Un attacco informatico e 50 milioni di euro in fumo … quale lezione?

Da sempre sottolineo l’importanza per un’organizzazione avere una adeguata postura in materia cyber security dal momento che l’incidente è sempre dietro l’angolo e potrebbe avere conseguenze drammatiche sulle finanze di un’azienda e sulla sua operatività.

Oggi desidero parlarvi di un caso che è stato rivelato la settimana scorsa quando l’azienda austriaca FACC, specializzata nella progettazione e produzione di componenti per l’industria aereospaziale, ha dischiarato di essere stata vittima di un attacco informatico.

L’azienda ha tra i suoi clienti nomi di spicco nell’aviazione, come i produttori Airbus e Boeing e il fatto che una simile impresa sia oggetto di un attacco informatico non sorprende gli esperti essendo le organizzazioni del settore obiettivi strategici di criminali informatici ed hacker che operano per conto di governi.

Nel caso specifico l’azienda è stata vittima di un gruppo di criminali informatici che sono riusciti a rubare circa 50 milioni di euro, come annunciato nel primo comunicato ufficiale rilasciato dall’azienda il 19 gennaio. Un successivo comunicato rilasciato dalla FACC ha fornito maggiori dettagli sull’attacco informatico e ha confermato le perdite inizialmente stimate di oltre 50 milioni di euro. Secondo la società, l’attività operativa dell’azienda non è stata inficiata dall’attacco che tuttavia ha avuto significative ripercussioni finanziarie.
L’attacco è stato mosso dall’esterno e come vedremo a breve ha sfruttato ancora una volta il fattore umano.

Secondo gli esperti l’analisi del comunicato pubblicato dalla società lascia poco spazio all’immaginazione: gli hacker potrebbero aver rubato l’ingente somma di denaro attraverso uno schema noto come Business Email Compromise (BEC), basato su e-mail malevole inviate al personale delle azienda. Esattamente un anno fa, l’organismo statunitense Internet Crime Complaint Center (IC3) e l’FBI hanno diffuso un alert relativo all’aumento di frodi basate su questa tecnica con circa 2.000 vittime.

In sostanza il BEC è un tipo di frode sofisticata che prende di mira le aziende che lavorano con fornitori esteri e / o imprese che effettuano regolarmente pagamenti attraverso bonifici bancari. Precedentemente noto come Man-in-the-E-mail scam, il BEC tecnicamente è una tipo di truffa che prevede che l’attaccante riesca a prendere possesso dell’account di posta delle vittime e cominci a operare attraverso esso per dirottare i pagamenti su conti gestiti da chi sta dietro la truffa. Tipicamente gli attaccanti usano gli account per istruire le aziende che devono effettuare pagamenti alle vittime di versare le somme di denaro su conti da loro controllati.

Altro scenario di attacco prevede che i dipendenti dell’azienda vittima dell’attacco ricevano direttamente dall’alto management aziendale istruzioni di trasferire fondi. Tipicamente le email raggiungono coloro che sono responsabili per i pagamenti all’interno dell’organizzazione presa di mira e le richieste sono così ben formulate che le email appaiono autentiche.

In ogni caso l’attaccante dietro truffe di questo tipo ha una profonda conoscenza dell’azienda obiettivo e dei flussi in essa implementati. Molto spesso gli attaccanti inviano i messaggi di posta in concomitanza di specifici eventi, come date dei viaggi d’affari dei dirigenti oppure meeting aziendali.

Quale lezione?

Il fattore umano continua ad essere l’anello più debole della catena della sicurezza dal momento simili attacchi potrebbero essere neutralizzati istruendo adeguatamente i dipendenti sulle metodiche utilizzate dai criminali informatici.
Dimostrare “leggerezza” su questo fronte mette a rischio le imprese: se pensiamo solo al caso sopradescritto, ma pressocchè tutti gli attacchi a grandi enti/organizzazioni soffrono medesime pesanti conseguenze,  l’impatto economico di una frode ben organizzata non è certo cosa da poco con 50 milioni di euro che sono una cifra tutt’altro che trascurabile anche per un’azienda finanziariamente in salute.

Ciò dimostra ancora una volta come la postura informatica di un’azienda è un parametro da tenere in debita considerazione quando valutiamo un’impresa.