Un doppio colpo per il settore finanziario di Hong Kong

Due storie di cybersicurezza si sono scontrate a Hong Kong nell'arco di circa 24 ore: un gruppo ransomware chiamato Orova ha rivendicato violazioni ai danni di cinque aziende di Hong Kong, tra cui almeno un gestore patrimoniale regolamentato, e la Securities and Futures Commission (SFC) ha emesso la sua prima azione sanzionatoria legata a un ransomware. Le segnalazioni indicano che la SFC ha redarguito e multato una società autorizzata per 2,1 milioni di dollari di Hong Kong per carenze di cybersicurezza legate a un attacco ransomware, una sanzione che i regolatori hanno inquadrato come un segnale che la responsabilità della resilienza informatica ricade sull’alta direzione, non solo sui reparti IT.

La concomitanza non fu una coincidenza quanto piuttosto una convergenza. I gruppi ransomware hanno sempre più preso di mira le società di servizi finanziari perché custodiscono proprio il tipo di dati sensibili dei clienti che rende efficace l'estorsione, e regolatori come la SFC segnalano da mesi che intendono chiamare le società autorizzate a risponderne quando quelle difese falliscono.

Come il doppio ricatto ha cambiato il manuale del ransomware

Il ransomware tradizionale era, per certi versi, un problema più semplice. Gli aggressori cifravano i file della vittima e chiedevano un pagamento per la chiave di decrittazione. Le organizzazioni con backup offline affidabili potevano spesso ripristinare i propri sistemi senza pagare un centesimo, annullando di fatto il potere contrattuale dell’aggressore.

Il doppio ricatto, una tattica introdotta dal gruppo ransomware Maze alla fine del 2019, ha chiuso quella falla. Invece di limitarsi a cifrare i file, gli aggressori prima sottraggono una copia dei dati sensibili della vittima. Anche se l’organizzazione può ripristinare dai backup e rifiuta di pagare per la decrittazione, gli aggressori hanno ancora una seconda carta: minacciano di pubblicare i dati rubati su un portale di fuga nel dark web se non viene pagato un riscatto. Questo cambia radicalmente il calcolo. I backup proteggono dai disservizi operativi, ma non possono impedire la fuga di dati. È esattamente la pressione che Orova sembra esercitare sulle sue cinque vittime di Hong Kong segnalate.

Questo schema non è esclusivo di Hong Kong né di Orova. Gli enti regolamentati dal punto di vista finanziario in tutto il mondo detengono registri dei clienti, cronologie delle transazioni e documenti d'identità che sono preziosi per i criminali e, quando esposti, profondamente dannosi per le persone i cui dati finiscono su un sito di fuga. È lo stesso rischio di fondo emerso quando un'agenzia statale britannica per gli investimenti ha esposto dati sensibili appartenenti a 51 funzionari governativi per circa 40 ore: una volta che i dati sono fuori, la tempistica e il contenimento contano enormemente, ma l'esposizione stessa non può essere annullata.

Perché la multa della SFC conta oltre Hong Kong

Ciò che rende degno di nota questo momento non è solo che un altro gruppo ransomware abbia rivendicato delle vittime. È che un regolatore finanziario sia passato dagli orientamenti all’applicazione. La multa della SFC, secondo quanto riferito la prima legata specificamente a un incidente ransomware, invia un messaggio che si sta consolidando nella regolamentazione finanziaria globale: le falle nella cybersicurezza non sono più trattate come incidenti puramente tecnici. Sono violazioni di conformità con conseguenze finanziarie e reputazionali reali per l’azienda e, sempre più, per i dirigenti che approvano la gestione del rischio.

I gruppi ransomware non hanno bisogno di trovare un nuovo zero-day per entrare. Molte violazioni iniziano con problemi molto più banali: software non aggiornato, controlli di accesso deboli o dipendenti che cadono nel phishing. Questo è in parte il motivo per cui le vulnerabilità non corrette rimangono un punto d’ingresso così persistente; persino bug di alto profilo come quello descritto in recenti notizie su una vulnerabilità zero-day di Windows non corretta illustrano come gli aggressori possano sfruttare falle che esistono ben prima che una patch sia disponibile. Oggi ci si aspetta che le aziende regolamentate trattino quel tipo di esposizione come un problema di governance, non solo come un ticket IT.

Cosa significa per te

Se sei un cliente, un dipendente o un partner di una società di servizi finanziari, incidenti come questo ti ricordano che la sicurezza dei tuoi dati dipende in larga misura da decisioni prese ben al di sopra del reparto IT. I consigli di amministrazione e l’alta direzione sono ora esplicitamente responsabili della resilienza informatica in giurisdizioni come Hong Kong, il che dovrebbe, nel tempo, spingere le aziende verso protezioni di base più solide: una migliore igiene dei backup, applicazione più rapida delle patch e controlli di accesso più rigorosi.

Per i singoli, i consigli pratici non sono cambiati molto, ma ora contano di più. Monitora i conti presso qualsiasi azienda che segnali una violazione, sii scettico riguardo a comunicazioni inaspettate che fanno riferimento ai dettagli del conto e prendi in considerazione il monitoraggio del credito se un’azienda conferma che i tuoi dati sono stati coinvolti in una fuga. Il doppio ricatto significa che anche le aziende che recuperano rapidamente i propri sistemi potrebbero comunque avere i tuoi dati in circolazione, quindi non dare per scontato che un incidente ransomware risolto significhi che le tue informazioni siano al sicuro.

Punti chiave

Le violazioni di Orova e la multa della SFC illustrano insieme la direzione che sta prendendo la responsabilità per i ransomware: i regolatori non si accontentano più che le aziende si limitino a recuperare dopo un attacco. Vogliono la prova che le aziende abbiano adottato misure ragionevoli per prevenirne uno in primo luogo. Per i lettori, i passi pratici rimangono gli stessi indipendentemente dalla giurisdizione: chiedete a qualsiasi istituto finanziario con cui avete a che fare quali siano le sue politiche di notifica delle violazioni, attivate l’autenticazione a più fattori ovunque sia offerta e considerate ogni avviso di violazione come un invito a controllare l’attività del vostro conto, anziché come una mera formalità.