Cybersecurity nel 2023 fra metaverso e Intelligenza Artificiale

Violazioni del metaverso, app con vulnerabilità critiche introdotte dal codice automatizzato, robotaxi impazziti. Sono alcune delle singolari previsioni per il 2023 ad opera degli esperti di WatchGuard, che oltre agli scontati prosieguo dei trend ampiamente visti quest’anno tentano di cavalcare l’onda delle novità imitando la perspicacia e la fantasia dei criminali informatici. Le idee sono opera del CSO Corey Nachreiner e del Director of Security Operations di WatchGuard Marc Laliberte e si dividono essenzialmente in tre parti: gli attacchi ai processi aziendali, alle identità e alle intelligenze artificiali.

Sul primo fronte abbiamo i supply chain attack e le assicurazioni informatiche. Il primo argomento è piuttosto scontato: gli ultimi due anni hanno visto un incremento di attacchi alla supply chain digitale. La conseguenza diretta è che le aziende sono sempre più preoccupate per la sicurezza dei partner e dei fornitori con cui intrattengono rapporti commerciali. Nel 2023 si passerà dalle parole dai fatti, e la sicurezza interna dei fornitori diventerà un fattore di selezione prioritario per prodotti e servizi, appena al di sotto del prezzo e delle prestazioni.

Quella delle assicurazioni informatiche è invece una questione di cui si parla poco: gli assicuratori hanno subìto pesanti perdite da quando hanno iniziato a coprire le estorsioni informatiche, e per sostenerli hanno iniziato a trasferire tali costi sui loro clienti. Soprattutto su quelli più soggetti agli attacchi cyber, come sanità, infrastrutture critiche, finance e MSP. Dal prossimo anno aumenteranno significativamente i requisiti di sicurezza tecnica chiesti ai clienti prima di sottoscrivere l’assicurazione. E non saranno da escludere veri e propri "elenchi di vendor di sicurezza approvati" a cui far appaltare la security aziendale per ottenere la stipula della polizza.

Identità

Per quanto riguarda le identità le due previsioni riguardano metaverso e MFA. La prima è sicuramente la più singolare: ora che il metaverso ha preso la scena, WatchGuard ritiene che il primo attacco del metaverso che colpirà il business proverrà da un noto vettore di minacce reinventato per il futuro della realtà virtuale. Verso la fine del 2022, Meta ha rilasciato Meta Quest Pro come visore VR/MR "aziendale" per casi d'uso di produttività e creatività. Tra le altre cose, Meta Quest Pro ti consente di creare una connessione remota al desktop del tuo computer tradizionale, permettendoti di vedere lo schermo del tuo computer in un ambiente virtuale e di creare inoltre molti monitor virtuali e aree di lavoro per il tuo computer. Consente persino a un dipendente remoto di avviare riunioni virtuali (rispetto a video) che presumibilmente ti consentono di interagire in modo molto più umano.

Per quanto stravagante possa sembrare, sfrutta essenzialmente le stesse tecnologie di remote desktop di Microsoft Remote Desktop o Virtual Network Computing (VNC), lo stesso tipo di tecnologie di remote desktop che i criminali informatici hanno preso di mira e sfruttato innumerevoli volte in passato. Ecco perché nel 2023, WatchGuard ritiene che il primo grande hack del metaverso che colpirà un'azienda deriverà da una vulnerabilità nelle nuove funzionalità di produttività aziendale, come il remote desktop, utilizzato nell'ultima generazione di visori VR/MR destinati a casi d'uso aziendali.

Passiamo all’MFA, che secondo WatchGuard sarà presa di mira da molti attacchi. Ora che il suo impiego è aumentato notevolmente, verranno impiegate tecniche di bypass MFA malevole per attacchi mirati alle credenziali, ma soprattutto il social engineering intelligente. Gli attaccanti non avranno bisogno di hackerare la MFA se potranno raggirare gli utenti o semplicemente logorarli con una marea di richieste di approvazione che alla fine li spingeranno a fare clic su un link malevolo. Gli attaccanti potranno anche aggiornare le loro tecniche adversary-in-the-middle (AitM) per includere il processo MFA, acquisendo così i token della sessione di autenticazione quando gli utenti accedono legittimamente.

Intelligenza artificiale

Quello dell’AI è l’ambito in cui WatchGuard fa le previsioni più stravaganti. Partiamo dai robotaxi: diverse aziende tecnologiche come Cruise, Baidu e Waymo hanno iniziato a testare robotaxi in molte città in tutto il mondo, tra cui San Francisco e Pechino. I robotaxi sono fondamentalmente auto a guida autonoma che forniscono un'esperienza simile a Uber o Lyft, ma senza un autista umano. I progetti pilota non sono stati tutti un successo. A giugno, uno dei robotaxi di Cruise è stato coinvolto in un incidente che ha ferito i suoi tre passeggeri e il conducente dell'altro veicolo.

Dal momento che questi servizi di veicoli autonomi sono nuovi e ancora in fase di test, gli esperti WatchGuard non credono che una violazione provocherà un incidente pericoloso nel prossimo futuro. Tuttavia, nel 2023, è possibile che alcuni ricercatori di sicurezza o hacker possano perpetrare uno scherzo tecnico a un robotaxi per far rimanere bloccato uno di questi veicoli, senza che sappia cosa fare, bloccando potenzialmente il traffico.

L’ultima previsione riguarda i processi di sviluppo e parte dall’assunto che gli strumenti AI/ML ora possono scrivere codice. Ne è un esempio Copilot di GitHub, addestrato utilizzando i "big data" di miliardi di righe di codice presenti nei repository. Tuttavia, come con qualsiasi algoritmo AI/ML, la qualità del suo output è buona quanto la qualità dei dati di addestramento che vengono immessi. In altre parole, se fornisci all'intelligenza artificiale un codice errato o non sicuro, puoi aspettarti che l’AI fornisca lo stesso.

Gli studi hanno già dimostrato che fino al 40% del codice generato da Copilot include vulnerabilità di sicurezza sfruttabili e questa percentuale aumenta quando il codice dello sviluppatore contiene vulnerabilità. Gli esperti WatchGuard prevedono che nel 2023 uno sviluppatore inesperto, che faccia eccessivo affidamento su Copilot o su uno strumento di programmazione AI simile, rilascerà un'app che include una vulnerabilità critica introdotta dal codice automatizzato.