilari norme di igiene dell'account. Usa una password unica e robusta per il tuo account Nintendo, attiva l'autenticazione a due fattori se non l'hai ancora fatto e sii cauto con le email non richieste che fanno riferimento a questa violazione, poiché gli incidenti di estorsione spesso generano un'ondata di tentativi di phishing successivi che cercano di sfruttare la consapevolezza pubblica della vicenda. Se utilizzi anche la tua Nintendo Switch per navigare o guardare contenuti in streaming mentre sei in viaggio o su reti pubbliche, vale la pena capire come una VPN per la tua Nintendo Switch possa aggiungere un livello di protezione alla tua connessione, indipendentemente dalle misure di sicurezza dell'account sopra indicate.

Se lavori nelle risorse umane, nell'IT o nella gestione del rischio fornitori in qualsiasi organizzazione, la lezione più pratica riguarda la due diligence nei confronti dei fornitori. Gli strumenti di terze parti che trattano dati dei dipendenti, anche quelli che sembrano a basso rischio come una piattaforma per sondaggi sul morale, meritano la stessa revisione di sicurezza degli strumenti che gestiscono i dati di pagamento dei clienti. Ciò significa chiedere ai fornitori informazioni sui loro standard di cifratura, sui tempi di notifica delle violazioni e sulle pratiche di conservazione dei dati prima di firmare un contratto, non dopo che un incidente ha reso la domanda inevitabile.

Consigli pratici

  • Rivedi e rafforza le credenziali del tuo account Nintendo e attiva l'autenticazione a due fattori se non è già attiva.
  • Tratta con scetticismo qualsiasi email o messaggio relativo alla violazione che ricevi; verifica attraverso i canali ufficiali Nintendo prima di cliccare su link o fornire informazioni.
  • Se gestisci rapporti con i fornitori nella tua organizzazione, verifica quali terze parti detengono dati di dipendenti o clienti e accertati che le loro pratiche di sicurezza corrispondano alla sensibilità di ciò che conservano.
  • Riconosci l'extortion-as-a-service come un modello di minaccia distinto: l'assenza di cifratura non significa assenza di pericolo, perché i soli dati rubati possono essere una leva sufficiente per una richiesta di riscatto.

Il caso Nintendo-TinyPulse è un chiaro esempio di come i moderni gruppi di estorsione abbiano adattato il loro modus operandi e di come la vulnerabilità più grande di un'azienda possa non essere nei propri sistemi, ma nei fornitori a cui affida i dati dei dipendenti. Rimanere informati su incidenti come questo e applicare basilari norme di igiene degli account e dei fornitori resta la difesa più concreta a disposizione di individui e organizzazioni.