24 miliardi di credenziali rubate. La lezione? Il browser è il punto di accesso preferito del crimine informatico.

Il vasto database delle credenziali rivela come gli infostealer stiano trasformando i browser in gateway per i sistemi aziendali.

Punti chiave

• Il database di 24 miliardi di record scoperto a giugno evidenzia la crescita dell'economia degli infostealer.
• Gli attaccanti prendono di mira sempre più spesso identità digitali complete, non solo le password.
• I browser ora memorizzano preziosi beni aziendali che comprendono identità complete, inclusi token, sessioni e accesso al cloud.
• Le organizzazioni dovrebbero concentrarsi sulla protezione dell'identità, sulla sicurezza delle sessioni e sulla prevenzione del furto di account.
• Capacità di sicurezza stratificata e di rilevamento gestito possono aiutare a ridurre l'impatto delle credenziali rubate.

Quando la notizia è emersa a giugno che i ricercatori avevano scoperto un database contenente 24 miliardi di record rubati, i titoli erano prevedibili. Un'altra enorme fuga di credenziali, su una scala quasi incomprensibile. E come al solito, un promemoria per cambiare le tue password.

Ma le dimensioni enormi del database potrebbero distogliere l'attenzione dal vero significato di questa scoperta, ovvero che i dati sembrano provenire principalmente da malware infostealer, riflettendo un cambiamento più ampio nel modo in cui operano gli attaccanti. Il crimine informatico moderno si concentra sempre più sulla raccolta di identità digitali complete piuttosto che sulla semplice raccolta di credenziali.

Questo cambiamento ha importanti implicazioni per le aziende perché modifica il punto in cui iniziano gli attacchi e come i difensori devono pensare a proteggere gli utenti.

Il browser è il tuo endpoint più vulnerabile

Per anni, le strategie di sicurezza informatica sono state costruite attorno a un modello in cui gli attaccanti distribuivano malware, sfruttavano vulnerabilità o ingannavano gli utenti inducendoli a rivelare le credenziali tramite attacchi di phishing. Ma oggi, molti attacchi iniziano dal browser.

I browser moderni sono diventati hub centrali sia per le attività personali che per quelle aziendali. Memorizzano le password, mantengono le sessioni autenticate, connettono gli utenti alle applicazioni SaaS, ricordano gli account cloud e conservano i token che mantengono gli utenti connessi durante tutto il giorno. Di conseguenza, i browser contengono sempre più tutto ciò di cui un attaccante ha bisogno per impersonare un utente legittimo.

Questo è il motivo per cui il malware infostealer è diventato uno strumento così prezioso per i criminali informatici. Piuttosto che rubare una singola password, gli attaccanti possono raccogliere dati del browser, token di autenticazione, cookie di sessione, credenziali cloud e altre informazioni che forniscono accesso immediato ai sistemi aziendali.

In molti casi, un attaccante non deve "hackerare" un account. L'infostealer consente loro di ereditare semplicemente un'identità autenticata.

Le password sono dati di consumo

Il database di 24 miliardi di record è anche un promemoria del fatto che le password da sole non hanno più lo stesso valore di un tempo. Per anni, gli attaccanti si sono concentrati sul furto di password utilizzando una varietà di metodi. Con la maturazione dell'economia del crimine informatico, è diventato possibile acquistare semplicemente grandi collezioni di password violate da altri criminali.

Oggi, molte operazioni di cybercriminali sono interessate a qualcosa di molto più utile: identità digitali complete che includono sessioni del browser, accesso SaaS, connessioni VPN e token di autenticazione.

Questa evoluzione aiuta a spiegare perché il furto di credenziali continua a svolgere un ruolo centrale nei ransomware, nel business email compromise e negli attacchi di furto di account. I recenti rapporti di intelligence sulle minacce identificano costantemente le credenziali compromesse e l'attività degli infostealer come principali fonti di accesso iniziale per i gruppi criminali.

Questo è anche strettamente connesso all'aumento degli attacchi di furto di account. Una volta che gli attaccanti ottengono l'accesso a un account fidato, possono muoversi all'interno di un'organizzazione apparendo come utenti legittimi. I controlli di sicurezza tradizionali progettati per fermare malware o accessi sospetti potrebbero non essere mai attivati perché l'attaccante sta operando con credenziali valide e sessioni attive.

Cosa significa questo per le aziende

Per le organizzazioni, soprattutto quelle con piccoli team di sicurezza, l'importante conclusione è che la protezione dell'identità non può più concentrarsi esclusivamente sulle password.

Le aziende devono presumere che alcune credenziali siano già esposte. La priorità dovrebbe essere ridurre il valore delle informazioni rubate aggiungendo livelli di protezione attorno alle identità e alle sessioni.

Ciò significa rafforzare l'autenticazione multi-fattore, adottare l'autenticazione resistente al phishing dove possibile, monitorare l'attività di furto di account e limitare l'impatto degli account compromessi attraverso controlli di accesso con privilegi minimi.

Significa anche prestare maggiore attenzione al browser stesso. I team di sicurezza hanno tradizionalmente trattato i browser come applicazioni che girano sugli endpoint. Sempre più spesso, dovrebbero essere visti come confini di sicurezza che meritano le proprie protezioni e monitoraggio.

Questo è particolarmente importante poiché gli attaccanti continuano a distribuire infostealer tramite aggiornamenti software falsi, estensioni del browser dannose, applicazioni craccate ed esche a tema IA sempre più convincenti. Un singolo dispositivo infetto può fornire ai criminali informatici l'accesso a molto più di un nome utente e una password.

Guardando oltre l'ultimo dump di credenziali

I criminali informatici non raccolgono più le credenziali semplicemente per violare gli account. Stanno raccogliendo identità, sessioni e accessi fidati che possono essere venduti, condivisi o utilizzati per lanciare attacchi successivi. La credenziale stessa sta diventando solo una componente di un pacchetto d'identità molto più ampio.

Per i difensori, ciò significa pensare oltre le password e concentrarsi sul più ampio ecosistema delle identità. Le organizzazioni che si adattano per prime saranno meglio posizionate per fermare gli attacchi di furto di account prima che diventino incidenti di ransomware, eventi di Business Email Compromise o violazioni importanti.

E mentre nessun singolo controllo di sicurezza può eliminare il rischio, un approccio stratificato che combina una forte protezione dell'identità, difesa dal phishing, sicurezza delle sessioni e monitoraggio continuo può rendere significativamente più difficile per gli attaccanti trasformare un profilo del browser rubato in un'intrusione riuscita.

Servizi di rilevamento e risposta gestiti come Barracuda Managed XDR possono anche aiutare i team IT e di sicurezza snelli a identificare attività sospette sugli account, indagare su potenziali compromissioni e rispondere prima che le credenziali rubate o i dati di sessione portino a un incidente più grande. L'obiettivo non è solo proteggere le password. È proteggere le identità digitali che alimentano sempre più il business moderno.