In questo articolo Indice dei contenuti 2 sezioni
Nell’era in cui si parla di attacchi informatici gestiti dall’intelligenza artificiale, sono ancora le vecchie tecniche a fare la differenza. Un semplice attacco phishing telefonico, quello in cui qualcuno finge di essere un collega, continua a mietere vittime tra le grandi società finanziarie americane. Lo hanno raccontato i ricercatori di sicurezza di Google in un rapporto pubblicato giovedì, spiegando come diversi gruppi di hacker stiano prendendo di mira colossi degli investimenti con un obiettivo preciso, rubare dati sensibili e poi ricattare le aziende minacciando di renderli pubblici.
Google non ha fatto i nomi delle vittime, ma tra le società colpite ci sarebbero nomi di primo piano del private equity come Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG. Roba grossa, insomma, aziende che maneggiano capitali enormi e informazioni riservatissime.
Come funziona la truffa telefonica
Il metodo è quasi disarmante nella sua semplicità. I gruppi, che Google ha battezzato Falcon, Helix, Pink e Redact, chiamano i cellulari personali dei dipendenti spacciandosi per colleghi o per il supporto tecnico interno. Durante la telefonata cercano di convincere la vittima a inserire le proprie credenziali e i codici di autenticazione a più fattori su siti web fasulli, praticamente copie identiche di quelli veri. Nel gergo della sicurezza informatica questa tecnica si chiama voice phishing, o più semplicemente vishing.
Una volta dentro, il gioco è fatto. Alcuni di questi gruppi gestiscono addirittura siti web dove pubblicizzano i loro colpi e minacciano di diffondere i dati rubati, una strategia di estorsione ormai piuttosto diffusa tra i cybercriminali. Il tono di certi messaggi è persino cordiale, in modo inquietante. “Conduciamo ogni trattativa su basi professionali. La pubblicazione dei vostri dati non è mai la nostra soluzione preferita, è la conseguenza di un rifiuto a collaborare, di temporeggiamenti deliberati o del mancato rispetto di un accordo” si legge su uno dei siti. “Rispondete tempestivamente e in buona fede, e la questione si risolve senza ulteriori incidenti”.
Un unico grande cappello dietro i quattro gruppi
I ricercatori di Google ritengono che questi gruppi possano far parte di un collettivo più ampio, tracciato con il nome UNC6671. Non è chiaro però se si tratti di affiliati, di costole staccatesi dallo stesso gruppo o di realtà che condividono semplicemente la stessa infrastruttura di Phishing-as-a-Service. L’ipotesi degli esperti è che dietro ci sia un insieme coordinato di attori che gestisce più marchi di estorsione pubblici, forse per compartimentare le operazioni, nascondere il volume complessivo delle violazioni e isolare le eventuali ricadute delle trattative.
Non è la prima volta che questi hacker colpiscono in grande. In passato avevano preso di mira aziende manifatturiere, immobiliari, sanitarie e assicurative, oltre a società tecnologiche, dei trasporti e dell’ospitalità, sempre con l’obiettivo di sottrarre proprietà intellettuale di valore, codice sorgente di software o dati riservati di clienti importanti. Più di recente il mirino si è spostato su organizzazioni legali e finanziarie come le società di private equity. Concentrarsi su realtà coinvolte in fusioni, acquisizioni, movimenti di capitale e contenziosi, secondo Google, riflette una strategia ben studiata, quella di puntare ai dati aziendali più preziosi per aumentare la leva sulle richieste estorsive.
I numeri danno la misura del business. Un portafoglio di criptovalute collegato a uno di questi gruppi ha incassato circa 10 milioni di dollari in bitcoin nei primi mesi di quest’anno, con richieste che di solito vanno dai 750.000 ai 3 milioni di dollari a vittima. Una portavoce di CME Group ha preferito non commentare, mentre Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, KKR, Moody’s e TPG non hanno risposto alle richieste di chiarimento.
