Un messaggio di phishing può mirare a una password, a una sessione già aperta o alle autorizzazioni concesse a un’applicazione. Talvolta questi accessi prolungano l’attacco oltre il primo accesso. Il rapporto europeo presentato da Proofpoint il 12 novembre rileva un forte aumento delle rilevazioni, ma i suoi dati descrivono osservazioni del fornitore, non un censimento esaustivo della criminalità.
Un aumento misurato, non un conteggio delle vittime
Proofpoint riferisce che le sue rilevazioni di phishing in Europa sono aumentate di 4,5 volte in un anno, contro 1,5 volte a livello mondiale. Questi moltiplicatori descrivono l’evoluzione delle rilevazioni nelle osservazioni dell’azienda, senza misurare direttamente il numero delle vittime.
Un altro dato descrive il comportamento di fronte ai messaggi distribuiti: gli utenti europei hanno cliccato su 8,3 messaggi malevoli ogni 100 messaggi di minaccia recapitati, contro 2 ogni 100 nel mondo. Il denominatore è qui il numero di messaggi recapitati, non quello degli abitanti o dei lavoratori. Non significa quindi che l’8,3 % degli europei sia stato vittima di un attacco informatico. Il dato fa luce su una possibile fase dell’attacco, senza indicare da solo se un clic abbia comportato una compromissione.
Proofpoint indica inoltre che il 64 % delle organizzazioni europee prese di mira da attacchi cloud cosiddetti mirati ha mostrato segni di compromissione. Questa percentuale riguarda le organizzazioni colpite da questa categoria di attacchi, non tutte le imprese europee. Questi attacchi mirati prendono di mira utenti o account specifici e possono combinare phishing e dirottamento di sessione.
Dall’account alla sessione, un’altra porta d’ingresso
Un account è l’identità digitale di una persona presso un servizio. Dopo l’autenticazione, il servizio può aprire una sessione: uno stato che consente di continuare a usare il servizio senza dover reinserire la password a ogni operazione. In un browser, questa sessione si basa spesso su un token conservato dall’applicazione, per esempio sotto forma di cookie. Un aggressore che ottiene un token di sessione valido può quindi talvolta accedere al servizio senza ripetere il normale processo di accesso.
Questa differenza spiega perché la password non esaurisce tutti gli aspetti della sicurezza di un account. Nella documentazione di Microsoft Entra, Microsoft distingue in particolare i token di accesso, i token di rinnovo e i token di sessione emessi da un’applicazione. Un token di accesso autorizza l’accesso a una risorsa per la sua durata di validità; un token di rinnovo può consentire di ottenerne un altro. Le applicazioni web possono invece gestire una propria sessione. Il controllo, quindi, non si limita sempre al provider di identità che ha verificato la password.
La revoca di un accesso non chiude necessariamente tutte le sessioni nello stesso istante. Microsoft precisa che i tempi dipendono dal tipo di token e dal modo in cui l’applicazione applica le modifiche. Un’applicazione può dover rivalutare l’accesso o sincronizzare lo stato dell’account; può anche mantenere una sessione secondo le proprie regole. In caso di sospetta compromissione, il team IT deve quindi esaminare l’account, le sessioni attive e le autorizzazioni interessate, anziché considerare la modifica della password una risposta valida in ogni caso.
Le applicazioni connesse ereditano i permessi
Lo stesso ragionamento si applica alle applicazioni collegate a uno spazio di lavoro. Un’autorizzazione consente a uno strumento di accedere a determinate risorse: per esempio documenti, posta elettronica o servizi interni. Il comunicato di Proofpoint menziona in particolare le applicazioni collegate a questi servizi tramite OAuth, un meccanismo di autorizzazione. La questione riguarda quindi l’ampiezza degli accessi concessi a ciascuno strumento.
Prima di collegare un assistente o un’applicazione, un’organizzazione può verificare se le autorizzazioni richieste corrispondono all’attività prevista e se gli accessi concessi in passato sono ancora necessari. Ridurre i permessi non necessari limita ciò che uno strumento può consultare o fare se il suo account, la sua integrazione o la sua sessione vengono dirottati. Questo controllo non blocca da solo il phishing: riduce piuttosto le possibili conseguenze di un accesso ottenuto.
Il rapporto rileva anche un aumento di 4,6 volte della quota di sensori europei che hanno rilevato attacchi contro tecnologie di intelligenza artificiale open source tra due periodi consecutivi di 90 giorni. Questa misura riguarda la quota di sensori interessati in queste finestre temporali, non il volume mondiale degli attacchi contro l’IA nel corso di un anno. Inoltre, non permette di concludere che l’IA causi l’aumento del phishing. Indica che anche le infrastrutture legate a queste tecnologie rientrano nell’ambito delle osservazioni di Proofpoint.
La risposta si gioca anche dopo l’accesso
Per i privati come per le organizzazioni, un messaggio ricevuto non deve determinare il percorso per raggiungere un servizio. In caso di richiesta inattesa, verificare direttamente dall’applicazione o dal sito abituale evita di affidarsi al link fornito. In un ambiente professionale, le misure di risposta devono tenere conto di ciò che potrebbe essere stato concesso dopo l’accesso: sessioni, token e permessi delle applicazioni, con il supporto del team IT.
Un clic e una compromissione restano due eventi distinti. Anche le protezioni dell’account, i diritti disponibili e la gestione delle sessioni determinano ciò a cui un aggressore può accedere in seguito. Il punto pratico è più preciso: proteggere l’accesso iniziale resta necessario, ma una risposta completa deve anche verificare ciò che rimane accessibile una volta effettuato l’accesso.
Riferimenti
- Proofpoint, comunicato diffuso da GlobeNewswire
- Microsoft Learn, revoca degli accessi in Microsoft Entra ID
- Clubic, phishing, cloud e IA in Europa
Una chiave hardware di autenticazione, fotografata nel 2009. Foto illustrativa: rappresenta la protezione dell’accesso iniziale, distinta dalla gestione delle sessioni e delle autorizzazioni.
