In Breve

• CrowdStrike ha licenziato un dipendente per aver diffuso screenshot dei sistemi interni al gruppo di hacker Scattered Lapsus$ Hunters.
• Le immagini trapelate includevano l’accesso al pannello di login Okta Single Sign-On dell’azienda.
• Gli hacker hanno dichiarato di aver violato tecnicamente CrowdStrike tramite il fornitore terzo Gainsight, ma CrowdStrike nega qualsiasi intrusione riuscita nella rete.
• L’insider avrebbe ricevuto un’offerta di 25.000 dollari dal gruppo ShinyHunters per le credenziali di accesso.
• CrowdStrike ha rilevato rapidamente la violazione e l’ha segnalata alle autorità; nessun dato dei clienti è stato compromesso.

Un Fidato Custode si Trasforma in Traditore

Immaginate una fortezza: mura alte, serrature all’avanguardia e guardie vigili. Ora immaginate che una di queste guardie consegni silenziosamente le chiavi a una famigerata banda di ladri. Questa è la realtà inquietante che CrowdStrike-leader globale nella cybersecurity-ha affrontato il mese scorso, quando ha scoperto che un dipendente stava trapelando informazioni interne sensibili a Scattered Lapsus$ Hunters, un collettivo di hacker noto per prendere di mira i giganti della tecnologia.

Rischi Interni: Il Tallone d’Achille della Cybersecurity

Se gran parte della cybersecurity si concentra sulla difesa dagli invasori digitali, questo episodio mette in luce una vulnerabilità senza tempo: la minaccia interna. In questo caso, il nemico non era alle porte, ma già dentro le mura. Il dipendente licenziato ha fornito screenshot delle dashboard interne di CrowdStrike, incluso il portale Okta Single Sign-On (SSO)-un accesso cruciale che i dipendenti usano per entrare nei sistemi aziendali. Queste immagini sono apparse sul canale pubblico Telegram di Scattered Lapsus$ Hunters, che include hacker provenienti da gruppi come Scattered Spider, LAPSUS$ e ShinyHunters.

Per contestualizzare, Okta SSO è come una chiave universale per il personale, che concede accesso a una suite di applicazioni interne. Esporre anche solo un’anteprima di questo può aiutare gli attaccanti a individuare potenziali punti deboli o lanciare attacchi di phishing mirati.

Falsi Allarmi e Risposte Lampo

Gli hacker si sono vantati di aver sfruttato un fornitore terzo-Gainsight-per violare la rete di CrowdStrike e hanno affermato di possedere cookie di autenticazione (dei “passaporti” digitali che mantengono gli utenti connessi). Ma CrowdStrike ha risposto con fermezza. Secondo l’azienda, non c’è stata alcuna violazione tecnica: gli unici dati esposti provenivano dagli screenshot dell’insider, non da una compromissione della rete o dei sistemi.

Fondamentale, il team di sicurezza interno di CrowdStrike ha individuato l’attività sospetta prima che si verificassero danni reali, licenziando prontamente il dipendente e bloccando l’accesso. Secondo le segnalazioni, l’insider avrebbe ricevuto un’offerta di 25.000 dollari da ShinyHunters per un accesso più profondo alla rete-un promemoria inquietante che i cybercriminali puntano sempre più sulle vulnerabilità umane, non solo su quelle del software.

Lezioni da Violazioni Passate e Impatto sul Settore

Non è la prima volta che gli insider giocano un ruolo da protagonisti negli attacchi informatici. Le famigerate rivelazioni di Edward Snowden e la violazione dei dati di Capital One sono entrambe nate da dipendenti fidati che si sono ribellati. Ciò che rende particolarmente allarmante l’incidente di CrowdStrike è la rapidità e la sofisticazione con cui gli hacker ora combinano corruzione e ingegneria sociale per aggirare anche le difese più avanzate.

La tendenza generale è chiara: man mano che le aziende si affidano sempre più a fornitori esterni e strumenti cloud, la superficie d’attacco si espande. Gruppi come Scattered Lapsus$ Hunters stanno sondando aggressivamente questo ecosistema, sfruttando sia le falle tecniche che la fragilità umana. L’episodio CrowdStrike è un campanello d’allarme-non solo per le aziende di cybersecurity, ma per ogni impresa che affida i propri segreti a dipendenti e partner.

WIKICROOK

• Minaccia Interna: Una minaccia interna si verifica quando qualcuno all’interno di un’organizzazione abusa del proprio accesso a sistemi o dati, causando danni intenzionalmente o accidentalmente.
• Single Sign-On: Il Single Sign-On (SSO) consente agli utenti di accedere a più servizi con un solo login, semplificando l’accesso ma aumentando il rischio se le credenziali vengono compromesse.
• Cookie di Autenticazione: Un cookie di autenticazione è un piccolo file di dati che verifica la tua identità su un sito web, mantenendoti connesso ma rappresentando un rischio se rubato.
• Phishing: Il phishing è un crimine informatico in cui gli aggressori inviano messaggi falsi per indurre gli utenti a rivelare dati sensibili o cliccare su link dannosi.
• Ingegneria Sociale: L’ingegneria sociale è l’uso dell’inganno da parte degli hacker per indurre le persone a rivelare informazioni riservate o concedere accessi non autorizzati ai sistemi.