Un avviso congiunto di CISA, FBI e partner afferma che il ransomware SafePay ha colpito più di 600 vittime, e il modo in cui riesce a entrare è spesso dolorosamente ordinario. Secondo l'avvertimento, il gruppo utilizza credenziali VPN rubate per accedere semplicemente, e sfrutta anche due vulnerabilità del 2024 presenti in dispositivi Veeam e SonicWall. La conclusione è semplice: un gateway VPN è sicuro solo quanto i suoi accessi e il suo firmware.

Cosa dice l'avviso su SafePay

L'avviso, emesso da CISA, FBI e agenzie partner, riporta che il ransomware SafePay ha compromesso oltre 600 vittime. Due vie di accesso iniziale si distinguono: credenziali VPN valide che gli attaccanti hanno ottenuto altrove, e due vulnerabilità del 2024 che interessano prodotti Veeam e SonicWall.

Il materiale di partenza è breve, quindi alcuni dettagli non sono trattati qui, come gli identificativi CVE specifici o l'elenco completo dei settori colpiti. Gli amministratori dovrebbero leggere direttamente l'avviso originale per gli indicatori tecnici e l'elenco delle mitigazioni. Ciò che il riassunto rende chiaro è lo schema: gli attaccanti non si affidano a tecniche esotiche. Sfruttano accessi che sono stati o divulgati o lasciati senza patch.

Come i login VPN rubati e le falle nei dispositivi perimetrali aprono la porta

Una VPN dovrebbe essere un ingresso controllato a una rete privata. Se un attaccante possiede un nome utente e una password validi, quell'ingresso si apre per lui proprio come per un dipendente. Per la VPN, un login rubato appare come una sessione legittima, ed è per questo che questa via può essere difficile da individuare senza controlli aggiuntivi.

Le credenziali rubate tendono a provenire da violazioni precedenti, phishing o riutilizzo delle password tra servizi. Se un dipendente usa la stessa password per la VPN aziendale e per un account personale che in seguito viene divulgato, l'attaccante non ha bisogno di alcun exploit tecnico.

La seconda via è rappresentata da dispositivi perimetrali non aggiornati. Firewall, appliance VPN e software di backup si trovano al confine o al cuore di una rete, quindi una falla in essi può dare agli attaccanti un forte punto d'appoggio. L'avviso indica due vulnerabilità del 2024, una in Veeam e una in dispositivi SonicWall. Il fatto che le vulnerabilità del 2024 siano ancora sfruttate è significativo: suggerisce che le correzioni esistono ma non sempre vengono applicate.

Insieme, queste vie mostrano perché gli strumenti perimetrali necessitano della stessa attenzione di qualsiasi altro sistema critico. Una VPN protegge il traffico solo se l'accesso ad essa è protetto, e l'appliance stessa deve essere mantenuta aggiornata.

Passi per rafforzare l'accesso VPN e i dispositivi perimetrali

Nessuno dei seguenti passi è esotico, e la maggior parte è in linea con le debolezze descritte nell'avviso.

  • Richiedere l'autenticazione a più fattori su ogni login VPN. Una password rubata da sola non dovrebbe essere sufficiente per entrare.
  • Applicare tempestivamente le patch ai prodotti SonicWall e Veeam. Verificare che le correzioni del 2024 siano state effettivamente installate, non solo pianificate.
  • Monitorare il riutilizzo delle credenziali. Confrontare le credenziali dei dipendenti con i dati di violazioni note e forzare reimpostazioni dove viene rilevata un'esposizione.
  • Esaminare i log VPN per attività insolite. Accessi a orari strani, da località inattese o da account normalmente inattivi meritano un'analisi più attenta.
  • Rimuovere gli account obsoleti. Ex dipendenti e login di collaboratori non utilizzati sono facili bersagli.
  • Proteggere i backup. Veeam è un software di backup, quindi una compromissione in quel punto può minare il ripristino. Mantenere copie isolate e testare i ripristini.

Cosa significa il conteggio di 600 vittime per organizzazioni e utenti

Per le organizzazioni, oltre 600 vittime è un promemoria che i gruppi ransomware scalano ripetendo ciò che funziona. Se un singolo login debole o un vecchio dispositivo non aggiornato è sufficiente, allora l'igiene di base è una delle difese più efficaci disponibili, e una delle più economiche.

Per gli utenti individuali, incluse le persone che si connettono a una VPN aziendale o utilizzano un servizio VPN consumer, la lezione riguarda le credenziali. Usare una password univoca per ogni account, attivare l'autenticazione a più fattori ovunque sia offerta e cambiare le password tempestivamente se un servizio utilizzato segnala una violazione. I dipendenti fanno parte della difesa, poiché i loro login sono esattamente ciò che gli attaccanti cercano.

Aiuta anche ricordare cosa succede dopo che una rete è stata compromessa. Gli operatori ransomware spesso aggiungono pressione attraverso richieste di estorsione e minacce di esporre i dati. La storia dell'estorsione ATB, in cui un gruppo che si definisce DataSuckers avrebbe richiesto 400.000 dollari con 7,9 milioni di persone dichiarate colpite, mostra come quella pressione si manifesta una volta che gli attaccanti hanno ottenuto l'accesso.

Cosa significa per te

Se gestisci sistemi IT, tratta il tuo gateway VPN e il software di backup come asset ad alta priorità. Verifica chi può accedere, conferma che l'autenticazione a più fattori sia applicata e controlla che gli aggiornamenti SonicWall e Veeam siano installati. Se sei un utente comune, proteggi i tuoi account: password univoche, MFA e azione rapida dopo qualsiasi avviso di violazione.

Punti chiave

L'avvertimento sulle credenziali VPN rubate dal ransomware SafePay è un invito a sistemare le fondamenta. Applicare l'MFA su tutti i login VPN, aggiornare i dispositivi SonicWall e Veeam senza ritardo e monitorare credenziali riutilizzate o divulgate. Gli attaccanti che possono semplicemente accedere non hanno bisogno di forzare l'ingresso, quindi rendi loro l'accesso molto più difficile.