Maersk conferma la violazione dei dati a seguito delle affermazioni di un gruppo di hacker specializzato in ransomware

Il colosso mondiale del trasporto marittimo e della logistica Maersk ha confermato che alcuni hacker hanno violato un sistema legacy appartenente a una società da essa acquisita in precedenza, a seguito delle dichiarazioni del gruppo di ransomware WhiteArmor secondo cui avrebbe sottratto circa 100 GB di dati dall’organizzazione.

Secondo Maersk, l’incidente è stato contenuto e circoscritto a un sistema locale collegato a LF Logistics, una società specializzata nella catena di approvvigionamento acquisita dalla compagnia di navigazione nel 2022. L’azienda ha sottolineato che le sue operazioni principali non sono state compromesse e che al momento non vi sono prove che dati sensibili dei clienti siano stati divulgati. I clienti possono continuare a prenotare e gestire le spedizioni come di consueto.

WhiteArmor ha chiesto un riscatto di 5 milioni di dollari e sostiene di possedere un ingente volume di dati, tra cui registri degli autisti, registri dei dispositivi mobili, dettagli degli account amministrativi e informazioni sulla catena di approvvigionamento. Maersk non ha confermato la natura né l’entità dei dati presumibilmente sottratti e ha dichiarato che le indagini sono ancora in corso.

L’incidente costituisce un ulteriore monito sui rischi associati ai sistemi legacy e agli ambienti tecnologici derivanti da acquisizioni. Evidenzia inoltre la minaccia costante che i gruppi di ransomware rappresentano per gli operatori globali della logistica e della catena di approvvigionamento, dove le interruzioni operative e le informazioni aziendali sensibili possono costituire un vantaggio significativo per gli aggressori.

La Francia accusa l’Iran per gli attacchi informatici ai supermercati, mentre Teheran nega ogni coinvolgimento

L’Iran ha respinto le accuse francesi secondo cui sarebbe responsabile di una serie di attacchi informatici che hanno compromesso i sistemi di refrigerazione nei supermercati in tutta la Francia e in altri paesi europei. Le accuse seguono un’ondata di attacchi che hanno alterato da remoto i controlli di temperatura nelle unità di refrigerazione commerciali, causando il deterioramento di quantità significative di alimenti refrigerati e congelati.

Le autorità francesi hanno attribuito gli attacchi a individui legati al Corpo delle Guardie Rivoluzionarie Islamiche (IRGC) iraniano, descrivendo la campagna come un atto di sabotaggio informatico senza precedenti rivolto contro infrastrutture commerciali critiche. I funzionari francesi hanno affermato che gli incidenti hanno colpito centinaia di supermercati, tra cui punti vendita gestiti da Intermarché, Carrefour, Monoprix ed E.Leclerc, e hanno avvertito che potrebbero seguire delle sanzioni.

Gli attacchi hanno preso di mira il software utilizzato per gestire da remoto i sistemi di refrigerazione, causando, secondo quanto riferito, un drastico aumento delle temperature in alcune unità e costringendo i rivenditori a smaltire le scorte. Da allora sono stati segnalati incidenti simili in Belgio, Lussemburgo, Svezia, Irlanda, Paesi Bassi, Estonia e Finlandia, sollevando preoccupazioni riguardo alla vulnerabilità dei sistemi di tecnologia operativa (OT) in tutta Europa.

L’Iran ha respinto le accuse definendole «infondate e ostili», mentre la procura francese ha avviato un’indagine sui presunti responsabili. L’incidente mette in luce le crescenti preoccupazioni relative agli attacchi informatici che prendono di mira le infrastrutture fisiche, dove le violazioni digitali possono avere immediate conseguenze operative ed economiche.

La Polonia ha messo offline il portale dei servizi governativi dopo un tentativo di attacco informatico

La Polonia ha temporaneamente chiuso la propria piattaforma nazionale di e-government ePUAP dopo aver rilevato e bloccato un attacco informatico diretto contro il servizio. La piattaforma è ampiamente utilizzata da cittadini, imprese e istituzioni pubbliche per presentare documenti ufficiali, comunicare con gli enti governativi e espletare procedure amministrative online.

Secondo il Ministero degli Affari Digitali polacco, i team di sicurezza hanno identificato e bloccato l’attacco prima che potesse causare danni. I funzionari hanno sottolineato che al momento non vi sono prove che i sistemi governativi siano stati compromessi, interrotti o accessibili agli aggressori, e che la chiusura è stata adottata come misura precauzionale mentre vengono effettuate le valutazioni tecniche.

L’interruzione temporanea ha reso indisponibili le caselle di posta elettronica dell’ePUAP e potrebbe influire anche sull’accesso al servizio di identità digitale «Trusted Profile» del Paese, che i cittadini utilizzano per accedere alle piattaforme del settore pubblico e firmare digitalmente i documenti ufficiali. Sebbene le autorità non abbiano ancora reso nota la natura dell’attacco né identificato i responsabili, sono in corso gli interventi per ripristinare il servizio.

L’incidente mette in luce la crescente minaccia informatica che grava sui servizi digitali governativi in tutta Europa. Sottolinea inoltre il difficile equilibrio tra il mantenimento della disponibilità dei servizi e l’adozione di misure proattive per proteggere le infrastrutture pubbliche critiche da potenziali compromissioni.

N-able rilascia correzioni di emergenza per vulnerabilità critiche zero-day di N-central

N-able, fornitore di soluzioni di monitoraggio e gestione remota, ha rilasciato aggiornamenti di sicurezza d’emergenza per diverse vulnerabilità critiche che interessano la sua piattaforma N-central, dopo che alcuni ricercatori di sicurezza hanno reso pubblica una serie di falle zero-day. Tali rivelazioni hanno spinto l’azienda a mettere temporaneamente offline i propri ambienti N-central ospitati in Nord America, Europa e Asia-Pacifico, come misura precauzionale contro potenziali attacchi.

Le vulnerabilità, che interessano la piattaforma di monitoraggio e gestione remota N-central utilizzata dai fornitori di servizi gestiti (MSP) e dai team IT aziendali, includono falle che potrebbero consentire l’esecuzione remota di codice, l’escalation dei privilegi, il bypass dell’autenticazione, il cross-site scripting e attacchi di tipo server-side request forgery. I ricercatori di sicurezza hanno inoltre pubblicato un codice di exploit proof-of-concept, aumentando significativamente il rischio di sfruttamento doloso.

Sebbene N-able non abbia confermato alcun attacco andato a buon fine, i ricercatori di threat intelligence hanno segnalato di aver osservato attività attive di scansione e sondaggio su Internet rivolte ai server N-central vulnerabili poco dopo la divulgazione delle vulnerabilità. In risposta, N-able ha rilasciato hotfix che risolvono le falle più critiche e ha esortato tutti i clienti con installazioni on-premise ad aggiornare immediatamente i propri sistemi prima di ripristinare l’accesso pubblico.

L’incidente mette in luce i rischi di sicurezza informatica che gravano sulle piattaforme di gestione remota, le quali rappresentano obiettivi altamente appetibili poiché forniscono accesso privilegiato a un gran numero di ambienti dei clienti. Gli esperti di sicurezza avvertono che le organizzazioni che ritardano l’applicazione delle patch potrebbero andare incontro a rischi elevati di compromissione, soprattutto poiché gli aggressori continuano a cercare sistemi esposti e vulnerabili.

740.000 dollari di addebiti fraudolenti per l’IA generati in seguito al furto delle credenziali dei clienti di Railway

Il provider di hosting cloud Railway ha rivelato che gli aggressori hanno sfruttato delle vulnerabilità nella propria infrastruttura per rubare le credenziali di autenticazione dei clienti e generare circa 740.000 dollari di addebiti fraudolenti per l’utilizzo dell’IA. L’azienda ritiene che gli autori dell’attacco abbiano preso di mira specificatamente le credenziali dei servizi di IA, evidenziando il crescente valore dell’accesso alle piattaforme di IA e agli ambienti di sviluppo.

Secondo Railway, gli aggressori hanno sfruttato punti deboli sconosciuti nella sua infrastruttura di sviluppo per ottenere l’accesso alle credenziali interne e al codice sorgente. Hanno poi sfruttato ulteriori vulnerabilità per ottenere le chiavi di decrittazione utilizzate per le variabili d’ambiente dei clienti, esponendo potenzialmente le credenziali collegate a ben 100.000 spazi di lavoro.

Secondo quanto riferito, gli aggressori si sono concentrati sul recupero di chiavi API e credenziali di autenticazione associate a fornitori di IA, piattaforme cloud e servizi di sviluppo. Le credenziali rubate sono state successivamente utilizzate per consumare grandi quantità di risorse di calcolo dedicate all’IA, con conseguente addebito fraudolento di importo considerevole. Railway ha dichiarato di stare collaborando con i fornitori coinvolti per ottenere i rimborsi e che coprirà i costi non recuperabili.

L’incidente fa parte di un’ondata più ampia di attacchi mirati alle piattaforme di sviluppo di IA, con i criminali informatici che cercano sempre più spesso di accedere a preziose risorse di IA e credenziali anziché ai tradizionali dati finanziari. Railway afferma che gli autori dell’attacco sono stati rimossi dai propri sistemi e che tutte le vulnerabilità identificate sono state risolte.

Gli attacchi informatici alle organizzazioni australiane aumentano del 39% su base annua

Secondo una nuova ricerca di Check Point Research, nel mese di ottobre le organizzazioni australiane hanno registrato un aumento del 39% degli attacchi informatici, con le aziende che hanno subito in media 2.117 attacchi a settimana. Sebbene il volume mensile degli attacchi sia leggermente diminuito rispetto a settembre, gli esperti di sicurezza informatica avvertono che la tendenza generale rimane decisamente al rialzo.

Il rapporto evidenzia un contesto di minacce in crescita, alimentato dal ransomware, dagli attacchi basati sull’intelligenza artificiale e dalla crescente esposizione dei dati sensibili attraverso le piattaforme di IA generativa. A livello globale, i gruppi di ransomware hanno mietuto 1.063 vittime nel mese di ottobre, il totale mensile più alto mai registrato da Check Point e superiore del 35% rispetto a un anno fa.

Il settore dell’istruzione è rimasto il più preso di mira a livello mondiale, mentre l’agricoltura ha registrato la crescita più rapida nell’attività di attacco. I ricercatori hanno inoltre individuato crescenti preoccupazioni riguardo all’uso da parte dei dipendenti di strumenti di IA generativa, con quasi il 3% dei prompt di IA aziendali classificati come ad alto rischio a causa della potenziale esposizione di informazioni sensibili di natura aziendale, finanziaria e personale.

Sebbene l’attività di phishing sia diminuita rispetto al mese precedente, gli esperti avvertono che i criminali informatici stanno sfruttando sempre più l’IA per automatizzare gli attacchi e migliorare l’efficienza. I risultati rafforzano la necessità per le organizzazioni di potenziare la resilienza informatica, migliorare la consapevolezza dei dipendenti e implementare una governance chiara sull’uso degli strumenti di IA.

Se siete preoccupati per una delle minacce descritte nel presente bollettino o avete bisogno di assistenza per stabilire quali misure adottare per proteggervi dalle minacce più rilevanti che la vostra organizzazione deve affrontare, contattate il vostro account manager oppure, in alternativa,contattateciper scoprire come proteggere la vostra organizzazione.

Il “Threat Intel Roundup” è stato redatto da Integrity360 per riassumere le notizie relative alle minacce così come le osserviamo, aggiornate alla data di pubblicazione. Non deve essere considerato come un parere legale, di consulenza o di qualsiasi altro tipo di consulenza professionale. Eventuali raccomandazioni devono essere valutate nel contesto della propria organizzazione. Integrity360 non assume alcuna posizione politica nelle informazioni che condivide. Inoltre, le opinioni espresse potrebbero non corrispondere necessariamente al punto di vista di Integrity360.