Insider Threats: identifica e contrasta le minacce interne

Le aziende moderne lavorano alacremente, ogni giorno, per proteggere il proprio business dalle minacce costituite da hacker, cybercriminali e ladri di qualsiasi altro genere. Oltre alle minacce provenienti dall’esterno, esiste un fenomeno molto più sottile e pericoloso: parliamo dell’insider threat. 

In cosa consiste questa minaccia? Scopriamo per quale motivo è bene predisporre una strategia difensiva in grado di proteggere l’azienda dagli attacchi interni.

Insider threats significato 

L’insider threat rappresenta un fenomeno piuttosto singolare e complesso. Questa minaccia, infatti, proviene dai dipendenti stessi dell’azienda, che in modo consapevole o inconsapevole possono minare, in modo anche particolarmente dannoso, la sicurezza informatica dell’impresa. 

Lo scenario attuale vede impegnate le imprese di tutto il mondo sia sul fronte delle minacce esterne, sia sul fronte dell’insider threats. Questo fenomeno si verifica nel momento in cui un dipendente dell’azienda, un collaboratore o un professionista in qualche modo legato al business, utilizza i propri privilegi di accesso per trafugare informazioni sensibili o per compromettere il sistema. 

Molto spesso non si tratta di impiegati dell’azienda, ma di collaboratori esterni, partner, fornitori e professionisti. I responsabili dell’attacco interno possono agire in modo volontario e doloso, oppure in modo involontario. In questo secondo caso, per esempio, potrebbe essere un dipendente dell’azienda a rappresentare una minaccia interna, cadendo vittima di un attacco phishing. 

Il responsabile è consapevole, invece, nel momento in cui ha coscienza di ciò che sta facendo: dalla pratica di spionaggio alla distruzione o sottrazione dei dati sensibili aziendali. Questo genere di eventualità rientra nell’insider threats di tipo doloso. 

La principale causa dell’insider threats sono le persone, gli impiegati stessi, i professionisti con cui l’azienda collabora. Nonostante il punto debole della catena sia l’uomo, la maggior parte delle strategie di difesa e degli strumenti di sicurezza informatica prevedono le attività di monitoring e di analisi di reti, dati e computer. Questa potrebbe essere una falla letale nella strategia di difesa dall’insider threats: considerare le macchine responsabili dell’attacco, e non l’uomo.

La minaccia proviene da qualsiasi livello aziendale, poiché chiunque potrebbe accedere ai dati e manometterli, rubarli, rivenderli o danneggiare in qualsiasi altro modo il sistema informatico e, con esso, il business stesso. Si stima che circa il 25% degli incidenti di sicurezza informatica rientri nello scenario dell’insider threats.

Le aziende hanno dovuto adottare e rinnovare le proprie strategie di security per poter garantire protezione a dati e informazioni, di pari passo all’aggiornamento delle tecnologie messe a disposizione dei dipendenti. 

Chiunque può accedere ai dati e al network aziendale rappresenta una minaccia interna: soprattutto in presenza di servizi in cloud, che consentono a tutti gli utenti di avere accesso a file e documenti da qualsiasi punto del globo, a qualsiasi ora, sempre. Il livello di digitalizzazione è ormai altissimo: questo livello determina migliori performance nell’ambito della produttività, ma contribuisce a costituire una seria minaccia dal punto di vista informatico. 

Il patrimonio dell’azienda comprende una determinata mole di dati sensibili, che devono essere protetti adeguatamente sia dagli attacchi esterni, che dal fenomeno dell’insider threats. Questa minaccia può risultare particolarmente dannosa, in quanto l’utente in possesso di credenziali o informazioni privilegiate, potrà eludere i sistemi di sicurezza e creare un enorme danno alla credibilità dell’impresa e al business in generale.

Tipi di minacce interne

Quali sono i motivi che spingono gli impiegati, i soci e i collaboratori a mettere in atto un attacco informatico interno? Le cause principali dell’insider threats non sono sempre connesse a un fattore economico. A volte, l’insider è un dipendente scontento che desidera creare un danno all’azienda per vendicarsi di un torto subito. 

In termini economici e reputazionali, un attacco interno potrebbe avere un impatto devastante per l’azienda. Anche quando si tratta di una minaccia non intenzionale. 

Sono essenzialmente 4 le tipologie di minacce interne:

• frode. I dati vengono rubati o modificati volontariamente, con lo scopo di interrompere l’operatività dell’azienda;
• furto di proprietà intellettuale. Si verifica quando vengono trafugate le informazioni di proprietà dell’azienda. Tali informazioni hanno, in genere, una grande rilevanza per l’azienda stessa. Quando le informazioni vengono trafugate e diffuse, l’azienda potrà subire un danno incomparabile che si rifletterà sul business anche per numerosi anni a venire;
• sabotaggio. In questo caso, l’obiettivo di un attacco di insider threats è quello di danneggiare o distruggere i dati in possesso;
• spionaggio. File, informazioni e dati segreti potrebbero essere diffusi, qualora un insider riuscisse a impossessarsene. Potrebbe, infatti, rivenderli alla concorrenza. 

A volte, il fenomeno dell’insider threats non rientra in queste quattro tipologie in quanto la minaccia non è volontaria. In questi casi vengono commessi errori umani ed errori di valutazione, oppure il dipendente può essere coinvolto:

• da un attacco phishing;
• da un attacco malware;
• dal furto delle credenziali;
• dal favoreggiamento involontario. 

Chi sono gli insider? Gli attori delle minacce di insider threats possono suddividersi in 4 categorie. Vediamole nel dettaglio.

Pawns: le pedine

Una pedina, generalmente, è il dipendente ingannato da cybercriminali, che lo costringono a condividere l’accesso ai dati. La pedina può essere manipolata mediante i sistemi dell’ingegneria sociale o del cosiddetto spear phishing, studiati per riuscire a raggiungere informazioni sensibili. Un utente pedina viene convinto a scaricare, in modo inconsapevole, un malware, oppure a fornire credenziali private mediante una comunicazione contraffatta. 

Collaborators: i collaboratori

In questo caso, gli insider threats collaborano con criminali esterni o concorrenti. Questo genere di insider abusa dei propri privilegi, fornendo informazioni oppure gli accessi a criminali o concorrenti, generalmente per un mero ritorno economico. 

Goofs: il personale non competente

Un insider di questo tipo effettua azioni dannose per l’azienda in modo volontario, per negligenza oppure per scelta. Oppure, un goofs è un dipendente che ritiene sé stesso superiore alle politiche di sicurezza, o che tenta di aggirare i controlli di sicurezza (archiviazione di dati in archivio cloud non approvato, disattivazione dei blocchi popup oppure sospensione dei programmi antivirus).

Lone wolves: i lupi solitari

I lupi solitari sono insider threats che lavorano indipendentemente dal resto del gruppo di lavoro, avvantaggiando sé stessi o perseguendo un obiettivo personale. I lupi solitari in genere conoscono approfonditamente l’azienda in cui lavorano e le applicazioni utilizzate, e sanno come sfruttare a proprio vantaggio i privilegi offerti loro dall’azienda. 

Soluzioni per rilevare le minacce interne

Rilevare una minaccia di insider threats non è semplice: le aziende moderne possono utilizzare sofisticati sistemi di rilevamento, monitoraggio e intrusione che sfruttano un benchmark dell’attività di rete, uniti a pattern di comportamento. Questi strumenti permettono di individuare il potenziale attacco in corso. 

Alcune aziende utilizzano l’intelligenza artificiale per monitorare il traffico di rete, allertando gli amministratori di sistema qualora vengano riscontrate delle anomalie. 

I pattern di comportamento più diffusi relativi agli insider threats possono essere:

• assenze frequenti per malattia;
• poco interesse mostrato verso i nuovi progetti o verso i nuovi incarichi;
• utilizzo non consono delle risorse economiche destinate a viaggi o spese aziendali;
• interesse immotivato verso progetti per i quali non si hanno le competenze adeguate;
• report sulle performance sempre molto scarsi;
• conflitti frequenti con altri dipendenti o con l’amministrazione;
• violazioni pregresse della protezione dei dati o delle regole di compliance.

Per poter nascondere le attività illecite legate al furto o condivisione di dati sensibili, un insider threats esegue operazioni anomale: l’individuazione di tali anomalie permette di rilevare le minacce interne. 

Scopriamo, nella seguente tabella, quali sono gli indicatori utili per la rilevazione delle minacce interne.

Strategie difensive per proteggersi

Difendersi dalla minaccia dell’insider threat non è semplice: occorre monitorare in continuo l’attività degli utenti all’interno del network aziendale. Quando si verifica un’anomalia, bisogna intervenire tempestivamente per ridurre i possibili rischi (installazione di malware, furto o danneggiamento dei dati, frodi finanziarie). 

Un approccio multidisciplinare è indispensabile per gestire i rischi sia dal punto di vista informatico che umano. Anche un evento legato ai data breach potrebbe compromettere la reputazione dell’azienda, andando a ledere l’integrità e la riservatezza dei dati personali di utenti e clienti. 

Le strategie di insider threat management possono essere così suddivise: 

• rilevamento delle possibili minacce interne individuando i comportamenti anomali in modo da valutare quali possano essere gli utenti a rischio;
• prevenzione degli incidenti, riducendo i rischi attraverso un sistema di notifica delle attività sospette e relativo blocco dell’utente sospetto;
• valutazione degli incidenti, mediante un’attività tempestiva di analisi delle attività degli utenti sospetti;
• conformità alle normative, aderendo ai requisiti imposti dalla policy dedicata al tema dell’insider threat;
• protezione della privacy dell’utente. I dati degli utenti devono essere anonimi e conformi alle normative;
• utilizzo di strumenti integrati. Le soluzioni di rilevamento devono essere integrate ad altre applicazioni di sicurezza, a partire dai sistemi SIEM, per poter ottenere una visione accurata e globale delle attività degli utenti;
• microsegmentazione della rete. La divisione in aree circoscritte permette di proteggere al meglio il sistema, risolvendo le vulnerabilità dei diversi punti di accesso;
• la cyber security awareness. Favorire una cultura aziendale sulla sicurezza aziendale, rendendo partecipe tutto il personale e offrendo piani formativi ad hoc. Ciò permette ai dipendenti di comprendere i rischi di un attacco sia interno che esterno;
• l’utilizzo dell’intelligenza artificiale per monitorare tutte le attività inerenti all’organizzazione, osservando gli utenti, i dispositivi, i flussi di lavoro e i cloud container;
• l’autenticazione a due fattori (2FA) o a più fattori (MFA). In questo modo è possibile aggiungere un ulteriore livello di sicurezza all’accesso degli utenti;
• la sicurezza degli endpoint. Cellulari, stampanti, scanner, server: tutto quel che può connettersi alla rete aziendale è considerato un endpoint. Questi punti di ingresso e di uscita possono essere sfruttati dai criminali per sferrare attacchi informatici. Proteggere gli endpoint consente di ridurre al minimo la possibilità di accesso da parte di un aggressore;
• l’adozione di regole precise per la creazione di password efficaci, che possono essere compromesse con difficoltà.

Esempi di insider threats

Le minacce di insider threat sono tanto fini quanto pericolose: a volte, le aziende impiegano anni per rilevarle. Vediamo quali sono gli esempi più noti e lampanti di insider threats: 

• Coca Cola. Un dipendente di questa multinazionale nota in ogni angolo del mondo ha copiato, su un drive esterno, i dati sensibili di circa 8.000 dipendenti. Il data breach, rilevato a seguito di un sofisticato processo di investigazione, è stato comunicato ai dipendenti che hanno potuto beneficiare del monitoraggio gratuito del credito per un anno;
• Facebook. Un ingegnere del reparto sicurezza utilizzava strumenti interni per molestare donne in tutto il mondo. L’anomalia è stata riscontrata nel 2018;
• Tesla. Un insider riuscì a sfruttare la sua posizione per modificare il codice del sistema operativo, utilizzato per le operazioni produttive. L’obiettivo era quello di esportare i dati sensibili della compagnia. Questa azione di sabotaggio durò diverso tempo;
• SunTrust Bank. Un ex dipendente della compagnia riuscì a trafugare 1 milione e mezzo di dati quali indirizzi, nomi, numeri di telefono e saldi bancari dei clienti.