Cisco Talos, leader tecnologico mondiale, ha diffuso il suo report trimestrale, evidenziando un aumento degli attacchi informatici alle applicazioni web. Nel terzo trimestre del 2023, il 35% delle attività di sicurezza di Cisco Talos si è focalizzato sulla mitigazione di queste minacce, registrando un incremento superiore al 10% rispetto ai tre mesi precedenti. I settori più colpiti sono stati l’Istruzione, il Settore Finanziario e la Sanità.
Attacchi alle applicazioni web
Gli attacchi alle applicazioni web e alle attività successive di compromissione hanno visto i criminali informatici sfruttare diverse tecniche dopo aver ottenuto un accesso iniziale attraverso vulnerabilità note e la mancata applicazione di patch. Tra queste tecniche si trovano le web shell, che offrono un accesso remoto a un server web, e gli attacchi brute force, che tentano di scoprire le password provando tutte le combinazioni possibili di lettere, numeri e caratteri speciali per penetrare nei sistemi informativi e accedere ai dati sensibili delle vittime.
Le principali tendenze del ransomware
Nel periodo tra ottobre e dicembre, circa il 30% degli interventi di sicurezza è stato dedicato alla gestione degli attacchi ransomware e pre-ransomware, una particolare tipologia di malware utilizzata per compromettere dispositivi e richiedere un riscatto in cambio del ripristino dell’accesso. Questo dato segnala una lieve diminuzione rispetto al trimestre precedente, quando gli interventi legati al ransomware avevano raggiunto il 40%.
Nel 75% dei casi, gli attaccanti sono riusciti a ottenere l’accesso iniziale sfruttando account validi compromessi. Inoltre, tutte le organizzazioni vittime di attacchi ransomware non avevano implementato correttamente l’autenticazione a più fattori (MFA) o avevano visto tale protezione aggirata durante l’attacco. Questo trend evidenzia il crescente rischio degli attacchi basati sull’identità e la necessità urgente di adottare sistemi di autenticazione più sicuri. Cisco Talos ha osservato anche un aumento nell’uso del ransomware BlackBasta per attacchi a doppia estorsione, una strategia che combina l’esfiltrazione di dati sensibili e la loro successiva crittografia per forzare il pagamento del riscatto.
Settori più colpiti
Il settore dell’Istruzione ha registrato quasi il 30% degli attacchi, posizionandosi al primo posto nella lista dei più colpiti, seguito dal settore Finanziario, dalla Sanità, sia pubblica che privata, e dalla Pubblica Amministrazione.
Accesso iniziale
Nel trimestre in esame, la maggior parte degli attacchi ai quali Talos IR ha risposto ha visto i criminali ottenere l’accesso iniziale sfruttando applicazioni destinate al pubblico. Questo rappresenta un cambio significativo rispetto ai trimestri precedenti, quando l’uso di account validi era tra le tecniche più comuni. L’aumento degli attacchi che sfruttano applicazioni con patch obsolete o non applicate può essere legato a questa nuova tendenza.
A partire da dicembre 2024, Cisco Talos ha registrato un’impennata degli attacchi di tipo password spraying, che hanno portato al blocco di account utente e alla negazione dell’accesso VPN. Questi attacchi si distinguono per l’elevato volume di traffico generato: ad esempio, una singola organizzazione ha segnalato quasi 13 milioni di tentativi in sole 24 ore contro account conosciuti, suggerendo che gli attacchi siano stati automatizzati.
Le raccomandazioni di Cisco Talos
Autenticazione a più fattori: è fondamentale che l’MFA venga applicata a tutti i servizi critici, inclusi quelli di accesso remoto e di gestione delle identità e degli accessi (IAM). Per proteggersi dal social engineering, Cisco Talos consiglia una formazione periodica sulla consapevolezza della sicurezza informatica.
Aggiornare regolarmente i software utilizzati: Cisco Talos consiglia le aziende e gli utenti a verificare e applicare regolarmente gli aggiornamenti software. I criminali informatici cercano costantemente vulnerabilità derivanti da patch mancanti: mantenere il software aggiornato è una delle azioni più efficaci per prevenire le compromissioni.
Le soluzioni EDR: è cruciale che le soluzioni EDR siano correttamente implementate e configurate. Oltre il 25% degli incidenti registrati nel trimestre ha visto il coinvolgimento di soluzioni EDR mal configurate o assenti. Per le organizzazioni che non hanno risorse interne per gestirle, è possibile rivolgersi ai fornitori di servizi Managed XDR, che offrono un monitoraggio attivo 24 ore su 24, 7 giorni su 7.
https://www.cisco.com/c/it_it/about/news/2025-archive/20250218.html
