Dall’11 settembre i casinò e gli hotel di MGM Resorts a Las Vegas e in altre città degli Stati Uniti fanno i conti con un «problema di cybersicurezza». Sono andati fuori uso sito web, prenotazioni, chiavi digitali delle camere, sportelli bancomat e molte slot machine. I clienti fanno il check-in a mano e pagano in contanti.
L’attacco è stato rivendicato dal gruppo ransomware ALPHV, noto anche come BlackCat, attraverso un affiliato specializzato in ingegneria sociale. Secondo le ricostruzioni circolate, gli attaccanti avrebbero trovato su LinkedIn un dipendente di MGM e poi chiamato l’help desk fingendosi lui, ottenendo l’accesso in una telefonata di una decina di minuti. MGM non ha confermato questi dettagli.
Nel comunicato del 14 settembre ALPHV sostiene di aver ottenuto privilegi elevati nel sistema di gestione delle identità e, dopo che MGM aveva spento parte dell’infrastruttura per contenere l’intrusione, di aver cifrato oltre 100 hypervisor ESXi.
Anche Caesars Entertainment ha comunicato alle autorità di borsa un attacco di ingegneria sociale ai danni di un fornitore di supporto IT, con il furto del database del programma fedeltà, compresi numeri di patente e di previdenza sociale di molti iscritti. Secondo la stampa avrebbe pagato una parte del riscatto.
Dieci minuti al telefono
Immagina di lavorare all’help desk. Chiama un collega che conosce il proprio nome, il reparto: tutte cose che stanno su LinkedIn. È in viaggio, ha perso il telefono con l’app di autenticazione, ha una riunione fra venti minuti. Lo aiuteresti? Quasi tutti direbbero di sì, ed è proprio su questa disponibilità che contano gli attaccanti. L’autenticazione a due fattori serve a poco se basta una telefonata per farla reimpostare.
Scrivi una procedura rigorosa per il reset di password e secondo fattore, con una verifica su un canale diverso: richiamare il numero aziendale registrato, coinvolgere il responsabile. Per gli account amministrativi vieta i reset al telefono e chiedi una verifica in presenza o in video. Dai chiavi FIDO2 agli amministratori dei sistemi di identità e metti allarmi in tempo reale sugli eventi più sensibili, come i reset del secondo fattore e i nuovi amministratori.
E spiega a chi lavora al supporto che la fretta e la pressione di chi chiama non sono un motivo per fare prima. Sono il primo campanello d’allarme.
