Negli ultimi due mesi un gruppo che si fa chiamare Lapsus$ ha violato alcune delle aziende tecnologiche più importanti del mondo, annunciando ogni colpo su un canale Telegram con decine di migliaia di iscritti. A fine febbraio è toccato a Nvidia, con circa 1 TB di dati tra credenziali dei dipendenti e informazioni sui prodotti. A inizio marzo a Samsung, con circa 190 GB, compreso codice sorgente legato agli smartphone Galaxy. Questa settimana a Microsoft e Okta.
Il 21 marzo Lapsus$ ha pubblicato circa 37 GB di codice sorgente parziale di Bing e Cortana; Microsoft ha confermato la compromissione di un singolo account. Il giorno dopo sono comparse schermate dei pannelli interni di Okta, uno dei principali fornitori di servizi di autenticazione. L’azienda ha spiegato che a gennaio gli attaccanti hanno avuto accesso per cinque giorni al computer di un tecnico di un fornitore esterno di assistenza clienti, e stima un impatto massimo su 366 clienti, circa il 2,5% del totale.
Nessun exploit, molte telefonate
Lapsus$ non usa vulnerabilità sofisticate. Secondo l’analisi pubblicata da Microsoft, punta quasi tutto sulle persone:
- compra credenziali e sessioni rubate da malware infostealer;
- recluta dipendenti e collaboratori disposti a vendere il proprio accesso;
- fa SIM swap per intercettare i codici via SMS;
- bombarda gli utenti di richieste di approvazione MFA finché qualcuno, esasperato, preme «sì»;
- chiama l’helpdesk fingendosi l’utente per farsi reimpostare password e secondo fattore.
Una volta dentro va dritto su strumenti di collaborazione, repository di codice e console cloud, poi minaccia di pubblicare tutto. Un gruppo rumoroso e poco raffinato, che però ha capito una cosa: un operatore dell’helpdesk che vuole aiutare è più facile da convincere di un firewall.
Per difenderti parti dall’autenticazione. Almeno per amministratori e sviluppatori passa a metodi resistenti al phishing, come le chiavi FIDO2, e abbandona gli SMS. Sulle app di autenticazione attiva il number matching e un limite ai tentativi. Poi lavora sull’helpdesk: nessun reset di password o MFA senza una verifica forte dell’identità, anche se dall’altra parte c’è un dirigente che ha fretta. Rivedi cosa vedono i fornitori esterni, da quali dispositivi e con quali registri. E tieni d’occhio i download massivi da repository, wiki e console cloud.
