L’11 marzo Stryker, uno dei maggiori produttori mondiali di dispositivi medici, ha comunicato alle autorità di borsa statunitensi un incidente informatico che ha causato un’«interruzione globale» del suo ambiente Microsoft. Lo stesso giorno l’attacco è stato rivendicato da Handala, un gruppo che si presenta come hacktivista ed è ritenuto legato all’Iran.
Secondo le ricostruzioni, gli attaccanti hanno ottenuto le credenziali di un account amministrativo e lo hanno usato per entrare in Microsoft Intune, la piattaforma cloud con cui l’azienda gestisce computer e telefoni. Da lì hanno inviato in massa il comando di cancellazione remota, una funzione legittima pensata per i dispositivi smarriti o rubati. In poche ore portatili, telefoni e postazioni in decine di Paesi sono tornati alle impostazioni di fabbrica.
Handala sostiene di aver cancellato oltre 200.000 dispositivi e di aver rubato dati. L’azienda non ha confermato le cifre. Quel che è certo è che produzione, gestione degli ordini e spedizioni si sono interrotte, e in Irlanda migliaia di dipendenti sono stati mandati a casa. Stryker precisa che i suoi dispositivi medici e i prodotti connessi non sono coinvolti.
Nessun malware
L’attacco arriva in un periodo di forte tensione militare con l’Iran, mentre le agenzie di sicurezza occidentali avvertono di possibili ritorsioni informatiche contro aziende statunitensi e israeliane o legate a Israele.
Il dettaglio tecnico più istruttivo, però, è ciò che manca. Nessun antivirus poteva fermare questo attacco, perché non c’era niente da rilevare: un amministratore, vero o presunto, ha usato uno strumento aziendale per fare esattamente ciò per cui è stato progettato. È bastato un account con troppi poteri e una console che agisce su tutti i dispositivi insieme.
Proteggi gli account amministrativi del cloud con un’autenticazione resistente al phishing, come le chiavi di sicurezza. In Intune puoi chiedere l’approvazione di un secondo amministratore per le azioni distruttive, come la cancellazione dei dispositivi: attivala oggi, perché è la funzione che qui avrebbe fatto la differenza.
Assegna i privilegi più alti solo quando servono e per poco tempo, e fatti avvisare quando nasce un nuovo amministratore globale. Tieni account di emergenza separati e backup che non si possano cancellare dallo stesso ambiente. Poi fai una domanda scomoda al tuo team: quanti account, oggi, potrebbero azzerare tutti i portatili dell’azienda con un clic?
