Come si sviluppano gli attacchi

Una singola email sospetta non è “l’attacco”. Di solito è il primo di diversi passaggi che un avversario compie, ciascuno con il proprio obiettivo, dall’entrare all’uscire con qualcosa di prezioso. MITRE ATT&CK, una base di conoscenza usata in tutto il settore della sicurezza, chiama questi passaggi “tattiche”: come dice il suo stesso riferimento per il primo, “l’avversario sta cercando di entrare nella tua rete.” Vedere l’intera sequenza rende più facile individuare dove una singola buona abitudine può spezzare la catena.

Il ciclo di vita, un passaggio alla volta

1. Accesso iniziale. L’avversario ha bisogno di un modo per entrare. Per le persone piuttosto che per le grandi reti, questo è quasi sempre il phishing: un messaggio, un SMS o una chiamata costruiti per farti fare clic, rispondere o installare qualcosa.
2. Esecuzione. Qualcosa che l’avversario controlla ora viene eseguito sul tuo dispositivo o account — un allegato dannoso aperto, un falso aggiornamento installato, uno script eseguito perché hai approvato una richiesta di permesso senza leggerla.
3. Persistenza. L’avversario si organizza per mantenere l’accesso anche dopo che chiudi l’app, riavvii il telefono o cambi una password: una seconda app con un accesso valido, una regola di inoltro aggiunta silenziosamente alla tua casella di posta, un’email di recupero cambiata.
4. Accesso alle credenziali. L’avversario sta, nelle parole di ATT&CK, “cercando di rubare nomi account e password” — spesso riutilizzando una password trapelata da una violazione non correlata, o semplicemente chiedendola tramite una convincente falsa pagina di accesso.
5. Raccolta ed esfiltrazione. L’avversario raccoglie ciò che vuole (documenti, contatti, cronologia dei messaggi) e lo sposta verso un luogo che controlla.
6. Impatto. L’obiettivo finale viene usato: pubblicare i tuoi dati, estorcerti, impersonarti per raggiungere le persone che conosci, o consegnare ciò che è stato raccolto a chi ha ordinato l’operazione.

Il phishing: ancora il modo più comune di entrare

La guida di CISA sul phishing descrive perché il primo passaggio funziona così spesso: gli aggressori usano “un linguaggio urgente o emotivamente accattivante” e impersonano organizzazioni di cui ti fidi già, spingendoti ad agire prima di pensare. Nota anche che affidarsi a individuare la grammatica scorretta non funziona più, poiché gli aggressori scrivono sempre più spesso messaggi convincenti. Il suo consiglio è di tre parole: riconosci la tattica di pressione, resisti al clic o alla risposta, ed elimina o segnala tramite gli strumenti propri del tuo provider di posta invece del link “annulla iscrizione” del messaggio stesso.

Il furto di credenziali raramente richiede un’intrusione

La maggior parte delle compromissioni di account non comporta la violazione della cifratura. Comportano una password già esposta in una violazione non correlata e riutilizzata, o una falsa pagina di accesso identica a quella reale che semplicemente ti chiede di digitare la tua password. Una volta che un avversario ha credenziali valide, i sistemi costruiti per tenere fuori gli intrusi spesso lo trattano come un utente legittimo, motivo per cui il punto della prossima lezione sui controlli proporzionati — e, nel corso di crittografia, sui metodi di accesso resistenti al phishing — conta quanto qualsiasi singolo strumento.

App dannose e falsi aggiornamenti

Il passaggio di “esecuzione” arriva frequentemente camuffato da qualcosa di ordinario: un’app di messaggistica promossa fuori da uno store ufficiale, un “aggiornamento richiesto” inviato via email invece che dal dispositivo stesso, o uno strumento dall’aspetto legittimo che chiede molti più permessi del dispositivo di quanti ne servano al suo scopo dichiarato. Rivedere cosa può effettivamente vedere e fare un’app — contatti, posizione, microfono, file — prima di installarla affronta direttamente questo passaggio, e rivederlo di nuovo periodicamente cattura le app che silenziosamente ne hanno chiesti di più in seguito.

Perché conta la visione del ciclo di vita

Nessun singolo controllo ferma ogni passaggio. Un gestore di password ben scelto indebolisce l’accesso alle credenziali. Rivedere i permessi delle app indebolisce l’esecuzione. L’autenticazione a più fattori (trattata nel corso di crittografia) indebolisce sia l’accesso iniziale sia la persistenza. La prossima lezione trasforma questo in un processo ripetibile: identificare cosa hai davvero da perdere, quale di questi passaggi è più probabile contro di te, e adattare il tuo sforzo a quello, invece di cercare di difenderti da tutto contemporaneamente.