Erano circa le 4 del pomeriggio di mercoledì sulla East Coast quando il caos ha colpito la celebre piattaforma social Twitter. Dozzine dei più grandi nomi d'America - tra cui Joseph R. Biden Jr., Barack Obama, Kanye West, Bill Gates, Apple ed Elon Musk - hanno pubblicato messaggi simili su Twitter: Invia Bitcoin e ti rimanderemo indietro il doppio dei tuoi soldi.
Era tutta una truffa, ovviamente, il risultato di uno degli attacchi online più sfacciati di sempre..
Gli umani sono sempre l'anello debole
Non sono ancora chiari i dettagli più specifici su come sia stato perpetrato l'attacco informatico, possiamo però segnalare che l'hacker ha sfruttato uno strumento di amministrazione interno di Twitter per ottenere l'accesso agli account di alto profilo. Tale segnalazione è stata confermata dall'account ufficiale di Twitter. Ieri, verso mezzanotte ora italiana, la società ha twittato che "un attacco coordinato di ingegneria sociale" ai danni dei dipendenti ha fornito ad un hacker "accesso a sistemi e strumenti interni".
We detected what we believe to be a coordinated social engineering attack by people who successfully targeted some of our employees with access to internal systems and tools.
— Twitter Support (@TwitterSupport) July 16, 2020
Prima che la portata dell'incidente diventasse chiara, l'hack sembrava focalizzarsi su account inerenti alle criptovalute. In un'ondata iniziale di post sulle truffe, bitcoin, ripple, coindesk, coinbase e binance sono stati violati con lo stesso messaggio: "Abbiamo collaborato con CryptoForHealth e stiamo restituendo 5000 BTC alla community", seguito da un link a un sito Web.
Twitter ha riconosciuto per la prima volta la situazione alle 11:45 ora italiana, riferendosi ad esso come un "incidente di sicurezza".
Poteva andare molto peggio
Onestamente sì, poteva andare molto peggio. Forse i tweet "inusuali" di Elon Musk potevano far venire il dubbio che questo fosse reale (e in effetti lo scam ha raccolto circa 12.5 bitcoin - grosso modo 100'000€ in transazioni), ma era abbastanza facile capire che fosse una truffa, se non altro perchè sono stati pubblicati una decina di tweet identici da account differenti - potevano ad esempio essere personalizzati, Elon non è nuovo a chiedere somme di denaro in anticipo per i suoi progetti Tesla, così come i suoi tweet spesso fanno oscillare il valore delle azioni... Per non pensare poi al potere di esprimere un'opinione con la voce di Mr. Obama o Joe Biden. La decisione di chiedere denaro tramite Bitcoin, ha inoltre dimostrato che gli aggressori erano probabilmente incapaci o non disposti a riciclare denaro o utilizzare il loro accesso per una truffa più sofisticata.
Formazione, formazione, formazione
No non è un errore di battitura. Lo abbiamo scritto di proposito tre volte, perchè ancora troppo spesso le aziende tendono ad investire solamente sulla difesa del perimetro di sicurezza - che è fondamentale - ma dimenticandosi che su quel perimetro c'è un vettore di attacco particolarmente facile da eludere: gli esseri umani.
Quando i dipendenti di un'impresa sono consapevoli dei rischi della sicurezza informatica, significa che comprendono quali sono le minacce informatiche, il potenziale impatto che un attacco informatico avrà sulla loro attività e i passaggi necessari per ridurre il rischio e prevenire la criminalità informatica dall'impadronirsi di sistemi e dati aziendali.
Se vuoi saperne di più su servizi di assessment di sicurezza e corsi di formazione, ti basta cliccare sul bottone e compilare il form.