Testo originariamente pubblicato su LinkedIn. I riferimenti temporali e normativi sono quelli del post originale.
Caso Revolut: vedere l’anomalia non basta ma occorre riconoscere la minaccia.
Secondo una ricostruzione pubblicata da Hudson Rock, fondata sulle informazioni fornite dal presunto autore dell’attacco al team Duel, durante la campagna contro Revolut sarebbe stato trasmesso un documento non corretto.
Il personale della società avrebbe rilevato l’irregolarità. Ma, anziché sospendere la comunicazione, avrebbe indicato al mittente come correggerla.
La circostanza non è stata confermata da Revolut e deve ancora essere accertata. Se trovasse riscontro, tuttavia, sposterebbe il problema ben oltre la compromissione di una casella istituzionale. L’anomalia sarebbe stata rilevata, ma non qualificata come segnale di minaccia.
Un dominio autentico può dimostrare la provenienza tecnica del messaggio. Non dimostra che chi utilizza la casella sia legittimato a chiedere dati personali e finanziari.
E un controllo efficace non dovrebbe valutare ogni richiesta isolatamente. Dovrebbe correlare: - identità e legittimazione effettive del richiedente; - competenza dell’autorità e giurisdizione coinvolta; - natura e quantità dei dati richiesti; - frequenza e progressione delle richieste; - incongruenze nei documenti; - precedenti anomalie associate allo stesso interlocutore.
È qui che la cyber threat intelligence diventa una funzione di governo del rischio. Non consiste soltanto nel raccogliere indicatori tecnici, credenziali compromesse o informazioni dal dark web. Deve combinare le tecniche note degli attaccanti con ciò che accade nei processi aziendali.
Un documento incongruente è un dato. Un documento incongruente inserito in una sequenza di richieste reiterate, provenienti da un’identità affidabile ma dirette a ottenere informazioni altamente sensibili, può diventare un indicatore di minaccia.
L’intelligence produce valore quando stabilisce quale combinazione di anomalie debba arrestare il processo e attivare: - verifica fuori banda mediante contatti acquisiti autonomamente; - sospensione temporanea della comunicazione; - escalation a sicurezza, antifrode, legal e privacy; - doppia autorizzazione per le disclosure più invasive; - acquisizione forense di messaggi, header, allegati e log.
Sul piano privacy, la comunicazione di dati a un soggetto non autorizzato costituisce un data breach anche se i sistemi del titolare non vengono violati. L’incidente, però, non dimostra automaticamente l’inadeguatezza delle misure: occorre valutare se i controlli fossero proporzionati al rischio e concretamente applicati.
Sul piano penale, l’anomalia non prova da sola responsabilità individuali. Può però assumere rilievo per ricostruire la riconoscibilità dell’inganno, le verifiche effettuate e le decisioni adottate. Per questo le evidenze devono essere preservate fin dal primo sospetto.
Il limite di molte organizzazioni non è non vedere le anomalie. È non avere regole capaci di trasformarle in un allarme.
Leggi il post originale su LinkedIn
Torna al blog