Una minaccia interna con una svolta inaspettata
La maggior parte dei titoli sul ransomware parla di email di phishing, porte di desktop remoto esposte o software non aggiornato. Il complotto contro Tesla è stato diverso. Secondo le ricostruzioni del caso, un uomo di nome Kriuchkov ha avvicinato un dipendente della Gigafactory Nevada di Tesla con una proposta: aiutarlo a installare malware personalizzato all'interno della rete interna dell'azienda, e i suoi complici avrebbero fatto il resto, sottraendo dati sensibili per poi chiedere un riscatto dietro minaccia di divulgazione pubblica.
Si tratta di un classico schema di ransomware a doppia estorsione, del tipo in cui gli aggressori rubano i dati prima di cifrarli o minacciarne la fuga di notizie, dando alla vittima due motivi per pagare invece di uno. Ciò che ha reso questo caso insolito è stato il metodo di consegna. Invece di malware inviato tramite un allegato dannoso, gli aggressori hanno cercato di reclutare un essere umano che aveva già accesso legittimo alla rete. I resoconti indicano che al dipendente furono inizialmente offerti 500.000 dollari per partecipare, somma poi aumentata a 1 milione di dollari, cifra abbastanza alta da segnalare quanto valore gli aggressori attribuissero ai dati interni di Tesla.
Perché il dipendente ha denunciato invece di prendere i soldi
Il piano fallì perché il dipendente preso di mira decise di avvisare Tesla e le forze dell'ordine anziché accettare la tangente. Quella decisione, più di qualsiasi firewall o prodotto antivirus, è ciò che ha fermato sul nascere l'attacco. Una volta informata, l'FBI è intervenuta e il complotto è stato sventato prima che qualsiasi malware toccasse i sistemi Tesla.
Vale la pena soffermarsi un attimo su questo. Ogni difesa tecnica che un'azienda costruisce – segmentazione della rete, rilevamento degli endpoint, backup cifrati – esiste per fermare aggressori che sono già entrati nel perimetro o che tentano di entrare dall'esterno. Nessuno di questi strumenti conta molto se un dipendente con credenziali valide accetta di aprire volontariamente la porta. L'unica vera difesa contro uno scenario del genere è una cultura aziendale in cui i dipendenti si sentano sicuri, e persino incentivati, a segnalare immediatamente approcci sospetti.
Questo ci ricorda anche che le catene di fornitura e gli ecosistemi di partner allargano la superficie d'attacco ben oltre i dipendenti diretti di un'azienda. La violazione di Tata Electronics che ha esposto file di Apple e Tesla sul dark web mostra uno schema correlato: per compromettere dati aziendali sensibili non è necessario rubarli direttamente dall'azienda bersaglio. Un fornitore, un appaltatore o un consulente con controlli di sicurezza più deboli può diventare la via di minor resistenza per aggressori che non riescono a reclutare direttamente un insider.
Il caso aziendale per la consapevolezza sulle minacce interne
Le aziende spendono budget enormi per la sicurezza perimetrale, mentre i programmi contro le minacce interne spesso ricevono molta meno attenzione. Eppure tentativi di reclutamento di insider come quello contro Tesla non richiedono alcun exploit tecnico. Si basano interamente sulle decisioni umane sotto pressione finanziaria o tentazione.
Alcune pratiche rendono le organizzazioni più resilienti a questo tipo di approccio:
- Canali di segnalazione chiari e ben pubblicizzati, affinché i dipendenti sappiano esattamente chi contattare se qualcuno offre loro denaro per accessi, credenziali o aiuto per aggirare i controlli di sicurezza.
- Formazione regolare che copra specificamente i tentativi di ingegneria sociale e corruzione, non solo le email di phishing.
- Una cultura in cui segnalare un contatto sospetto è considerato un atto positivo, non un'ammissione di colpa, così che i dipendenti non abbiano paura di farsi avanti.
- Policy di accesso con privilegi minimi, che limitano il danno che un singolo account compromesso, umano o tecnico, potrebbe effettivamente causare.
Nessuna di queste misure è costosa se paragonata al potenziale costo di un attacco di doppia estorsione riuscito, che può includere il pagamento del riscatto, multe normative, esposizione legale e danni reputazionali duraturi.
Cosa significa per te
Che tu gestisca una piccola impresa o lavori nell'IT per una grande azienda, il caso Tesla è un utile stress test per la tua postura di sicurezza. Chiediti se i tuoi dipendenti saprebbero cosa fare se qualcuno offrisse loro denaro per installare una chiavetta USB, condividere una password o chiudere un occhio mentre un "consulente" accede a un sistema riservato. Se la risposta non è chiara, è una lacuna da colmare prima che un aggressore la trovi.
Ribadisce anche perché il rischio di esposizione dei dati non si limita alla propria rete. Come ha dimostrato l'incidente di Tata Electronics, file sensibili legati a grandi aziende possono emergere attraverso violazioni di terze parti completamente al di fuori del loro controllo diretto. Verificare le pratiche di sicurezza dei fornitori non è più un optional per le organizzazioni che trattano proprietà intellettuale di valore o dati dei clienti.
Spunti operativi
- Stabilire un processo di segnalazione semplice e anonimo per i dipendenti avvicinati con offerte di corruzione o reclutamento come insider.
- Addestrare il personale a riconoscere le tattiche di ingegneria sociale che prendono di mira le persone, non solo i sistemi.
- Applicare l'accesso con privilegi minimi, in modo che nessun singolo dipendente possa compromettere da solo l'infrastruttura critica.
- Verificare la sicurezza dei fornitori e della catena di approvvigionamento, poiché terze parti possono far trapelare dati sensibili anche quando le proprie difese reggono.
Il caso Tesla si è concluso bene perché un dipendente ha fatto la scelta giusta. Costruire un ambiente di lavoro in cui quella decisione sia facile, attesa e premiata è una delle difese contro il ransomware più efficienti che qualsiasi organizzazione possa mettere in atto.
