Gli attacchi alla supply chain hanno spostato il focus dall'atto mirato contro una sola vittima all'atto mirato contro una categoria produttiva o un intero Paese. Hanno costretto Paesi e aziende a fare i conti con la propria dipendenza dai sistemi globali e dai fornitori terzi. Dipendenza mal custodia, data la volubilità delle infrastrutture informatiche da cui questi sistemi dipendono.

Sono frutto di una lunga catena di errori che sono stati commessi sottovalutando i rischi (e che in realtà gli esperti evidenziavano da tempo) e ignorando la storia dell'umanità. È proprio dalla storia che parte Justin Fier, Director of Cyber Intelligence & Analytics di Darktrace, quando parla di attacchi alle supply chain.

Fier fa notare argutamente che l’interruzione alla supply chain non è nulla di nuovo e non rappresenta altro che una continuazione di una strategia militare applicata da secoli. In epoca pre informatica gli attacchi alla supply chain altro non erano che l'interruzione del sistema di approvvigionamento del nemico per metterlo in ginocchio. Una tattica che ha sancito ascesa e caduta di Napoleone, e nella Seconda guerra mondiale ha permesso agli Alleati di sconfiggere la Germania.

Oggi i cyber criminali intervengono sul cyberspazio declinando le tecniche della guerra fisica in chiave virtuale. Ma lo scopo è sempre lo stesso: minare i confini fisici e mettere in ginocchio un sistema di approvvigionamento. Analizzando i recenti attacchi alla supply chain, Fier evidenzia come alcuni attacchi siano volti a interrompere la supply chain (vedi Colonial Pipeline), altri a sfruttare la stessa per diffondersi (vedi Solar Winds e Kaseya).

Questi ultimi sono insidiosi perché sfruttano la tendenza dell’essere umano alla fiducia. Se una email proviene da un fornitore affidabile o un'applicazione è gestita da un provider attendibile, tendiamo ad abbassare la guardia. Ecco perché gli attaccanti hanno capito che è più efficace entrare dalla "porta di servizio", piuttosto che attaccare frontalmente una grande azienda.

I due tipi di compromissione alla supply chain non si escludono a vicenda. Basti pensare a NotPetya, che ha infettato i dispositivi delle sue vittime attraverso un software ucraino per il controllo fiscale, ottenendo il risultato di bloccare per due settimane l'attività di Maersk, la più grande compagnia di navigazione di container del mondo. La catena di approvvigionamento è stata interrotta.

Dallo spionaggio al cyber crime

I primi a mettere in atto sul piano informatico queste tattiche sono stati gli Stati nazionali, a scopo di spionaggio, come abbiamo visto con SolarWinds e le campagne Hafnium. Il crimine organizzato finalizzato al profitto ha fatto lo stesso con i ransomware a doppia e tripla estorsione.

La conclusione, secondo Fier, è che la supply chain è finita contemporaneamente nella linea di tiro sia del crimine sia della guerra informatici. L'errore che abbiamo commesso è stato sottovalutare il rischio delle nostre supply chain, incassando gravi conseguenze per il business, che equivalgono alla perdita delle battaglie fisiche del passato.

Chiedersi come lavorano i fornitori, le difese che mettono in atto e cosa succede nel caso in cui venissero attaccati sono diventate domande essenziali per garantire il successo di un'azienda. E le armi per combattere sono gli strumenti di cybersecurity in grado di rilevare le violazioni di terze parti, un cambiamento di linguaggio in una email, o il comportamento anomalo di una fonte tradizionalmente fidata.