Il 30 dicembre il Dipartimento del Tesoro degli Stati Uniti ha informato il Congresso di una violazione informatica classificata come incidente grave. Un gruppo sponsorizzato dalla Cina ha avuto accesso remoto ad alcune postazioni di lavoro degli uffici centrali del dipartimento e ad alcuni documenti non classificati.
Gli attaccanti non hanno forzato direttamente la rete del Tesoro. Sono passati da un fornitore. Il dipartimento usa Remote Support di BeyondTrust, un servizio in cloud per l’assistenza tecnica a distanza, e l’8 dicembre BeyondTrust ha avvisato il Tesoro che gli attaccanti avevano rubato una chiave usata per proteggere il servizio. Con quella chiave hanno aggirato le protezioni, reimpostato le password degli account locali e preso il controllo remoto delle postazioni.
BeyondTrust aveva rilevato attività anomale il 5 dicembre. Ha revocato la chiave, messo offline le istanze coinvolte e avvisato un numero limitato di clienti. Nei giorni successivi ha anche corretto una vulnerabilità critica nei suoi prodotti di assistenza remota scoperta durante l’indagine. Il servizio compromesso è stato disattivato e il Tesoro indaga con l’FBI e l’agenzia per la cybersicurezza, dicendo di non avere indicazioni che gli attaccanti abbiano ancora accesso. Quali documenti abbiano visto, e quali altri clienti di BeyondTrust siano stati colpiti, non è stato detto.
Chi ha le chiavi dell’assistenza
Gli strumenti di assistenza remota sono progettati per entrare ovunque: è il loro mestiere. Proprio per questo una chiave o un account del fornitore vale quanto le chiavi di casa di tutti i suoi clienti, e più il fornitore è centrale, più l’attacco rende. Lo stesso schema si è visto quest’anno con software di gestione e sistemi di trasferimento file.
Fai l’inventario degli strumenti di accesso remoto in uso, compresi quelli installati dai fornitori, e disattiva quelli non indispensabili. Usa chiavi e token con durata limitata, ruotali con regolarità e revocali subito se un fornitore segnala un incidente. Per ogni sessione remota chiedi l’approvazione esplicita dell’utente o un secondo fattore.
Poi apri i log del servizio di assistenza. Sessioni a orari insoliti e reset di password locali sono esattamente i segnali lasciati in questo caso. E quando scegli un fornitore, chiedigli come e quanto in fretta ti avviserebbe di un incidente: in questa vicenda tra la scoperta e la comunicazione sono passati tre giorni.
