Esame dell'anno 2024: i dati di oggi con uno sguardo al domani

La botnet Mirai ancora rappresenterà, probabilmente, un fattore significativo, diventando anche più sofisticata perché continuerà l'evoluzione del codice da parte dei criminali per creare un maggior numero di varianti. Questa evoluzione pone sfide continue per i professionisti della cybersecurity, che dovranno affrontare campagne di attacco sferrate simultaneamente contro più livelli nell'intero spazio di rete e applicazioni.

Possiamo prevedere un'ulteriore espansione delle attività criminali sostenute dai governi tramite i proxy. Questi attacchi saranno spesso motivati non da guadagni finanziari, ma solo dal desiderio di causare danni. 

Le organizzazioni dovranno continuare a gestire i propri endpoint delle API per mitigare le vulnerabilità. L'identificazione, la gestione e la sicurezza delle API, se efficaci, diventeranno componenti ancora più critici di una solida strategia di cybersecurity, così come la microsegmentazione.

Per il prossimo anno, incoraggiamo tutte le aziende a dedicare del tempo a rafforzare il proprio ambiente. Le organizzazioni devono rafforzare i propri sistemi di difesa quando la rete non si trova sotto attacco. Il ritorno sugli investimenti per perfezionare l'ambiente prima di un attacco rimarrà sostanziale.

Man mano che ci sposteremo verso il futuro, dovremo concentrarci sull'impatto del quantum computing. Questa tecnologia potrebbe potenzialmente accelerare gli attacchi in modo notevoli che il settore non è ancora pronto ad affrontare. Le organizzazioni devono iniziare a pianificare un aggiornamento totale dell'hardware per tenere il passo con le avanzate capacità degli autori delle minacce informatiche. Anche se il pieno impatto di queste pianificazioni potrebbe non essere immediato, avviare le relative discussioni e preparazioni in tal senso è ora cruciale per garantire un'agevole transizione nel momento in cui il quantum computing si sta imponendo maggiormente nel settore della cybersecurity.

Le operazioni informatiche che sono state sostenute dai governi hanno registrato un significativo rialzo, trainate dall'intensificarsi delle tensioni geopolitiche attuali. Questi attacchi sostenuti dai governi prendono sempre più di mira l'infrastruttura critica, il che sottolinea l'urgente necessità di adottare strategie di monitoraggio e un'intelligence proattiva delle minacce da parte delle organizzazioni.

Le violazioni della supply chain sono emerse come un problema critico nel 2024, in cui i criminali hanno sfruttato vari provider di terze parti per infiltrarsi nelle organizzazioni, inclusi alcuni obiettivi di alto profilo. Questa tendenza ha evidenziato varie lacune nelle pratiche di sicurezza e ha evidenziato la necessità di monitorare e controllare continuamente i partner della supply chain. È chiaro che le organizzazioni di tutta la supply chain devono promuovere una cultura della sicurezza per mitigare questi rischi.

L'aspetto forse più allarmante è che i criminali informatici stanno ora utilizzando l'intelligenza artificiale (AI) per creare vettori di attacco più sofisticati. Gli strumenti basati sull'intelligenza artificiale hanno consentito di creare campagne di phishing altamente convincenti, deepfake e altre tattiche innovative. L'adozione dell'intelligenza artificiale ha portato a un marcato aumento di attacchi riusciti. Per contrastare questa minaccia, le organizzazioni devono coltivare una cultura basata sullo scetticismo e sull'informazione a tutti i livelli, unita a solidi processi di verifica per le richieste sensibili.

È stato previsto che i criminali informatici continueranno a utilizzare l'intelligenza artificiale per automatizzare e personalizzare gli attacchi di phishing, rendendo il rilevamento di questi attacchi ancora più difficile. Ciò potrebbe spingere le organizzazioni ad investire in soluzioni per la sicurezza basate sull'intelligenza artificiale per effettuare il rilevamento delle minacce in tempo reale.

Inoltre, sono stati previsti continui attacchi ransomware che si basano sul loro successo ottenuto nel 2024. Le tattiche si sono evolute dalla doppia alla tripla estorsione (spesso con attacchi DDoS) fino alla quadrupla estorsione (un attacco in cui i criminali contattano direttamente i clienti, i dipendenti e altre entità connesse della vittima per informarli che le loro informazioni sensibili sono state violate). Le organizzazioni che pagano un riscatto potrebbero essere prese nuovamente di mira. Per proteggersi, le aziende devono migliorare le proprie soluzioni di backup e intensificare la formazione dei dipendenti per mitigare questi rischi.

Si prevede un aumento degli attacchi ai dispositivi IoT (Internet of Things), che spesso non dispongono di un solido sistema di sicurezza. Esistono numerosi dispositivi che i criminali possono sfruttare e questi attacchi tendono a verificarsi rapidamente dopo l'identificazione delle vulnerabilità. Ciò evidenzia la necessità di adottare misure di sicurezza più efficaci e protocolli standardizzati sia a livello dei consumatori che dell'organizzazione. È fondamentale  mantenere aggiornate le patch e i sistemi di protezione per capire quali sono i propri dispositivi IoT.

Alla luce delle persistenti tensioni geopolitiche attuali, si prevede una continuazione della guerra cibernetica strategicamente mirata ad obiettivi legati a paesi specifici. Inoltre, si prevede un aumento delle minacce informatiche che sono strategicamente coordinate con azioni fisiche, come l'interruzione simultanea di sistemi di allarme critici e il lancio di attacchi militari. Questa tendenza suggerisce una continua attenzione alla guerra cibernetica mirata a interessi nazionali specifici. Alla luce di ciò, sarà essenziale adottare un approccio di sicurezza multilivello e promuovere la collaborazione con gli enti pubblici per migliorare la resilienza contro queste minacce in continua evoluzione.

La tendenza principale del 2024 è stata rappresentata dall'aumento dell'hacktivismo e degli attacchi DDoS nell'area EMEA (Europa, Medio Oriente e Africa). Nel terzo trimestre del 2024, abbiamo assistito a una massiccia crescita degli attacchi che hanno colpito l'Europa e il Medio Oriente. Ciò è chiaramente associato alle due guerre locali che stanno promuovendo gran parte di queste attività e non vi è alcun segno che questi attacchi andranno a calare.

Un altro sviluppo degno di nota è stato costituito dall'implementazione della direttiva NIS2, che si concentra sulla resilienza operativa. Si tratta di una normativa concepita per essere adottata come legislazione da parte di ogni Stato membro dell'Unione europea (UE). Gli Stati membri dell'UE hanno dovuto, fino al 17 ottobre 2024, inserire la NIS2 in una legge nazionale. Le organizzazioni europee devono garantire che le loro infrastrutture di sicurezza siano conformi a questi nuovi requisiti aggiornati. che si incentrano sulla mitigazione dei rischi e sul miglioramento della resilienza in caso di attacco.

Un evento particolarmente interessante è stato rappresentato dalla backdoor di XZ Utils (CVE-2024-3094), che ha sfruttato una vulnerabilità presente in questa libreria open source ampiamente utilizzata. Il criminale si è dedicato a lungo al suo scopo lavorando al progetto XZ iniziato da quasi due anni per creare un senso di credibilità finché non è riuscito ad incorporare un programma malware nell'ambiente open source. Le ripercussioni di questa tecnica si sono avvertite nella campagna di Volt Typhoon, che è riuscita a penetrare in vari router DSL presenti negli Stati Uniti con l'obiettivo di interrompere le loro comunicazioni.

Forse lo sviluppo più interessante degli attacchi DDoS è coinciso con una vulnerabilità rilevata dal SIRT di Akamai nel CUPS (Common UNIX Printing System), una piattaforma di stampa open source. Si è trattato di un altro vettore che i criminali hanno potuto aggiungere al loro arsenale per colpire l'Europa. La capacità di colpire una sola volta e creare poi successivamente un flusso di traffico infinito è risultata particolarmente allettante, soprattutto perché esistono migliaia di dispositivi vulnerabili su Internet che utilizzano il sistema CUPS.

Con due guerre locali ancora in corso, non pensiamo che la minaccia dell'hacktivismo diminuirà a breve. Ecco perché Akamai continua a collaborare con il governo ucraino per proteggere le sue risorse online più importanti. Riteniamo che le attività degli attacchi da parte dei criminali continueranno finché non si allenteranno le attuali tensioni geopolitiche poiché i conflitti hanno una notevole influenza sugli hacktivisti, come anche la loro percezione di ingiustizia. Questi criminali stanno cercando di creare una situazione in cui regna la mancanza di fiducia nei confronti delle istituzioni, facendo pressione sui governi nazionali perché interrompano il loro sostegno a specifici regimi.

Riteniamo che si assisterà ad una svolta nei vettori di attacco che tenderanno a focalizzarsi maggiormente sulle API. Poiché le organizzazioni implementano un numero maggiore di API (Application Programming Interface), assisteremo ad un incremento della loro vulnerabilità alle minacce, che le metterà maggiormente a rischio di subire eventuali abusi. Akamai si focalizza sulle vulnerabilità delle API da qualche tempo, considerando il panorama delle minacce in continua espansione e sottolineando la necessità per le organizzazioni di implementare una solida strategia di sicurezza delle API.

Nel 2025, abbiamo previsto una maggiore focalizzazione sull'agilità crittografica. Le organizzazioni stanno iniziando a rendersi conto dell'importanza di adottare una tecnologia QSC (Quantum-Safe Cryptography). Nel giro di pochi anni, se non prima, dovranno aggiornare alcuni dei loro certificati e algoritmi. Sono molte le questioni che vengono sollevate su quali sono gli standard di crittografia più appropriati da utilizzare e su quando e come passare alla tecnologia QSC (Quantum-Safe Cryptography). Questo passaggio non avverrà nell'immediato futuro, ma riteniamo che bisogna iniziare a pensare ai rischi che vanno affrontati e a come risolverli. Si tratta di una svolta generazionale.

Degno di nota è anche il fatto che i picchi di attacchi DDoS sono coincisi con i più importanti eventi geopolitici attuali. Nel 2024, si sono tenute importanti elezioni in tre paesi dell'area APJ (India, Indonesia e Taiwan) e, proprio in corrispondenza del periodo di questi eventi, si è registrato un aumento nel numero di attacchi DDoS.

Riteniamo che l'aumento di questi attacchi possa essere attribuito ad un incremento del fenomeno dell'hacktivismo, che ha preso di mira paesi o settori industriali ritenuti dagli hacktivisti in contrasto con le loro ideologie e opinioni. Questa osservazione evidenzia il fatto che le organizzazioni non devono solo difendersi dai criminali informatici che cercano di ottenere guadagni economici, ma anche dagli hacktivisti che agiscono sulla base di motivazioni politiche sferrando attacchi potenzialmente in qualsiasi momento.

 Gli attacchi DDoS sono chiaramente un problema di primo piano, tuttavia riteniamo che molte organizzazioni che operano nell'area APJ non siano ancora adeguatamente preparate per fronteggiarli. Questi attacchi sono una minaccia reale che va presa seriamente in considerazione. Gli attacchi DDoS non vengono sferrati solo contro le aziende commerciali, ma prendono di mira anche infrastrutture critiche, dai sistemi bancari ai trasporti fino ai servizi di pubblica utilità. In caso di riuscita degli attacchi DDoS, il loro impatto tende a ripercuotersi sulla nostra vita di tutti i giorni.

Come in altre aree a livello globale, le organizzazioni che operano nell'area APJ adotteranno l'AI per usufruire dei vantaggi apportati alla redditività e alle attività aziendali ad un ritmo molto più frenetico in tutti i settori nel 2025. Tuttavia, nella corsa all'adozione dell'AI, è importante non perdere di vista i sistemi di sicurezza essenziali. Poco più di dieci anni fa, abbiamo osservato una situazione simile quando le aziende si sono affrettate ad adottare il cloud computing e la cybersecurity. La sicurezza è andata spesso a discapito della velocità di adottare le nuove tecnologie, il che ha inevitabilmente portato a violazioni di dati di alto profilo.

Attualmente, riteniamo che le organizzazioni abbiano solo iniziato ad avere una minima conoscenza del potenziale offerto dall'AI, ma potrebbero non aver compreso appieno le possibili implicazioni in termini di sicurezza. Poiché l'AI viene integrata più profondamente nelle operazioni aziendali, la necessità di proteggerla deve essere una delle principali priorità delle strategie delle organizzazioni. Sfortunatamente, se il passato ci ha insegnato qualcosa, la probabilità che ciò avvenga è relativamente scarsa finché non si verifica un'importante violazione di dati che improvvisamente spinge le organizzazioni e gli enti di controllo a focalizzarsi sulle normative e sui sistemi di sicurezza correlati.

A partire dal 2025, riteniamo che assisteremo ad una maggiore focalizzazione su due aspetti associati alla sicurezza dell'AI: la protezione dei sistemi di intelligenza artificiale e la difesa dagli attacchi basati sull'AI. Dopotutto, i criminali informatici stanno imparando come sfruttare l'AI per rendere i loro attacchi più elusivi, efficienti ed efficaci. L'AI ridurrà le barriere che ostacolano l'accesso dei criminali ai sistemi presi di mira, accelerando la loro capacità di identificare e sfruttare le vulnerabilità in essi presenti. Akamai è già avanti nella costruzione di propri modelli di AI, nello studio di come vengono attaccati e nella definizione dei sistemi di protezione necessari per migliorare le sue soluzioni per la sicurezza, che possono includere anche varie implementazioni di funzionalità basate sull'AI. È questo un settore in cui continueremo ad innovare le nostre funzionalità nel 2025 e oltre.

Infine, dobbiamo dire che, mentre tutti sono distratti dalle ultimissime innovazioni dell'AI, è importante non perdere di vista la necessità di disporre di solidi sistemi di sicurezza. I criminali prenderanno ancora di mira gli endpoint delle API e continueranno a sferrare attacchi di phishing nel 2025. Dovremo assicurarci di implementare le patch appropriate in modo tempestivo, di tenere sempre always-on i nostri sistemi di protezione e di consentire al personale dedicato, con una formazione continua, di identificare e mitigare le attività dannose. Perché, con o senza l'AI, queste minacce non sono destinate a scomparire.

Il panorama normativo della cybersecurity ha continuato ad evolversi a livello globale. Nel 2023, Anu Bradford  ha sottolineato tre diversi approcci emergenti: i modelli basati sul mercato, sugli stati nazionali e sui diritti. Questo quadro normativo ha fornito una panoramica utile per comprendere i nuovi regolamenti del 2024, tra cui la U.S. Securities and Exchange Commission che ha introdotto normative sugli aspetti materiali dei rischi informatici, il DORA dell'UE e la legge sulla sicurezza dei dati in Cina. Le nuove normative stanno influendo a livello locale nei vari paesi, che devono adottare una prospettiva globale sulla conformità. Tra le aree su cui si sono recentemente focalizzate le normative, figurano le API, l'AI generativa e le policy relative agli attacchi ransomware, che garantiscono un monitoraggio accurato.

Anche se l'AI generativa è ancora alle fasi iniziali, l'OWASP (Open Worldwide Application Security Project) ha già pubblicato un elenco con i 10 principali rischi per la sicurezza per i grandi modelli linguistici (LLM). Questi rischi richiedono sistemi di difesa da minacce come attacchi DDoS, divulgazione di informazioni sensibili e problemi di sicurezza del runtime. Inoltre, i team addetti alla cybersecurity devono sviluppare le competenze necessarie per sfruttare e salvaguardare in modo efficace questi modelli.

Il rischio per le API continuerà a rimanere un problema cruciale con una scalabilità rapida. L'elenco OWASP con i 10 principali rischi per la sicurezza delle API evidenzia la necessità di disporre di competenze e controlli di sicurezza tali da poter affrontare gli attacchi alla logica aziendale. Mentre le API rimangono vulnerabili a minacce tradizionali, come gli attacchi LFI (Local File Inclusion), questi nuovi vettori di attacco prevalenti richiedono funzionalità avanzate per una visibilità e una risposta tempestiva. Nel 2025, è risultato ancora più importante identificare i sistemi nascosti o dimenticati che diventano "zombie" non gestiti, formare gli sviluppatori sulle vulnerabilità più comuni e verificare il runtime dell'implementazione di codice sicuro. Il numero crescente di violazioni significative che derivano dall'abuso delle API pubbliche sottolinea l'importanza di eseguire il monitoraggio continuo e la mitigazione di queste attività prima che possano avere un impatto materiale.

Ciò che si è distinto nel 2024 è stato rappresentato dall'espansione della superficie di attacco, derivante non solo dall'implementazione di nuove tecnologie, ma anche dalla creazione di nuovi criminali da parte delle stesse tecnologie. Non parliamo solo di ChatGPT che scrive malware, ma è tutta un'altra questione. Le barriere tecniche che ostacolano l'accesso dei criminali ai sistemi presi di mira si sono ridotte in modo significativo, creando, di conseguenza, un divario tra addetti alla sicurezza e criminali ancora più sproporzionato, che potrebbe diventare, in realtà, un'enorme frattura nel momento in cui l'AI generativa e i modelli LLM diventano la norma.

La tecnologia sta avanzando a velocità prima impensabili: ecco perché non possiamo contrastare solo il livello di complessità a livello di stati nazionali, ma anche i criminali informatici meno esperti, che sono arrabbiati per interessi personali. Il time-to-market dei criminali si è ridotto a poche ore dalla divulgazione delle vulnerabilità, alcune delle quali presentano diverse opzioni per essere sfruttate. Gli addetti alla sicurezza vengono bombardati di richieste e ogni anno la situazione sembra peggiorare. 

Anche le nuove tecnologie hanno offerto nuovi percorsi di attacco oltre alle vecchie minacce. Le minacce mitigate in precedenza ora hanno un punto di accesso totalmente nuovo o un vettore potrebbe arrecare più danni post-sfruttamento. Una quantità significativa dei programmi malware osservati quest'anno ha sfruttato vecchie vulnerabilità, come Log4Shell, alcune vulnerabilità obsolete e, persino, qualche vulnerabilità a cui non è stato assegnato un codice CVE appropriato. Un autore di botnet esperto può espandere il proprio kit di strumenti per includere malware basato su Golang , che è più difficile da nascondere, e qualsiasi titolare di carte di credito può sferrare un ransomware o un attacco DDoS su larga scala tanto facilmente quanto comprare un paio di scarpe online.

Man mano che questa foresta digitale in continuo cambiamento che chiamiamo Internet diventa sempre più interconnessa, aumenta anche il numero dei bersagli che i criminali possono colpire. Nel 2025, le organizzazioni sono dovute tornare ai componenti fondamentali riesaminando e aggiornando la gestione delle patch e la strategia di risposta agli incidenti che hanno adottato, anche per le vulnerabilità in precedenza modeste. Considerando che i criminali possono individuare eventuali vulnerabilità e diffondere malware a velocità supersoniche, e che un'eventuale incoerenza può avere un'influenza a livello globale, il concetto di "supporre una violazione" è stata fondamentale per entrare nel 2025 con il piede giusto.

Sulla base del proverbio "Uomo avvisato, mezzo salvato", Akamai si impegna nell'intento di tenere clienti, colleghi e utenti informati sulle minacce che oggi influiscono sulle organizzazioni, nonché su quelle che si nascondono dietro l'angolo.

Oltre a fornire soluzioni pratiche per affrontare le minacce odierne, la nostra azienda si focalizza enormemente sui cambiamenti trasformativi che l'AI sta apportando sia alle strategie di attacco che ai sistemi di difesa. I ricercatori di Akamai stanno anche  dirigendo la loro attenzione sulle tecnologie di nuova generazione, come il quantum computing, e collaborando con i propri clienti per prepararli adeguatamente al futuro.