Da fine maggio si moltiplicano le notizie di grandi furti di dati, da Ticketmaster a una grande banca europea. Il filo comune è Snowflake, piattaforma cloud per l’analisi dei dati usata da migliaia di aziende. Il 10 giugno Mandiant ha pubblicato i risultati dell’indagine: un gruppo criminale ha preso di mira gli account Snowflake dei clienti, e le organizzazioni potenzialmente coinvolte sono circa 165.
Non c’è nessuna vulnerabilità della piattaforma, e nessuna tecnica sofisticata. Gli attaccanti hanno usato nomi utente e password rubati in passato da malware infostealer, programmi che copiano le credenziali salvate nei browser dei computer infetti. In alcuni casi quei computer appartenevano a collaboratori esterni, che li usavano anche per attività personali, giochi compresi. Il primo accesso noto risale al 14 aprile.
Gli account violati avevano tre cose in comune:
- nessuna autenticazione a più fattori, quindi bastavano utente e password;
- credenziali mai cambiate, alcune rubate addirittura nel 2020;
- nessuna restrizione di rete, con accesso consentito da qualunque indirizzo IP.
Una volta dentro, il gruppo ha esplorato i database, li ha esportati e ha cominciato a chiedere riscatti alle aziende, minacciando di pubblicare o vendere i dati. Snowflake ha annunciato che sta lavorando per rendere obbligatoria la MFA. Quante delle 165 aziende abbiano effettivamente perso dati non è ancora noto.
Quattro anni con la stessa password
Fermati un momento su quel 2020. Una password rubata quattro anni fa, rimasta in vendita nei mercati criminali per tutto questo tempo, ha aperto un archivio aziendale nel 2024 perché nessuno l’aveva mai cambiata e nessun secondo fattore la proteggeva. Il fornitore cloud protegge la piattaforma; chi entra e da dove è una scelta del cliente.
Attiva la MFA su tutti gli account dei servizi cloud, a cominciare da quelli con accesso ai dati, e dove puoi usa account di servizio con chiavi invece delle password. Limita gli accessi a indirizzi IP o reti fidate. Disattiva subito le credenziali dei collaboratori che non lavorano più con te.
Se usi Snowflake, analizza i log di accesso e di query dell’ultimo anno con gli indicatori pubblicati, cercando esportazioni massicce. E vieta di salvare credenziali aziendali nei browser dei computer personali: un gestore di password aziendale costa molto meno di un riscatto.
