Report Cisco Talos Incident Response: in forte aumento gli attacchi informatici

Rispetto al periodo gennaio-marzo, nel secondo trimestre del 2023 risulta significativo l'aumento degli attacchi informatici.

In base ai dati pubblicati dal Report Trimestrale di Cisco Talos Incident Response (Talos IR) - la maggiore organizzazione privata di intelligence al mondo dedicata alla cybersecurity - ad avere il primato sono le estorsioni, un tipo di attacco in aumento del 25% rispetto al primo trimestre e che si dimostra molto pericoloso. Per suo tramite, infatti, i criminali informatici sottraggono i dati, e minacciano di diffonderli se la vittima non accetta di pagare una cospicua somma di denaro, senza necessità di utilizzare la crittografia.

Si pongono al secondo posto, con una crescita del 17% - contro il 10% di gennaio-marzo -  i ransomware, che si dividono in diverse famiglie tra cui 8base e MoneyMessage.

I principali target

Il settore della sanità pubblica e privata è quello maggiormente colpito di questo trimestre, seguito da quelli dei servizi finanziari e delle utility.

Nella maggior parte degli eventi a cui Talos IR ha risposto in questo periodo, i criminali informatici hanno ottenuto l'accesso iniziale utilizzando credenziali compromesse per accedere ad account validi. L'uso di account validi è stato osservato in quasi il 40% degli interventi totali, con un aumento del 22% rispetto al primo trimestre del 2023.

In più della metà degli attacchi di questo trimestre, è stata osservata PowerShell, un'utility dinamica della riga di comando, scelta frequente dei criminali informatici. Varie le ragioni: invisibilità, praticità e ampie funzionalità di gestione IT. 

I punti deboli della sicurezza

La mancanza o un'implementazione impropria dell’autenticazione a più fattori (MFA) nei servizi critici è stata responsabile di oltre il 40% degli eventi a cui Cisco Talos ha risposto in questo trimestre. In quasi il 40% dei casi, i criminali informatici hanno utilizzato credenziali compromesse per accedere ad account validi, il 90% dei quali non disponeva di MFA. In altri casi, è stato aggirato l'MFA con attacchi di esaurimento che si verificano quando l'aggressore tenta di autenticarsi ripetutamente a un account utente con credenziali valide per sommergere le vittime di notifiche push MFA, sperando che alla fine accettino per poi autenticarsi con successo.