I 5 peggiori hack e violazioni del 2016 e cosa significano per il 2017

Il 2016 non è stato un grande anno per la sicurezza, almeno per quanto riguarda violazioni di alto profilo, hack e perdite di dati. L'anno ha visto l'ennesimo elenco di aziende, organizzazioni e siti Web di spicco colpiti da attacchi DDoS (Distributed Denial of Service), enormi cache di dati e password dei clienti che colpiscono il mercato nero in vendita al miglior offerente, e tutto modo di intrusioni di malware e ransomware.

C'è molto che le aziende possono fare per mitigare questi rischi. Naturalmente, puoi investire in una soluzione di sicurezza degli endpoint, ma è anche importante seguire le migliori pratiche di sicurezza dei dati e utilizzare i framework e le risorse di sicurezza disponibili.

Tuttavia, il 2016 ha visto LinkedIn, Yahoo, il Democratic National Committee (DNC) e l'Internal Revenue Service (IRS) proiettati sotto i riflettori sulla scia di attacchi e violenze catastrofici. Abbiamo parlato con Morey Haber, Vice President of Technology presso BeyondTrust, fornitore di gestione delle vulnerabilità e delle identità, su ciò che l'azienda considera i cinque peggiori hack dell'anno e sulle lezioni fondamentali che le aziende possono imparare da ciascuno.

1. Yahoo

Il colosso di Internet caduto ha avuto un anno di sicurezza storicamente negativo per integrare i suoi deboli finanziari, strappando la sconfitta dalle grinfie della vittoria dopo che una serie di divulgazioni di violazione di alto profilo e perdite di dati dei clienti hanno lasciato Verizon a tentare di trovare una via d'uscita dall'acquisizione di $ 4, 8 miliardi. Haber ha affermato che le violazioni di Yahoo possono insegnare alle aziende tre preziose lezioni:

• Fidati dei tuoi team di sicurezza e non isolarli.
• Non mettere tutti i gioielli della corona in un database.
• Seguire la legge e l'etica per la corretta divulgazione delle violazioni.

"È la prima volta che una grande azienda, in vendita, viene immersa due volte per una violazione in un anno e detiene il titolo della più grande violazione di sempre per una singola azienda", ha dichiarato Haber. "Ciò che rende questo ancora più avvincente in quanto la peggiore violazione del 2016 è la violazione avvenuta tre anni prima della divulgazione da parte del pubblico e la seconda violazione è stata scoperta solo a causa delle analisi forensi della prima violazione. Oltre un miliardo di conti sono stati compromessi, rappresentando tutti aziende su come non gestire le migliori pratiche di sicurezza all'interno della tua azienda."

2. Comitato nazionale democratico

Nelle più famigerate violazioni della sicurezza della stagione elettorale, il Democratic National Committee (DNC) è stato violato in più di un'occasione, causando e-mail da parte di funzionari (tra cui il presidente della DNC Debbie Wasserman Schultz e il responsabile della campagna di Clinton John Podesta) che perdevano attraverso WikiLeaks. Negli hack che i funzionari statunitensi hanno fatto risalire al governo russo, Haber ha indicato le linee guida e le raccomandazioni del Federal Bureau of Investigation (FBI), del Department of Homeland Security (DHS) e del National Institute of Standards and Technology (NIST) che avrebbe potuto mitigare le vulnerabilità di sicurezza del DNC:

• Linee guida per i privilegi, la valutazione delle vulnerabilità, l'applicazione di patch e i test con penna esistono tutti in framework consolidati come NIST 800-53v4.
• Le agenzie devono svolgere un lavoro migliore nell'implementazione di quadri consolidati (come il NIST Cybersecurity Framework) e nella misurazione del loro successo.

"L'FBI e il DHS hanno pubblicato un documento che delinea il modo in cui due minacce persistenti avanzate hanno utilizzato phishing e malware per infiltrarsi nel sistema politico statunitense e fornire operazioni segrete per manomettere il processo elettorale americano", ha dichiarato Haber. "La colpa è direttamente rivolta ad un attacco di stato-nazione e raccomanda le misure che tutti i governi e le agenzie politiche dovrebbero prendere per fermare questo tipo di intrusione. Il problema è che queste raccomandazioni non sono una novità e costituiscono la base per le linee guida di sicurezza già stabilite da NIST."

3. Mirai

Il 2016 è stato l'anno in cui abbiamo finalmente assistito all'entità dell'attacco informatico di cui è capace una botnet globale. Milioni di dispositivi Internet of Things (IoT) non sicuri sono stati trasferiti nella botnet Mirai e utilizzati per sovraccaricare enormemente il provider DNS (Domain Name System) Dyn con un attacco DDoS. L'attacco ha eliminato Etsy, GitHub, Netflix, Shopify, SoundCloud, Spotify, Twitter e molti altri importanti siti Web. Haber ha indicato quattro semplici lezioni sulla sicurezza che le aziende possono trarre dall'incidente:

• I dispositivi che non possono aggiornare software, password o firmware non devono mai essere implementati.
• La modifica del nome utente e della password predefiniti è consigliata per l'installazione di qualsiasi dispositivo su Internet.
• Le password per i dispositivi IoT devono essere univoche per dispositivo, soprattutto quando sono connesse a Internet.
• Patch sempre i dispositivi IoT con il software e il firmware più recenti per mitigare le vulnerabilità.

"L'Internet of Things ha preso letteralmente il controllo delle nostre reti domestiche e aziendali", ha dichiarato Haber. "Con il rilascio pubblico del codice sorgente del malware Mirai, gli aggressori hanno creato una botnet che imposta password predefinite e vulnerabilità senza patch per creare una sofisticata botnet mondiale che può causare attacchi DDoS di massa. È stata utilizzata con successo più volte nel 2016 per interrompere Internet negli Stati Uniti tramite DDoS contro i servizi DNS forniti da Dyn alle telecomunicazioni in Francia e alle banche in Russia."

4. LinkedIn

La modifica frequente delle password è sempre un'idea intelligente e vale per i tuoi account aziendali e personali. LinkedIn è stata vittima di un grave hack nel 2012 che è trapelato pubblicamente alla fine dell'anno scorso, nonché di un hack più recente del suo sito di apprendimento online Lynda.com che ha interessato 55.000 utenti. Per i responsabili IT che stabiliscono politiche di sicurezza e password aziendali, Haber ha affermato che l'hacking di LinkedIn si riduce in gran parte al buon senso:

• Cambia le tue password frequentemente; una password di quattro anni probabilmente sta solo chiedendo problemi.
• Non riutilizzare mai le password su altri siti Web. Quella violazione di quattro anni potrebbe facilmente portare qualcuno a provare la stessa password su un altro sito Web di social media o account di posta elettronica e potrebbe compromettere altri account semplicemente perché la stessa password è stata utilizzata in più punti.

"Un attacco oltre quattro anni fa è trapelato pubblicamente all'inizio del 2016", ha dichiarato Haber. "Gli utenti che non avevano cambiato le loro password da allora hanno trovato i loro nomi utente, indirizzi e-mail e password disponibili pubblicamente sul web oscuro. Raccolte facili per un hacker."

5. Internal Revenue Service (IRS)

Infine, Haber ha affermato che non possiamo dimenticare gli hack dell'IRS. Ciò è accaduto due volte, nel 2015 e di nuovo all'inizio del 2016, e ha influenzato i dati critici tra cui dichiarazioni dei redditi e numeri di previdenza sociale.

"Il vettore di attacco era contro il servizio" Ottieni trascrizione ", utilizzato per qualsiasi cosa, dai prestiti del college alla condivisione delle dichiarazioni dei redditi con terzi autorizzati. Grazie alla semplicità del sistema, un numero di previdenza sociale poteva essere utilizzato per recuperare informazioni e quindi creare dichiarazioni fiscali false, che corrispondono a un rimborso ed elettronicamente a un conto in banca canaglia ", ha spiegato Haber. "Ciò è degno di nota perché il sistema, come Yahoo, è stato violato due volte, risolto, ma aveva ancora gravi difetti che gli hanno permesso di essere nuovamente violati. Inoltre, l'ambito della violazione è stato gravemente sottovalutato, dai primi account di oltre 100.000 utenti 700.000 alla fine. Non si sa se questo riapparirà per i rendimenti del 2016 ".

Haber ha sottolineato due lezioni fondamentali che le aziende possono imparare dagli hack dell'IRS:

• Le correzioni dei test di penetrazione sono cruciali; solo perché hai risolto un difetto non significa che il servizio è sicuro.
• La medicina legale è fondamentale dopo un incidente o una violazione. Avere un ordine di grandezza di sette volte sul numero di account interessati indica che nessuno ha veramente compreso la portata del problema.

"Per il 2017, penso che ci aspettiamo di più dalla stessa cosa. Stati nazionali, dispositivi IoT e aziende di alto profilo saranno al centro della segnalazione delle violazioni", ha affermato Haber. "Credo che ci sarà un aumento della copertura delle leggi sulla privacy che regolano i dispositivi IoT e la condivisione delle informazioni in essi contenute. Questo coprirà tutto, dai dispositivi come Amazon Echo alle informazioni provenienti dall'EMEA, dagli Stati Uniti e dall'Asia-Pacifico all'interno delle aziende."