Un endpoint senza protezione è diventato l'anello debole

Un incidente ransomware Interlock recentemente documentato, riportato da Sophos, offre una chiara illustrazione di un problema che i team di sicurezza segnalano da mesi: un singolo endpoint non protetto può dare agli aggressori tutto il tempo necessario per rubare credenziali e insediarsi prima che qualcuno se ne accorga. Secondo Sophos, l'incidente si è verificato perché un dispositivo privo di protezione endpoint ha permesso al gruppo Interlock di operare senza attivare i tipi di allarme che normalmente segnalerebbero comportamenti sospetti su una macchina monitorata.

Quella lacuna è stata determinante. Senza un software di sicurezza a monitorare l'endpoint, gli aggressori hanno avuto spazio per muoversi lentamente e deliberatamente, raccogliendo credenziali di accesso e predisponendo meccanismi per mantenere l'accesso alla rete molto tempo dopo la compromissione iniziale. È un promemoria che gli operatori ransomware fanno sempre meno affidamento sullo sfondare le difese e sempre più sulla raccolta silenziosa delle chiavi che consentono loro di entrare dalla porta principale.

Perché le credenziali rubate sono il vero bottino

Il caso Interlock rientra in un modello che Sophos documenta da tempo. Una precedente ricerca di Sophos ha rilevato che il 79% dei ransomware parte da credenziali rubate, un dato che sottolinea quanto il furto d'identità sia diventato centrale nelle moderne operazioni ransomware. Un altro report di Sophos è andato oltre, identificando i login compromessi come principale punto d'ingresso del ransomware, superando le vulnerabilità software come metodo preferito dagli aggressori.

L'incidente Interlock mostra perché questo cambiamento sia sensato dal punto di vista degli aggressori. Sfruttare una falla software richiede spesso tempi precisi e può far scattare i sistemi di rilevamento progettati per individuare tentativi insoliti di sfruttamento. Rubare una credenziale valida e usarla per accedere, al contrario, può apparire come un'attività utente normale, specialmente su un endpoint senza software di protezione in esecuzione che segnali l'anomalia. Una volta dentro, gli aggressori non hanno bisogno di forzare l'accesso attraverso la rete; possono muoversi utilizzando account che hanno già un accesso legittimo.

Ciò è in linea anche con risultati più ampi relativi all'identità. Un recente report Sophos ha rilevato che il 71% delle organizzazioni a livello mondiale ha subito almeno una violazione legata all'identità nel 2025, rafforzando il fatto che il furto di credenziali non è una tecnica di nicchia riservata ad attori sofisticati. È diventata la strategia di ingresso predefinita per un'ampia gamma di gruppi ransomware, Interlock compreso.

La persistenza è la seconda metà del problema

Rubare una credenziale è utile per un aggressore solo se può continuare a usarla, o sostituirla con un altro modo per entrare una volta che l'account originale viene bloccato. Questo è il secondo elemento che Sophos ha evidenziato in questo incidente: l'endpoint non protetto ha dato a Interlock abbastanza tempo ininterrotto per stabilire meccanismi di persistenza, costruendo essenzialmente una backdoor che consentirebbe loro di tornare anche se le credenziali rubate venissero infine scoperte e revocate.

Questo processo in due fasi, furto di credenziali seguito dalla persistenza, è ciò che separa un incidente contenuto da uno prolungato. Un'organizzazione che rileva rapidamente l'uso improprio delle credenziali può spesso interrompere l'accesso prima che si verifichino danni gravi. Ma quando non c'è monitoraggio sul dispositivo interessato, gli aggressori possono completare entrambi i passaggi prima che i difensori si accorgano che qualcosa non va. Altri incidenti al di fuori dell'ambito ransomware seguono un arco simile; un singolo computer compromesso presso Plaza Home Mortgage è bastato a far scattare un'indagine per violazione dei dati che ha coinvolto i numeri di previdenza sociale dei clienti, mostrando come un singolo punto debole in un ambiente altrimenti sicuro possa essere tutto ciò che serve.

Cosa significa per te

Per gli utenti quotidiani e le piccole organizzazioni, la lezione dell'incidente Interlock non è astratta. La protezione endpoint non è solo una voce da spuntare in ambito aziendale; è lo strato che trasforma una potenziale compromissione di più settimane in un rilevamento in giornata. Se gestisci dispositivi, che si tratti di laptop personali o di una piccola rete d'ufficio, una macchina non protetta connessa a risorse condivise è una responsabilità per tutti sulla rete, non solo per il suo proprietario.

L'igiene delle credenziali è altrettanto importante. Riutilizzare le password su più account, saltare l'autenticazione a più fattori o lasciare attivi vecchi account dopo che qualcuno lascia un'organizzazione offre agli aggressori più opportunità di infiltrarsi usando login rubati invece di sfruttare bug software. Questa tendenza non è isolata a Interlock; fa eco a incidenti più ampi che hanno fatto notizia di recente, incluso il mix di casi di spionaggio Zimbra russi ed estorsione a Stadler Rail che hanno attirato l'attenzione su quanto siano vari e persistenti questi attacchi basati sulle credenziali.

Passi pratici da intraprendere

Assicurati che ogni dispositivo che si connette a sistemi sensibili, inclusi i computer personali utilizzati per il lavoro remoto, abbia una protezione endpoint attiva. Applica l'autenticazione a più fattori ovunque sia supportata, poiché riduce il valore di una password rubata. Controlla regolarmente gli account per credenziali inutilizzate o orfane e monitora modelli di accesso insoliti invece di presumere che un nome utente e una password validi significhino un utente legittimo.

L'incidente Interlock è un caso di studio utile proprio perché non è esotico. Non ha richiesto un exploit innovativo o uno zero-day avanzato. Ha richiesto un endpoint senza protezione e abbastanza tempo per rubare quelle che sembravano normali credenziali di accesso. Colmare questa lacuna è assolutamente alla portata della maggior parte delle organizzazioni e farlo rimane una delle difese più efficaci contro i gruppi ransomware che hanno chiaramente deciso che le credenziali, non il codice, sono la via più semplice per entrare.