La complessità crescente della digitalizzazione sta trasformando in modo radicale le strategie degli hacker. Gli I Managed Service Provider (MSP) sono diventati uno dei punti strategici per attacchi su larga scala capaci di colpire centinaia di organizzazioni. Grazie ai loro accessi privilegiati e al loro ruolo centrale nell’economia digitale, i fornitori di servizi IT non sono più soltanto obiettivi per attacchi mirati, ma anche vettori di attacco a livello di supply chain.
I Managed Service Provider (MSP) occupano oggi una posizione strategica negli ecosistemi IT moderni. Il loro ruolo abbraccia la gestione infrastrutturale, di sicurezza e operativa per migliaia di organizzazioni. Molte volte operano con accessi privilegiati, permettendo interventi in profondità su sistemi, configurazioni e ambienti critici.
La natura estesa e interconnessa del loro lavoro li rende un bersaglio ideale per i cybercriminali. In effetti, negli ultimi anni non soltanto sono stati bersagli diretti, ma sono diventati sempre più punti di accesso per colpire una pluralità di organizzazioni. Questo tipo di attacco si basa sulla compromissione di una singola entità per raggiungerne molte altre, sfruttando la centralizzazione e la scala operativa.
Una Nuova Logica D'Attacco Su Fiducia, Accesso E Scala
Gli MSP rappresentano un bersaglio unico a causa della combinazione di tre elementi:
- Fiducia: operano dentro un rapporto consolidato con i clienti, effettuando aggiornamenti software, modifiche configurative e accessi da remoto.
- Accesso Centralizzato: utilizzano una sola piattaforma o poche per il servizio, quindi un attacco a un punto chiave raggiunge molteplici organizzazioni.
- Scala: con decine o centinaia di clienti, una compromissione può impattare molteplici enti.
Questa combinazione, detta tripla minaccia, ha spinto gli aggressori ad aumentare la loro attenzione sugli MSP, considerandoli uno dei punti d’ingresso privilegiati verso il mondo aziendale.
Kaseya: Un Caso che ha Riscritto le Regole
Nel 2021 il gruppo ransomware REvil ha sfruttato una vulnerabilità zero-day nella Virtual System Administrator (VSA) di Kaseya. Questo ha creato un canale per diffondere codice malevolo, infettando circa 50-60 service provider e compromettendo più di 1.000 aziende in diversi paesi.
Questo modello era innovativo: non mirava a un attacco isolato, ma sfruttava la natura connessa della supply chain. Le autorità hanno risposto a livello internazionale, sottolineando l’importanza del nodo centrale che collega più organizzazioni. I danni, in termini finanziari e reputazionali, sono stati enormi, dimostrando come una singola infrastruttura compromessa possa causare impatti globali.
Il Modello di Attacco Si Evolve
Nel 2023 il gruppo ransomware Akira ha ulteriormente ridefinito la strategia degli attacchi mirati agli MSP e ad altri fornitori IT. A differenza dei modelli precedenti, Akira non sfruttava solo le vulnerabilità software, ma mirava anche a credenziali rubate o a infrastrutture compromesse come le reti privata virtuale (VPN).
Questo tipo di approccio si basa sull’uso di identità legittime rubate, permettendo agli attaccanti di muoversi all’interno degli ambienti fidati delle istituzioni. Nei casi di MSP, questo fattore è particolarmente problematico, poiché permette l’accesso a numeri considerevoli di clienti con un unico punto di compromissione.
Ciò che Rende Particolari Gli Attacchi a Piattaforme Condivise
Il paradigma degli attacchi è andato ben oltre gli MSP. Anche software ampiamente distribuiti, piattaforme cloud e servizi condivisi sono diventati bersagli di attenzione crescente. Il caso MOVEit, ad esempio, ha mostrato come una vulnerabilità zero-day nel trasferimento dati potesse interessare migliaia di organizzazioni.
Il gruppo Cl0pha ha sfruttato questa debolezza, esfiltrando enormi quantità di dati sensibili. La sua strategia ha messo a rischio non solo le aziende direttamente colpite, ma anche quelle terziarie che utilizzavano MOVEit come intermediario. Si tratta di un esempio evidente di come la supply chain digitale sia diventata un punto caldo per attacchi estesi.
Fra Identità Rubate E Sicurezza Debole: Il Caso Snowflake del 2024
Una delle novità più significative degli ultimi anni è la vulnerabilità dell’identità digitale. Nel 2024 si è verificato un caso connesso a Snowflake, uno dei principali provider cloud per la gestione dei dati. Gli aggressori non hanno sfruttato una vulnerabilità interna di Snowflake, ma hanno utilizzato credenziali rubate, in molti casi ottenute tramite malware specializzato.
Grazie alle credenziali compromesse, sono riusciti ad accedere legalmente agli ambienti di diversi clienti di Snowflake, aggirando i controlli normali di sicurezza. Il risultato? L’esfiltrazione di grandi quantità di dati sensibili, un evento che ha evidenziato la debolezza dei controlli identitari implementati da una serie di clienti.
Quali sono le conseguenze?
Un attacco mirato a una singola infrastruttura, piattaforma o fornitore IT può oggi danneggiare una quantità di aziende che non si può ricondurre soltanto al numero di clienti diretti. Inoltre, la complessità degli ecosistemi IT rende difficile tracciare la catena precisa dell’infezione, complicando le misure di mitigazione.
Ecco perché il focus deve spostarsi verso:
- L’autenticazione multi-fattore (MFA) per prevenire accessi illegittimi.
- L’implementazione di controlli per la gestione delle identità e delle credenziali.
- L’identificazione e gestione proattiva delle vulnerabilità nelle piattaforme e nelle infrastrutture.
- Un miglior monitoraggio e reporting delle attività sospette all’interno degli ambienti IT.
Uno Scambio Di Priorità Nella Sicurezza Digitale
Il perimetro tradizionale dell’azienda non è più sufficiente: la sicurezza si è spostata verso il controllo delle relazioni, dell’identità e della supply chain. Le aziende devono oggi considerare non solo la protezione interna, ma anche i servizi, i fornitori e le piattaforme con cui interagiscono.
Questa evoluzione richiede una revisione completa delle strategie di cybersecurity, con una maggiore attenzione sulle identità digitali e sugli ambienti condivisi. Chi opera nell’ambiente digitale non può permettersi di sottovalutare questo nuovo paradigma: la vulnerabilità di un singolo fornitore può minacciare interi ecosistemi economici e sociali.