L’intervento tempestivo del SOC 24/7 di Cyberlys presso un cliente ha portato all’identificazione di un hacker che ha preso di mira gli account aziendali di numerose realtà in tutto il Triveneto.
Nell’attuale panorama della cybersecurity, le violazioni degli account aziendali rappresentano una delle minacce più frequenti e pericolose. Un singolo accesso compromesso può scatenare una catena di eventi critici, mettendo a rischio dati sensibili e operazioni aziendali.
Questa problematica ha colpito recentemente diverse aziende nel territorio del Triveneto, dove un singolo threat actor ha preso di mira gli account di posta di alcune figure aziendali sfruttando la mancanza di misure preventive adeguate e la scarsa consapevolezza del personale.
Procederemo ora ad analizzare un caso emblematico per capire come il Security Operations Center attivo 24/7 di Cyberlys interviene in queste situazioni, sempre più frequenti nel Triveneto e parte di una tendenza in crescita.
Dalla compromissione alla segnalazione: come inizia un incident
Tutto ha inizio con il furto di credenziali di un ignaro utente. I metodi più comuni di compromissione includono data breach con password in chiaro, in cui le credenziali vengono acquistate nel dark web dal threat actor, oppure attacchi di phishing, in cui la password viene rubata mediante login fasulli, collegati a e-mail o file malevoli (approfondisci il tema con gli altri articoli del nostro Cyber Lab).
Una volta ottenute le credenziali, il criminale può sfruttarle immediatamente o attendere il momento opportuno per sferrare l’attacco. L’allarme spesso scatta non dall’azienda colpita, ma dai suoi fornitori, che ricevono e-mail sospette inviate dall’account compromesso. Il dipendente, inconsapevole di aver subito un attacco, viene informato da colleghi o partner commerciali, scoprendo che la sua casella di posta è stata utilizzata per scopi illeciti.
Nel caso descritto in questo articolo, l’azienda colpita è stata informata da un’altra azienda fornitrice, che ha notato un flusso di e-mail insolito nella corrispondenza quotidiana con un dipendente. Queste e-mail “sospette” contengono spesso richieste insolite e improvvise, come bonifici o trasferimenti di denaro verso conti correnti all’estero.
L’intervento del SOC: analisi e contenimento della minaccia
Una volta ricevuta la segnalazione, l’azienda contatta il supporto tecnico di Cyberlys. Il team Professional Services (PS) interviene per una prima diagnosi, seguendo il protocollo del SOC. In questa fase viene effettuata una verifica della casella di posta per individuare eventuali regole di inoltro sospette e accessi anomali. Se viene riscontrata un’attività insolita, il tecnico procede immediatamente al reset delle credenziali e all’attivazione dell’MFA, se non già attiva.
Il ticket viene poi inoltrato al SOC, dove viene analizzato al livello 1 per una verifica dei log di Microsoft 365 e della catena di attacco. Se emergono criticità significative, come la compromissione di un account con privilegi amministrativi, il caso viene scalato direttamente al livello 2, dove si approfondisce l’analisi su permessi, policy di sicurezza e possibili movimenti laterali nella rete aziendale.
Tecniche avanzate di persistenza: come si nasconde l’attaccante?
Dopo aver ottenuto l’accesso, il criminale adotta tecniche avanzate per mantenere la propria presenza nel sistema. Tra le strategie più comuni ci sono l’installazione di applicazioni non autorizzate su Azure/M365 per duplicare la casella e-mail della vittima e la creazione di regole che spostano automaticamente la posta in cartelle nascoste, evitando così che l’utente si accorga dell’intrusione.
Queste tecniche rendono difficile individuare l’attacco, poiché le e-mail inviate dall’account compromesso escono dai server legittimi di Microsoft, facendo apparire le comunicazioni perfettamente lecite. Inoltre, molti attaccanti configurano una MFA alternativa, assicurandosi di non essere disconnessi anche nel caso in cui l’utente originale tentasse di recuperare l’accesso.
Bonifica e ripristino: l’intervento completo del SOC
Dopo aver individuato le anomalie, il SOC procede con la bonifica dell’account compromesso. La prima azione è la rimozione delle applicazioni non autorizzate e delle regole di inoltro fraudolente. Segue un reset completo delle sessioni attive e un controllo accurato degli accessi recenti per verificare che il criminale non abbia lasciato backdoor nel sistema.
Durante questa fase, si lavora anche sulla revisione delle policy di sicurezza per prevenire future compromissioni. Nel caso di aziende che operano in settori critici, come quelle colpite recentemente in Triveneto, Cyberlys incoraggia l’implementazione di strumenti avanzati di monitoraggio, come soluzioni di Managed Detection & Response (MDR) o Managed Extended Detection and Response (MxDR) per individuare in tempo reale le anomalie.
In particolare, la soluzione MXDR integra un SIEM, che permette di raccogliere e correlare i log di sicurezza da più fonti aziendali, individuando anomalie e comportamenti sospetti prima che possano evolversi in attacchi.
Monitoraggio post-attacco e strategie di prevenzione
Nelle 48 ore successive all’incidente, il SOC monitora attentamente l’account compromesso, verificando eventuali nuovi tentativi di accesso. Spesso gli attaccanti cercano di riottenere il controllo, ma grazie alle contromisure adottate questi tentativi risultano inefficaci.
Cyberlys offre inoltre la possibilità di ottenere un report dettagliato con l’analisi completa della kill chain, l’identificazione delle fonti dell’attacco e raccomandazioni strategiche per rafforzare la sicurezza aziendale, garantendo una maggiore consapevolezza sulle minacce e sulle misure di protezione adottabili.
Il valore del SOC e delle soluzioni per la sicurezza proattiva
La gestione della sicurezza informatica non si limita alla sola risposta agli incidenti, ma deve comprendere un approccio proattivo che riduca il rischio di compromissione. Il monitoraggio continuo delle attività sospette, la gestione delle configurazioni di sicurezza e l’implementazione di policy efficaci sono fondamentali per proteggere l’infrastruttura IT aziendale.
L’adozione di strumenti avanzati come MDR e MXDR, affiancati a una corretta igiene digitale e alla formazione degli utenti, permette di individuare e bloccare le minacce prima che possano causare danni concreti. Inoltre, l’integrazione di un SIEM, integrato nell’MXDR di Cyberlys, consente di raccogliere e correlare eventi di sicurezza in tempo reale, offrendo una visione chiara degli attacchi in corso e delle vulnerabilità esistenti.
L’importanza della consapevolezza
La sicurezza informatica non è un intervento isolato, ma un processo continuo che coinvolge tecnologia, processi e persone. Per garantire la protezione del proprio business, è essenziale:
- Adottare un approccio proattivo alla sicurezza, con strumenti di monitoraggio e analisi delle minacce.
- Implementare l’MFA e una gestione rigorosa delle credenziali, riducendo il rischio di compromissione degli account.
- Investire nella formazione del personale, affinché gli utenti diventino una prima linea di difesa contro il phishing e le tecniche di ingegneria sociale.
L’ondata di compromissioni aziendali descritta in questo articolo dimostrano che la cybersecurity non può più essere trascurata. Ogni azienda deve valutare con attenzione la propria postura di sicurezza e adottare misure concrete per ridurre i rischi. Un SOC ben strutturato non è solo un alleato nella risposta agli incidenti, ma un pilastro fondamentale per la cyber resilience nel lungo termine.
LEGGI ANCHE: Infostealer: mitigare il rischio grazie a un SOC
