Secondo una nuova ricerca promossa dagli F5 Labs, i laboratori di ricerca di F5 Networks, le organizzazioni dei servizi finanziari hanno registrato un aumento significativo del numero di attacchi alle credenziali e di denial-of-service distribuito (DDoS) negli ultimi tre anni. Sul fronte opposto, nello stesso periodo esaminato sono notevolmente calati gli attacchi web.
Raymond Pompon, Direttore degli F5 Labs
Il settore dei servizi finanziari è un ambito altamente regolamentato, il che significa che i budget per la sicurezza sono in genere elevati e la propensione al rischio è molto limitata. Tuttavia, le aziende di questo settore continuano a rappresentare un bersaglio di estremo interesse per i criminali informatici a causa del valore e del profitto che possono trarre dalle informazioni a cui esse hanno accesso.
Gli F5 Labs, che hanno preso in esame i dati di risposta sugli incidenti di sicurezza dei clienti F5 forniti dal F5 Security Incident Response Team (F5 SIRT) da gennaio 2017 a dicembre 2019, focalizzandosi su banche, cooperative di credito, broker, assicurazioni e organizzazioni legate ai servizi finanziari, come chi gestisce le transazioni dei pagamenti e il software finanziario come servizio (SaaS).
Servizi finanziari sotto attacco: l’incremento degli attacchi alle credenziali
Gli attacchi brute force implicano da parte di chi attacca l’utilizzo di volumi ingenti di nomi utente e password contro un endpoint di autenticazione. Vi sono anche forme di attacchi brute force che utilizzano semplicemente elenchi comuni di coppie di credenziali predefinite (come ad esempio admin / admin), password comunemente utilizzate o persino stringhe di password generate casualmente.
In media, queste due tipologie sono state utilizzate nel 41% degli attacchi registrati dalle organizzazioni di servizi finanziari nei tre anni esaminati, con una percentuale cresciuta dal 37% del 2017 al 42% del 2019. Approfondendo ulteriormente, il team SIRT di F5 ha scoperto variazioni significative a livello regionale nei trend degli attacchi.
In EMEA, nel periodo preso in esame, gli attacchi di brute force e di credential stuffing in realtà ammontavano solo al 20% del totale. Questo dato è superiore al 15% osservato nella regione Asia-Pacifico, ma significativamente inferiore al 64% registrato nel Nord America, un risultato, quest’ultimo, probabilmente influenzato dal gran volume di credenziali violate in precedenza che vengono riutilizzate.
Servizi finanziari sotto attacco: in crescita gli attacchi DDOS
Gli attacchi DDoS si sono classificati al secondo posto tra le minacce maggiormente indirizzate al settore finanziario nel periodo preso in esame, rappresentando il 32% di tutti gli incidenti segnalati tra il 2017 e il 2019 e anche la minaccia in più rapida crescita.
Nel 2017, il 26% degli attacchi alle organizzazioni di servizi finanziari era di tipo DDoS, una percentuale che ha raggiunto il 42% nel 2019.
Ancora una volta le differenze tra le varie regioni sono consistenti; il 50% di tutti gli attacchi segnalati in EMEA nel triennio è correlato ai DDoS, un volume che sale al 55% nell’area Asia-Pacifico per scendere al 22% in Nord America.
Secondo gli F5 Labs, gli attacchi denial-of-service contro i fornitori di servizi finanziari di solito prendono di mira sia i servizi principali utilizzati dai clienti (come il DNS) sia le applicazioni che consentono agli utenti di accedere ai servizi online (ad esempio quelle per la visualizzazione delle fatture o la richiesta di prestiti).
Gli attacchi provengono spesso da tutto il mondo, sfruttando probabilmente l’utilizzo di grandi botnet che vengono noleggiate per l’occasione dagli aggressori o costruite appositamente a partire da macchine compromesse.
Raymond Pompon, Direttore degli F5 Labs La capacità di identificare rapidamente le caratteristiche del traffico in condizioni di attacco è di fondamentale importanza. È anche cruciale abilitare rapidamente un logging approfondito per i servizi applicativi al fine di identificare query insolite”
Servizi finanziari sotto attacco: gli attacchi Web sono in calo
Mentre gli attacchi alle credenziali e DDoS continuano a diffondersi, gli attacchi Web contro il settore finanziario registrano un calo costante: nel 2017 e 2018 rappresentavano l’11% del totale degli incidenti registrati, e nel 2019 solo il 4%.
Raymond Pompon, Direttore degli F5 Labs Sebbene sia difficile determinare con certezza quale sia la causa di questa riduzione, un fattore che ha probabilmente influito molto è la crescente sofisticazione di controlli tecnici correttamente implementati, come i Web Application Firewall (WAF). Un dato confermato dai risultati dell’ultima edizione del report degli F5 Labs sulla protezione delle applicazioni, che ha rilevato come, rispetto alla media in tutti i settori (26%), le organizzazioni finanziare tendano ad adottare maggiormente i WAF (31%).
La maggior parte degli attacchi Web registrati da F5 SIRT ha preso di mira le API, come quelle utilizzate per i portali di autenticazione mobile e Open Financial Exchange (OFX). Anche l’utilizzo delle tecniche di web scraping – copiare i contenuti allo scopo di creare pagine di phishing realistiche – è stato evidente.
Gli F5 Labs suggeriscono che gli attacchi web contro i servizi finanziari tendano a essere più persistenti rispetto ad altri settori, proprio a causa di un targeting più preciso da parte dei criminali informatici in ambito finanziario, con un potenziale alto valore di successo.
Servizi finanziari sotto attacco: salvaguardare il futuro
L’analisi degli F5 Labs giunge alla conclusione che, sebbene il settore dei servizi finanziari sia tra i più all’avanguardia dal punto di vista dell’adozione di programmi di sicurezza consistenti, non c’è spazio per l’autocompiacimento.
Raymond Pompon, Direttore degli F5 Labs
Nonostante le risorse preziose in gioco, a volte si fa ancora fatica a convincere alcune organizzazioni della necessità di un’autenticazione a più fattori, che probabilmente rappresenta il modo più efficace per prevenire quasi tutti gli attacchi brute force o che prendono di mira gli accessi, il credential stuffing o il phishing.
C’è ancora molto da fare, soprattutto dal punto di vista della prevenzione, ad esempio per il rafforzamento delle API e l’implementazione di un programma di gestione delle vulnerabilità che includa la scansione esterna e patch regolari.
Dal punto di vista del rilevamento delle minacce è fondamentale monitorare continuamente il traffico per evidenziare tracce dell’utilizzo delle tecniche brute force e del credential stuffing e, come sempre, è essenziale sviluppare e mettere in pratica procedure corrette per la risposta agli incidenti che affrontino tutte le tipologie di rischi.
