Come funziona il mercato degli accessi da violazione a ransomware

Un hacker di lingua russa ha violato organizzazioni in tutto il mondo, rubato credenziali di accesso e confezionato tali accessi rubati per venderli a gruppi ransomware, secondo un nuovo rapporto. Lo stesso attore è stato anche osservato mentre monitorava siti web militari ucraini, mescolando il crimine informatico a scopo finanziario con un'apparente attività di raccolta di intelligence legata al conflitto in corso.

Questo caso illustra chiaramente come iniziano realmente i moderni attacchi ransomware. I titoli dei giornali tendono a concentrarsi sul malware che alla fine cifra i file di un'azienda, ma la porta d'ingresso viene solitamente aperta da qualcun altro: un initial access broker. Si tratta di specialisti che svolgono bene un unico compito. Violano le reti, verificano che l'accesso funzioni e poi lo vendono, spesso su forum underground, a operatori ransomware che gestiscono la parte dell'estorsione. È una divisione del lavoro che ha reso le campagne ransomware più veloci, più scalabili e più difficili da ricondurre a un singolo gruppo.

Questo mercato degli accessi da violazione a ransomware significa che una singola password compromessa può fare molta strada. Chi la ruba potrebbe non distribuire mai il ransomware in prima persona. Agisce invece come fornitore, e il danno reale – un sistema ospedaliero messo offline, le attività di un produttore bloccate, i dati di un distretto scolastico cifrati – viene eseguito da un acquirente completamente diverso a valle.

Quali credenziali e accessi di rete sono stati rubati e venduti

Secondo il rapporto, l'operazione dell'hacker era incentrata sulla raccolta di credenziali da organizzazioni globali e sulla preparazione di tali accessi per la rivendita. Piuttosto che sfruttare immediatamente ogni sistema compromesso, l'attore sembra aver trattato i login rubati come inventario: qualcosa da catalogare, convalidare e consegnare ad acquirenti specializzati nella fase successiva dell'attacco. Parallelamente a questa attività commerciale, è stato anche osservato l'hacker tenere d'occhio i siti web militari ucraini, un dettaglio che suggerisce motivazioni sovrapposte che vanno oltre il puro profitto.

Questo schema, furto di credenziali a scopo finanziario in parallelo con sorveglianza motivata geopoliticamente, è diventato sempre più comune tra gli attori delle minacce di lingua russa. Sottolinea inoltre perché i difensori non possono presumere che un incidente di furto di credenziali sia "solo" un problema di criminalità finanziaria. Lo stesso accesso rubato che finisce in vendita a una banda ransomware potrebbe altrettanto facilmente essere usato per spionaggio, o per entrambi.

Perché le credenziali VPN e di accesso remoto rubate sono obiettivi privilegiati per gli access broker

Gli access broker gravitano verso credenziali che sbloccano il massimo territorio con il minimo sforzo. I login VPN, gli account desktop remoti e altri strumenti di accesso remoto sono in cima a quella lista perché sono progettati per portare un utente dal mondo esterno direttamente nella rete interna. Una singola credenziale VPN valida può bypassare completamente le difese perimetrali, offrendo a un attaccante un punto d'appoggio dall'aspetto legittimo che non fa scattare gli stessi allarmi di un'intrusione tradizionale.

Questo è esattamente il motivo per cui i fornitori di VPN e i dati delle credenziali che detengono sono diventati obiettivi attraenti di per sé. Non sono solo i gateway VPN aziendali a rischio. Anche i servizi VPN rivolti ai consumatori hanno visto esposti i propri database interni, sollevando domande scomode sulla tenuta delle promesse "no-log" sotto esame. Il data breach di SplitVPN è un buon esempio: un ampio database presumibilmente legato al fornitore è emerso su un forum criminale, minando le dichiarazioni sulla privacy dell'azienda e ricordando agli utenti che la postura di sicurezza di una VPN conta tanto quanto la crittografia che pubblicizza.

Come VPN, 2FA e igiene delle credenziali riducono il rischio di movimento laterale

La buona notizia è che la maggior parte dell'attrito in questa catena di attacco può essere reintrodotta da organizzazioni e individui disposti a compiere alcuni passi costanti. L'autenticazione a più fattori è il controllo più efficace contro le credenziali rubate, poiché una password da sola diventa molto meno utile per un acquirente se non può essere abbinata a un secondo passaggio di verifica. Ruotare regolarmente le credenziali, evitare il riutilizzo delle password tra servizi e monitorare i login esposti sui servizi di notifica delle violazioni riducono la finestra durante la quale un accesso rubato rimane prezioso per un broker.

Per l'accesso remoto in particolare, scegliere un fornitore VPN con una politica no-log verificabile e sottoposta a audit, piuttosto che una semplice affermazione di marketing, riduce la possibilità che le proprie credenziali diventino il prossimo set di dati in vendita. Abbinare questo con 2FA su ogni punto di accesso remoto e segmentare le reti in modo che un singolo account compromesso non possa raggiungere tutto limita la portata del movimento di un attaccante anche se dovesse entrare.

Cosa significa questo per te

Se gestisci l'IT per un'azienda, questo caso ricorda che il furto di credenziali da parte di un initial access broker è spesso il vero punto di partenza di un incidente ransomware, non il ransomware stesso. Investire nell'igiene delle credenziali, nell'MFA e nel monitoraggio degli accessi remoti fa più per fermare questi attacchi di qualsiasi singolo strumento anti-malware. Se sei un utente individuale, è un invito a verificare se il tuo fornitore VPN o di accesso remoto ha una comprovata esperienza nella protezione dei propri dati, poiché le tue credenziali sono sicure solo quanto il servizio che le memorizza.

Consigli pratici:

  • Attiva l'autenticazione a più fattori su ogni account VPN, desktop remoto e amministratore, non solo sulla posta elettronica.
  • Evita di riutilizzare le password tra servizi diversi, specialmente per gli strumenti di accesso remoto.
  • Prima di fidarti delle dichiarazioni no-log di un fornitore VPN, esamina la sua storia di sicurezza e gli audit indipendenti.
  • Monitora la comparsa delle tue credenziali nei database delle violazioni e ruotale immediatamente se vengono trovate.
  • Segmenta le reti in modo che una singola credenziale rubata non possa fornire un ampio accesso laterale.