Progettate per eludere i controlli: la superficie di attacco in espansione delle infrastrutture critiche

• Le infrastrutture critiche possono subire interruzioni a causa della rete aziendale, e i recenti casi verificatisi nel settore sanitario pubblico dimostrano come una singola azione di un utente che coinvolga un file dannoso possa innescare una reazione a catena che porta a un’interruzione operativa.
• L'e-mail rimane uno dei punti di accesso più trafficati della superficie di attacco: un canale che, per sua stessa natura, raggiunge su larga scala sia i dispositivi che le persone che li utilizzano.
• Gli ambienti “air-gapped” dipendono comunque dai contenuti provenienti dal lato connesso, il che rende fondamentale l’ispezione a monte prima che i file entrino in sistemi più sensibili.
• L'innovazione è fondamentale per la resilienza, ma ogni nuovo fornitore, integrazione e canale di aggiornamento dovrebbe essere pianificato con la stessa attenzione riservata al vantaggio operativo che ne deriva.
• Una strategia di difesa concepita per questa realtà considera la sicurezza della posta elettronica come uno dei pilastri di un modello olistico e a più livelli, che analizza e riduce i rischi prima che il contenuto raggiunga il destinatario, sia esso una persona o una macchina.

Nel settore delle infrastrutture critiche, l’isolamento è stato spesso considerato come l’obiettivo finale della sicurezza: basta segmentare la rete, isolare fisicamente i sistemi più sensibili e il problema è risolto. Tuttavia, le operazioni aziendali si svolgono al di fuori del nucleo isolato: pianificazione, logistica, fatturazione, registri storici dei processi, monitoraggio. Anche quell’area costituisce una superficie di attacco.

Quindi, la questione non riguarda solo ciò che si trova oltre l’air gap, ma anche ciò che può essere compromesso prima che qualsiasi cosa vi raggiunga. Per molte organizzazioni che gestiscono infrastrutture critiche, tra cui ospedali, banche e reti di trasporto che non potrebbero funzionare a pieno regime se isolate da un air gap, la rete aziendale rappresenta una parte fondamentale del proprio sistema informatico.

E quell’area presenta un punto di accesso particolarmente trafficato. L’e-mail è uno dei punti di accesso più trafficati della superficie di attacco, un canale che ogni organizzazione mantiene aperto per necessità, poiché è attraverso di esso che arriva il lavoro: aggiornamenti dei fornitori, documenti degli appaltatori, il foglio di calcolo che dà il via a un progetto. Essa comporta una doppia minaccia: raggiunge i computer con file e link che vengono eseguiti e raggiunge le persone con la persuasione che induce ad aprire quei file. Pochi canali offrono entrambe le cose su una scala simile. I casi riportati di seguito sono di dominio pubblico e mostrano come la posta elettronica, i file dannosi o le azioni di utenti fidati possano diventare il primo passo verso un’interruzione operativa più ampia.

L’Health Service Executive irlandese è una delle poche vittime ad aver scelto la piena trasparenza, commissionando e pubblicando una relazione indipendente; proprio per questo è possibile analizzare il caso nei minimi dettagli. Nel marzo 2021, un utente ha interrotto con un’e-mail di phishing che ha infettato una postazione di lavoro con un malware. Gli autori dell’attacco hanno poi operato all’interno dell’ambiente per otto settimane prima di attivare il ransomware, sfruttando quel tempo per compromettere server e account con privilegi, muoversi lateralmente ed esfiltrare dati prima che l’interruzione diventasse visibile su scala nazionale. Il servizio sanitario ha disattivato i propri sistemi informatici per contenere la diffusione. Gli ospedali sono tornati a utilizzare carta e penna, gli appuntamenti sono stati cancellati in tutto il Paese, il ripristino ha richiesto più di quattro mesi e il costo della riparazione è stato stimato in 102 milioni di euro a novembre 2024.

Un problema di sicurezza delle e-mail raramente rimane confinato alla sola posta elettronica; può infatti innescare una reazione a catena che porta a interruzioni operative e aziendali, con conseguenze anche finanziarie. Nel 2024, Ascension ha riferito che un dipendente ha scaricato un file dannoso in quello che l’organizzazione ha definito un errore in buona fede. L’incidente ha costretto una delle più grandi reti ospedaliere degli Stati Uniti a deviare le ambulanze, a rinviare le cure e, in seguito, a segnalare che 5.599.699 persone erano state colpite.

Uno scenario che i responsabili della sicurezza dovrebbero prendere in considerazione è quello in cui all’inizio non accade nulla, in cui l’autore dell’attacco si insedia all’interno della rete aziendale e legge: diagrammi di rete, documenti tecnici, credenziali, programmi di manutenzione, i flussi di lavoro di trasferimento stessi. E quando la lettura si trasforma in azione, le conseguenze possono estendersi al mondo fisico. È così che, secondo quanto riportato, si è svolto l’attacco del 2015 alla rete elettrica ucraina: i resoconti pubblici e le analisi tecniche descrivono una precedente compromissione delle reti aziendali tramite e-mail di spear-phishing contenenti il malware BlackEnergy, seguita da ricognizione, furto di credenziali e interruzione coordinata delle sottostazioni. L’incidente ha colpito circa 225.000 clienti. Un messaggio considerato attendibile, un’azione di routine, molteplici conseguenze operative.

Le infrastrutture critiche stanno innovando perché non hanno altra scelta. Il panorama delle minacce si sta aggravando, le aspettative in termini di disponibilità sono in aumento e la resilienza dipende sempre più da sistemi più intelligenti e interconnessi. Una sottostazione che ha funzionato con la stessa logica per vent’anni ora può trasmettere i dati a sistemi di analisi nel cloud, una pompa che veniva controllata manualmente una volta per turno ora può inviare in streaming i dati telemetrici a un fornitore e la manutenzione, che prima attendeva il verificarsi di un guasto, ora può essere guidata da previsioni basate sull’intelligenza artificiale e sull’apprendimento automatico. Questi miglioramenti non sono distrazioni facoltative; rappresentano il modo in cui le infrastrutture critiche riescono a stare al passo con i tempi. L’opportunità è significativa, a condizione che il modello di sicurezza si evolva di pari passo con la tecnologia che lo circonda.

Ogni ondata di innovazione comporta un cambiamento: nuovo codice, nuove integrazioni, nuovi fornitori, canali di aggiornamento e nuovi percorsi di accesso remoto. Con un piano accurato, tale cambiamento può essere gestito. I responsabili della sicurezza possono definire come si muovono i dati, come si collegano i fornitori, come vengono convalidati gli aggiornamenti e dove i contenuti vengono ispezionati prima di raggiungere i flussi di lavoro sensibili. Il rischio non è l’innovazione in sé, ma la fiducia non pianificata. Ogni nuovo fornitore e appaltatore può creare una nuova relazione via e-mail, con allegati, fatture e avvisi di aggiornamento che gli utenti sono tenuti ad aprire. La superficie di esposizione si espande, così come il numero di punti di ingresso attraverso i quali qualcosa di non attendibile può arrivare apparendo legittimo.

Cosa succede, quindi, quando la modernizzazione procede più velocemente delle difese progettate per contrastarla? È questo l’effetto cumulativo: anche se le capacità degli aggressori si fermassero oggi, l’esposizione potrebbe comunque aumentare, poiché l’ambiente continua ad acquisire nuovi punti di connessione. L’intelligenza artificiale e l’apprendimento automatico possono migliorare la resilienza operativa sul fronte difensivo, ma nemmeno le capacità degli aggressori mostrano segni di rallentamento. L’intelligenza artificiale può accelerare la ricerca, l’individuazione degli obiettivi e l’iterazione sul fronte offensivo, rendendo la sicurezza pianificata e adattiva parte integrante di un’innovazione responsabile, piuttosto che un ostacolo alla stessa.

Pochi operatori sono in grado di prevedere con esattezza come sarà il proprio ambiente tra cinque anni, quindi l’architettura di sicurezza odierna potrebbe già trovarsi a difendere la topologia di ieri. L’obiettivo non è rallentare l’innovazione, ma garantire che la sicurezza si evolva di pari passo con essa. L’isolamento rimane importante, ma funge da singolo livello all’interno di un modello di resilienza più ampio, piuttosto che rappresentare la soluzione definitiva.

I responsabili della sicurezza spesso valutano una minaccia ponendosi tre domande: l’avversario ha l’intenzione, la capacità e l’opportunità? Per molti ambienti di infrastrutture critiche, la risposta a tutte e tre le domande è sempre più spesso “sì”.

• Obiettivo: le infrastrutture critiche sono prese di mira deliberatamente da soggetti ostili che effettuano ricerche approfondite sulle proprie vittime, ed è probabile che continuino a rappresentare un obiettivo allettante poiché il potenziale guadagno giustifica lo sforzo.
• Capacità: gli attacchi sono sempre più industrializzati, con l’intelligenza artificiale che riduce i costi di creazione, test e rotazione delle campagne.
• Opportunità: la superficie di attacco cambia man mano che l’innovazione collega sistemi che prima erano autonomi e i contenuti continuano a superare i confini ancora esistenti.

Alla base di tutte e tre queste dinamiche si trovano le stesse due costanti: le persone continueranno ad affidarsi alla posta elettronica, perché è essenziale per garantire il funzionamento delle attività, e i contenuti continueranno a superare molti dei confini che tracciamo, perché è così che funzionano le aziende.

Una difesa pensata per questa realtà ha una struttura ben definita. Considera la sicurezza delle e-mail come uno dei punti di accesso più trafficati del perimetro e le assegna risorse adeguate, in quanto pilastro di un modello olistico. Prevede controlli a più livelli in quel punto di accesso, ciascuno con una funzione specifica, in modo che il contenuto venga ispezionato e il rischio ridotto prima che un lettore, umano o macchina, vi acceda. Utilizza analisi assistite dall’intelligenza artificiale all’interno del ciclo operativo per una correlazione più rapida, una classificazione più veloce e un apprendimento più rapido dai tentativi bloccati, avvicinandosi al ritmo imposto dagli aggressori. Inoltre, considera il miglioramento continuo come parte integrante di una modernizzazione responsabile, poiché il panorama delle minacce è in continua evoluzione.

La domanda che vale la pena porsi nel proprio contesto è semplice: quando i contenuti si spostano verso i sistemi che meno ci si può permettere di perdere, qual è l’ultimo punto in cui vengono effettivamente controllati, e quel punto sarebbe in grado di riconoscere contenuti progettati per apparire sicuri e affidabili? Per molte organizzazioni, risalire alla fonte di quei contenuti spesso porta allo stesso punto: la casella di posta in arrivo.