Chiedete a un fornitore di sicurezza del ransomware e otterrete quasi sempre la stessa risposta: il loro prodotto lo ferma. Questo articolo non è quella risposta. La cifratura dei vostri server avviene molto al di sotto del livello di autenticazione, quindi è legittimo chiedersi se un prodotto di autenticazione sia perfino pertinente. La risposta onesta è: per il modo in cui la maggior parte degli incidenti ransomware comincia davvero, sì — e per una minoranza significativa di essi, no. Distinguere i due casi vale dieci minuti.
Il ransomware raramente forza l’ingresso. Effettua l’accesso.
Anno dopo anno, il sondaggio State of Ransomware di Sophos individua le stesse due cause principali che si alternano al primo posto: credenziali compromesse e vulnerabilità sfruttate. In altre parole, in circa la metà degli incidenti reali l’attaccante non ha violato alcun software. Ha effettuato l’accesso con una password valida, attraverso una porta d’ingresso che non chiedeva nient’altro.
Tre casi ben documentati mostrano cosa significhi in pratica.
- Colonial Pipeline, 2021. L’attacco che ha fermato il più grande oleodotto di carburante degli Stati Uniti è iniziato con un’unica password di un account VPN legacy. L’account non era più in uso attivo ma funzionava ancora, la password era emersa in un dump di credenziali trapelate e la VPN non aveva un secondo fattore. Nessun exploit, nessun malware sul perimetro: un modulo di login ha fatto esattamente ciò che gli è stato chiesto.
- Change Healthcare, 2024. La violazione che ha paralizzato i pagamenti sanitari negli Stati Uniti è iniziata quando gli attaccanti hanno effettuato l’accesso a un portale di accesso remoto Citrix con credenziali rubate. La policy interna dell’azienda richiedeva l’MFA sui sistemi esterni; quel portale non l’aveva. Gli attaccanti hanno poi passato nove giorni a muoversi nella rete prima di distribuire il ransomware — su quei nove giorni torneremo più avanti.
- MGM Resorts, 2023. Gli attaccanti hanno convinto un help desk a reimpostare le credenziali di un dipendente che avevano studiato su LinkedIn, poi hanno distribuito un ransomware che ha messo fuori uso slot machine, chiavi delle camere e prenotazioni, con un costo che MGM ha stimato vicino ai 100 milioni di dollari. Qui la lezione è più profonda: l’MFA esisteva, ma un secondo fattore che un help desk può reimpostare con una sola telefonata è forte solo quanto quella telefonata.
Nessuno di questi casi è iniziato con un server privo di patch. Tutti e tre sono iniziati con un account.
I giorni nel mezzo
Il ransomware è l’ultimo passo di un’intrusione, non il primo. In Change Healthcare sono passati nove giorni tra il primo accesso e la cifratura. Quella finestra è il momento in cui gli attaccanti fanno il lavoro che rende il ransomware devastante: muoversi lateralmente su RDP e SSH, raccogliere credenziali di amministratore, raggiungere i backup.
Quasi tutto quel movimento avviene con account rubati, perché effettuare l’accesso fa meno rumore che sfruttare una falla. Ciò significa che ogni accesso interno che richiede un’approvazione resistente al phishing non è solo una serratura: è un filo d’inciampo. Una richiesta di approvazione che arriva sul telefono di un amministratore per un accesso che non ha mai avviato è uno dei segnali di violazione più precoci e chiari che un’organizzazione possa ricevere, in un momento in cui l’incidente è ancora un accesso non autorizzato e non ancora una richiesta di riscatto.
Cosa l’MFA onestamente non può fermare
Ora l’altra metà della verità. Nel 2023 il gruppo Cl0p ha condotto una campagna di estorsione di massa attraverso uno zero-day di tipo SQL injection in MOVEit Transfer, un prodotto di managed file transfer. Migliaia di organizzazioni sono state colpite. Nessuna credenziale è stata sottratta con il phishing e nessuna richiesta è stata approvata, perché l’exploit non ha mai toccato il livello di autenticazione.
L’autenticazione non può aiutare quando l’attaccante aggira il login invece di attraversarlo: una falla di esecuzione remota di codice senza autenticazione in un’appliance esposta, un exploit del kernel che eleva i privilegi su una macchina già raggiunta. Quel territorio appartiene a patching, segmentazione della rete, rilevamento sugli endpoint e backup offline — si veda la guida #StopRansomware della CISA per l’elenco completo. Un fornitore di autenticazione che affermi di «fermare il ransomware» tout court sta vendendo oltre il confine di ciò che l’autenticazione fa.
Dove si inserisce Notakey
Notakey copre le vie d’ingresso su cui sono stati costruiti i casi qui sopra — come un livello di una difesa in profondità, non come sostituto degli altri.
- Le porte d’ingresso più comuni ottengono un vero secondo fattore. VPN tramite RADIUS, accessi Windows compreso il desktop remoto, SSH su Linux — le guide pratiche coprono la 2FA su un VPN, il desktop remoto di Windows e l’SSH tramite PAM. Una password VPN trapelata, da sola — l’intero punto d’ingresso di Colonial Pipeline — non apre nulla.
- Le approvazioni sono leggibili, così quelle inattese saltano all’occhio. Ogni richiesta mostra esattamente ciò che si sta approvando: quale sistema, quale azione, da dove. Una richiesta che l’utente non ha mai avviato è visibilmente non sua — il filo d’inciampo della sezione precedente, nei giorni in cui un’intrusione può ancora essere fermata.
- La chiave non può essere reimpostata con una telefonata. Viene generata nell’hardware sicuro del telefono e non lo lascia mai. Non c’è alcun segreto condiviso che un help desk possa leggere a un interlocutore convincente, ed è esattamente la falla che gli attaccanti di MGM hanno sfruttato.
Cosa Notakey non fa: applicare le patch alla vostra appliance Citrix, rilevare un exploit del kernel o ripristinare i vostri backup. Se un fornitore vi dice che un solo prodotto fa tutto questo, tenete una mano sul portafoglio.
Vedetelo con i vostri occhi
Il modo più rapido per giudicare il flusso di approvazione è usarlo una volta: leggere e firmare un’azione specifica dal vostro telefono, invece di toccare una richiesta priva di contesto.
Provate la demo dal vivo per firmarne una in circa due minuti, oppure richiedete una demo e mapperemo i vostri accessi VPN, SSO o Windows su un progetto pilota sulla vostra infrastruttura.