Perché i manager sono specificamente presi di mira dagli attaccanti ransomware?

I manager hanno spesso ampio accesso a dati operativi, approvazioni finanziarie e sistemi amministrativi, e ricevono un elevato volume di email sia dai subordinati che dalla dirigenza, rendendo il phishing molto plausibile.

Come è cambiata la strategia di targeting del ransomware rispetto alle campagne precedenti?

Gli attaccanti sono passati dal puntare al guadagno maggiore prendendo di mira i dirigenti C-suite al concentrarsi sui manager di medio livello, in particolare nei settori IT, operativi o finanziari, che possiedono un accesso pratico ai sistemi critici con minori controlli di sicurezza.

Quali rischi per la privacy creano questi attacchi per i dipendenti che non sono direttamente presi di mira?

Gli account compromessi dei manager possono esporre dati sensibili dei dipendenti come valutazioni delle prestazioni, informazioni salariali e dettagli sulla salute, causando un incidente di privacy dei dati che colpisce molti dipendenti che non hanno mai cliccato personalmente su un link malevolo.

Quali ruoli manageriali specifici sono più a rischio in questa campagna?

I manager di medio livello nei settori IT, operativi o finanziari sono i bersagli principali perché detengono le chiavi pratiche dei sistemi critici senza lo stesso livello di risorse di sicurezza dedicate assegnate ai dirigenti C-suite.

Campagna ransomware prende di mira i manager in due terzi dei casi

Q: Quale percentuale di persone prese di mira nella campagna ransomware analizzata erano manager?

Quasi due terzi, circa il 67%, ricoprivano posizioni manageriali o superiori, secondo l'analisi di ZDNET.

I manager sono ora il punto di ingresso preferito dal ransomware

Una nuova analisi di una singola campagna ransomware ha rilevato che quasi due terzi delle persone prese di mira ricoprivano posizioni manageriali o superiori. Questa statistica, riportata da ZDNET, segna un notevole cambiamento nel modo in cui gli operatori ransomware scelgono le proprie vittime. Invece di gettare una rete ampia su un'intera forza lavoro, gli attaccanti sembrano individuare deliberatamente persone con accessi elevati, autorità decisionale o entrambi.

Non è solo una curiosità per i team di sicurezza. Ha implicazioni reali per la privacy dei dipendenti, la sensibilità dei dati che questi manager controllano e il modo in cui le organizzazioni pensano a chi ha effettivamente bisogno di essere formato e protetto con maggiore urgenza.

Perché i manager sono diventati bersagli privilegiati

La logica dietro questo cambiamento è semplice una volta considerato a cosa ha tipicamente accesso un manager. I manager spesso si trovano all'intersezione tra dati operativi, documenti delle risorse umane, approvazioni finanziarie e permessi amministrativi su più sistemi. Compromettere un account può dare a un attaccante un punto d'appoggio molto più ampio rispetto a compromettere l'account di un impiegato di prima linea.

Questo rispecchia un modello che i ricercatori di sicurezza hanno già segnalato altrove. Come illustrato in un report correlato su come le bande ransomware ora prendono di mira i manager IT invece degli amministratori delegati, gli attaccanti hanno abbandonato l'ipotesi che il guadagno maggiore derivi dal colpire i vertici dell'organigramma. Invece, i manager di medio livello, specialmente quelli nei settori IT, operazioni o finanza, spesso detengono le chiavi pratiche dei sistemi critici senza lo stesso livello di controllo o di risorse di sicurezza tipicamente riservate ai dirigenti C-suite.

I manager sono anche attraenti perché si trovano in un punto di comunicazione privilegiato. Ricevono un elevato volume di email sia dai subordinati che dalla dirigenza, rendendo plausibili i tentativi di phishing che impersonano l'una o l'altra direzione. Un messaggio che sembra provenire da un collaboratore diretto che richiede un'approvazione, o da un dirigente che chiede un'azione urgente, è esattamente il tipo di ingegneria sociale che sfrutta la routine quotidiana di un manager.

Le implicazioni per la privacy di cui nessuno parla

Ciò che spesso viene trascurato nella copertura del ransomware è l'esposizione della privacy personale legata a questi attacchi. I manager hanno frequentemente accesso a informazioni sensibili sui dipendenti: valutazioni delle prestazioni, dati salariali, provvedimenti disciplinari e talvolta dettagli sulla salute o familiari condivisi durante conversazioni individuali. Quando l'account o il dispositivo di un manager viene compromesso, anche i dati personali dei membri del suo team vengono esposti, non solo la proprietà intellettuale aziendale o i documenti finanziari.

Questo crea un effetto a catena. Un attacco che inizia come incidente ransomware mirato a un singolo manager può diventare silenziosamente un incidente di privacy dei dati che colpisce decine di dipendenti che non hanno mai cliccato un link malevolo. Le organizzazioni che valutano le proprie difese contro il ransomware devono tenere conto di questo livello secondario di esposizione, in particolare ai sensi delle normative sulla protezione dei dati che ritengono le aziende responsabili della salvaguardia delle informazioni dei dipendenti, indipendentemente da come sia avvenuta una violazione.

Sei passi pratici per ridurre il rischio

Sulla base dei modelli emersi da questa campagna, alcune misure concrete si distinguono come realmente utili, piuttosto che consigli generici:

Applicare il principio del minimo privilegio agli account manageriali. I manager dovrebbero avere accesso solo ai sistemi e ai dati effettivamente necessari per il proprio ruolo, non un accesso generale ereditato da un titolo.
Utilizzare credenziali separate per le attività amministrative. Se un manager ha bisogno occasionalmente di accessi elevati, questi dovrebbero richiedere un login distinto, non il suo account email quotidiano.
Dare priorità alla formazione con simulazioni di phishing specificamente per i livelli manageriali. La formazione generale per tutto il personale è utile, ma i manager affrontano esche più mirate e convincenti, e la loro formazione dovrebbe rifletterlo.
Applicare l'autenticazione a più fattori ovunque, senza eccezioni per comodità. Gli attaccanti che prendono di mira i manager contano su approvazioni più rapide e minori attriti; l'MFA colma questa lacuna.
Segmentare le reti in modo che un singolo account compromesso non possa raggiungere tutto. Limitare il movimento laterale riduce i danni che una singola credenziale rubata può causare.
Mantenere backup offline e testati dei dati critici. Anche se un attacco riesce, un solido piano di ripristino riduce la leva che gli operatori ransomware hanno durante le negoziazioni.

Cosa significa per te

Se sei un manager, questo report è un segnale diretto che la tua casella di posta e i tuoi account comportano più rischi di quanto potresti aver pensato. Vale la pena chiedere al tuo team IT o di sicurezza se i tuoi privilegi di accesso corrispondono a ciò che usi effettivamente giorno per giorno e se stai ricevendo una formazione su misura per i tipi di tentativi di phishing mirati che i manager affrontano specificamente.

Se sovrintendi alla politica di sicurezza, questo è un motivo per rivedere chi riceve la formazione più intensiva e come i privilegi degli account sono distribuiti nel livello manageriale della tua organizzazione. I dati suggeriscono che il ransomware prende di mira i manager non a caso, ma per ciò a cui il loro ruolo concede loro accesso.

In conclusione

Il fatto che il ransomware ora prenda di mira i manager in modo così sproporzionato dovrebbe ridisegnare il modo in cui le organizzazioni danno priorità alla formazione sulla sicurezza e ai controlli degli accessi. Non si tratta di presumere che ogni manager sia un anello debole, ma di riconoscere che la loro posizione nell'organigramma li rende un bersaglio di alto valore, a prescindere dall'intenzione o dalla consapevolezza. Rivedere i privilegi di accesso, rafforzare i requisiti di autenticazione e fornire una formazione specifica per il ruolo sono passi pratici che qualsiasi organizzazione può intraprendere da subito, senza aspettare che un incidente imponga la questione.