In un’intervista alla giornalista Nicole Perlroth pubblicata da HPE, portale di Hewlett Packard, è stata fatta una panoramica sul mercato degli attacchi Zero Day, ovvero quelli basati su vulnerabilità invisibili anche agli stessi produttori di software. Tali falle di sicurezza consentirebbero agli hacker di intrufolarsi nei sistemi della vittima che, in quanto inconsapevole, non ha tempo per rimediare al problema.
Per tali attacchi esiste un vero e proprio mercato sommerso, nel quale chi scopre la vulnerabilità la vende ai gruppi hacker interessati a sferrare le loro offensive per poter guadagnare ingenti somme. I broker presenti in territorio statunitense sembrerebbero anche disposti a pagare oltre due milioni di dollari per poter entrare nei sistemi o spiare le vittime tramite i loro device. Allo stesso tempo, anche i governi sono ben disposti ad acquistare tali informazioni per ovvie ragioni investigative.
Per fare alcuni esempi della ricerca costante di vulnerabilità Zero Day da parte delle agenzie di spionaggio internazionale basta far tornare alla mente il virus Stuxnet, apparentemente creato dagli Stati Uniti per bloccare il programma nucleare iraniano.
Con l’aumento degli attacchi ransomware, e non solo, che abbiamo visto negli anni del Covid 19 sono aumentate anche le possibilità di scoprire vulnerabilità Zero Day che possono diventare armi da usare in caso di bisogno sia per la rivendita che per lo sfruttamento diretto. Il lato positivo, secondo Perlroth, è che tutte queste offensive hanno fatto capire ai governi più potenti del mondo quanto sono vulnerabili.
A questo punto la domanda che viene posta è quanto le imprese siano pronte ad affrontare i problemi causati dagli attacchi zero day e cosa esse si debbano aspettare dai governi e da chi fornisce loro i servizi. Mentre le policy cosiddette “zero trust” (a fiducia zero) hanno evidentemente funzionato bene mentre gli strumenti di hacking ancora non hanno dato alcuna spinta a fare meglio, lasciando istituzioni e aziende ancora vulnerabili.
L’85% delle infrastrutture sensibili è in mano ai privati e non al settore pubblico e gli attacchi Zero Day le prendono di mira non tanto per colpire le imprese bensì per arrivare più in alto. Ciò impone scelte nette e dirette verso sistemi di difesa sempre più avanzati e la scelta di infrastrutture sicure, congiuntamente all’implementazione sempre maggiore di best practices di alto livello sempre aggiornate contro le più recenti minacce oltre alla creazione di sistemi automatizzati per la rilevazione delle vulnerabilità.
Fonte: 1
