La minaccia informatica insider sale di livello: sta diventando un vero e proprio business strutturato, con tariffari, strumenti, canali di reclutamento e di rivendita. In un panorama cyber sempre più colonizzato dall’intelligenza artificiale, le azioni e anche le debolezze umane (la disonestà, la corruttibilità) restano centrali. Anche perché, agendo come “mercenari” al soldo dei cybercriminali, si possono guadagnare anche centinaia di migliaia di dollari.
L’allarme sui dipendenti infedeli che violano sistemi, rivendono accessi e manipolano processi aziendali emerge dall’ultimo report di TrendAI, divisione di Trend Micro, titolato “The Market for Trust: How Cybercriminals Recruit Corporate Insiders”. L’analisi si basa sul monitoraggio degli annunci di reclutamento degli insider, che tipicamente avvengono su forum underground e canali Telegram dedicati. Il fenomeno è ormai strutturale: non si tratta di episodi isolati né, quasi mai, di azioni spontanee o improvvisate, ma piuttosto di un vero e proprio mercato criminale organizzato, con broker, reclutatori, bonus per le segnalazioni, servizi di garanzia, accordi di revenue sharing, collaborazioni continuative e canali di reclutamento,
"Per molto tempo abbiamo considerato le minacce interne come il risultato di dipendenti scontenti o di errori involontari”, ha commentato Marco Fanuli, technical director di TrendAI Italia. “Oggi osserviamo qualcosa di molto diverso. I criminali reclutano attivamente dipendenti fidati attraverso marketplace criminali strutturati, trasformando l'accesso privilegiato in un servizio che può essere acquistato e venduto”.
Questa tendenza alla industrializzazione della minaccia insider non cozza con la diffusione dell’AI, anzi ne viene alimentata. Più le aziende adotteranno l’intelligenza artificiale, accumulando modelli, dati proprietari per l’addestramento e accessi privilegiati ai sistemi, e più gli insider diventeranno preziosi per i cybercriminali.
Dalle frodi finanziarie agli accessi fisici
Il fenomeno osservato da TrendAI riguarda diversi settori, con specifiche caratteristiche. Nella Pubblica Amministrazione spesso gli insider vendono accessi già “pronti”, che permettono ai malintenzionati di saltare la fase di compromissione e intrusione dei sistemi. Negli enti governativi i dipendenti sleali sono una rarità più che altrove, o almeno così risulta dai monitoraggi di Trend Micro, probabilmente per ragioni di credibilità, di domanda limitata o perché il reclutamento avviene attraverso canali privati. I pochi annunci individuati propongono compensi molto alti e riguardano accessi sensibili e attività di intelligence legate agli Stati.
Nella sanità si osservano due tipi di rischio insider: dipendenti che sottraggono o alterano cartelle cliniche ma anche professionisti della cybersecurity che collaborano segretamente con gruppi criminali. In un altro settore che gestisce informazioni sensibili, la finanza, gli insider vengono reclutati per approvare pagamenti, estrarre dati dei clienti e disattivare controlli antifrode, oppure per collaborare alle attività di monetizzazione attraverso operazioni di skimming su terminali Atm e Pos o, ancora, con finanziamenti fraudolenti.
Gli insider del settore telecomunicazioni sono tra i più richiesti e meglio pagati, perché basta un singolo dipendente complice per arrivare dritti alla monetizzazione. Per esempio un attacco SIM swap, in cui venga aggirata l’autenticazione a due fattori basata su SMS: i criminali ottengono così accesso ad account e-mail, a conti bancari e portafogli di criptovalute.
Quello dell’industria e dell’energia è, invece, il settore apparentemente meno preso di mira dagli insider. I reclutamenti si concentrano principalmente su schemi di payment skimming “chiavi in mano”: i cybercriminali dispongono già dell'hardware e delle competenze necessarie, ma non possono accedere materialmente e senza supervisione ai terminali di pagamento. Per questo servono dipendenti (corrotti) di stazioni di servizio o punti vendita.
Nell’ambito della logistica e delle spedizioni, gli insider sono preziosi perché possono controllare lo stato di tracking di una consegna. Pubblicare un falso stato "consegnato" consente di sbloccare un pagamento fraudolento, mentre un falso "reso al mittente" permette di annullare una vendita legittima. Per questo motivo gli insider tra i corrieri sono oggetto di una domanda costante. Nel retail, invece, si cercano complici che possano autorizzare rimborsi fraudolenti mentre il cliente (cioè l'autore dell'attacco o un intermediario) trattiene la merce. Le frodi sui rimborsi non sono più truffe occasionali ma servizi criminali organizzati e professionali, con tanto di broker, relazioni continuative, listini di prezzo e operatori identificabili.
Nel campo dei social media, invece, gli insider vengono reclutati per approvare annunci fraudolenti, riattivare account sospesi e manipolare i processi di verifica e rimozione dei contenuti. Viene sfruttata, così, la fiducia che gli utenti ripongono nelle piattaforme social. Meccanismi simili si osservano nell’ambito delle piattaforme di recensioni: qui, gli insider possono minare la credibilità del servizio. Vengono reclutati, infatti, soprattutto per alterare i contenuti pubblicati dagli utenti, modificare punteggi e valutazioni, eliminare recensioni negative e riattivare account sospesi.
L’abuso della fiducia
I servizi degli insider sono ricompensati molto bene: sia va da qualche centinaio di dollari per le recensioni pilotate a centinaia di migliaia di dollari per garantire l’accesso a database esclusivi o ad aziende di grandi dimensioni. Come evidenziato da TrendAI, gli insider più ricercati non sono necessariamente gli utenti con i privilegi tecnici più elevati all’interno delle aziende. Sono, invece, utenti che dispongono di autorità operativa: dipendenti titolati ad approvare pagamenti, ripristinare account, aggirare controlli antifrode, autorizzare operazioni o accedere a dati sensibili. Attività che una persona esterna, non di fiducia, non potrebbe eseguire con facilità. In pratica, per i cybercriminali il valore non sta solo nell'accesso ai sistemi, ma anche nella fiducia e nel ruolo operativo del dipendente all'interno dei processi aziendali.
“L'idea di violare un firewall è sorpassata”, osserva Fanuli. “Oggi i cybercriminali cercano chi può premere il pulsante di approvazione. Il bersaglio di maggior valore non è il dipendente con i privilegi tecnici più elevati, ma quello in grado di autorizzare un pagamento, ripristinare un account, aggirare un controllo antifrode o accedere a dati sensibili. Oggi i criminali prendono di mira i processi di business, non soltanto il perimetro tecnologico".