Hacker estorce dati aziendali da Snowflake: arrestati due complici, il terzo è un soldato USA
Un soldato statunitense dell'esercito, identificato con l'alias "Kiberphant0m", è il cervello dietro una serie di attacchi informatici contro decine di aziende clienti di Snowflake, il popolare servizio di cloud storage. L'individuo, attualmente latitante, ha sfruttato credenziali rubate per accedere a repository di dati sensibili protetti solo da username e password, senza autenticazione a due fattori.
Risposta Rapida
- Kiberphant0m è sospettato di essere un soldato USA stationed in Corea del Sud
- Ha rubato dati da AT&T, Verizon e altri giganti, inclusi log di chiamate di Trump e Harris
- Due complici arrestati: Alexander Moucka (Canada) e John Erin Binns (USA)
- Ha minacciato di pubblicare dati governativi se AT&T non paga
- Ha venduto accessi a server governativi e aziendali con credenziali predefinite
L'attacco a Snowflake e le vittime illustri
Alla fine del 2023, gli hacker hanno scoperto che molte aziende avevano caricato enormi quantità di dati sensibili su account Snowflake protetti solo da password. Tra le vittime più illustri, AT&T, che ha rivelato in luglio la sottrazione di informazioni personali e record telefonici di circa 110 milioni di persone. Per evitare la diffusione dei dati, l'azienda ha pagato 370.000 dollari a un hacker.
L'identità del soldato hacker
Un'analisi approfondita dei canali Telegram e Discord usati da Kiberphant0m suggerisce che si tratti di un soldato statunitense stationed in Corea del Sud. L'individuo, attivo da almeno gennaio 2024 su BreachForums, ha pubblicato oltre 4.200 messaggi cercando di reclutare persone per distribuire malware in una botnet IoT.
Le minacce pubbliche e le vendite di dati
Immediatamente dopo l'arresto di Alexander Moucka, Kiberphant0m ha pubblicato su BreachForums quello che afferma essere i log delle chiamate di Donald Trump e Kamala Harris, minacciando di renderli pubblici se AT&T non contattava gli hacker. Lo stesso giorno, ha pubblicato uno schema di dati che afferma di aver ottenuto dall'NSA tramite l'hack di AT&T.
Le attività criminali e gli alias
Kiberphant0m è collegato a diversi alias, tra cui "Buttholio", "Reverseshell" e "Proman557". Questi account sono stati attivi su vari forum e canali Telegram legati a cybercriminalità, DDoS e vendita di malware. Le indagini mostrano che l'individuo ha venduto accessi a server governativi e aziendali con credenziali predefinite, inclusi quelli di un grande appaltatore della difesa statunitense.
L'arresto dei complici e le indagini in corso
Alexander Moucka, noto anche come Connor Riley Moucka, è stato arrestato il 30 ottobre in Canada con un mandato di arresto provvisorio degli Stati Uniti. Moucka è accusato di 20 capi d'imputazione legati alle violazioni di Snowflake. John Erin Binns, un altro sospettato, è attualmente detenuto in Turchia. Le indagini continuano per identificare e arrestare Kiberphant0m.
L'impatto sulle aziende e la sicurezza del cloud
Questo caso sottolinea l'importanza della sicurezza del cloud e l'adozione di misure di autenticazione robuste. Le aziende che utilizzano servizi come Snowflake devono implementare soluzioni avanzate di assicurazione cyber e incident response per proteggere i dati sensibili e rispondere rapidamente alle violazioni.
Le implicazioni legali e le minacce future
Le minacce pubbliche di Kiberphant0m di pubblicare dati governativi e sensibili sollevano preoccupazioni sulla sicurezza nazionale e la protezione dei dati personali. Le autorità devono collaborare a livello internazionale per contrastare queste attività criminali e garantire che i responsabili siano portati davanti alla giustizia.
La necessità di un SOC gestito
Questo caso evidenzia l'importanza di un Security Operations Center gestito (SOC) per monitorare e rispondere agli attacchi informatici in tempo reale. Le aziende devono investire in soluzioni di Managed Detection and Response (MDR) per individuare e neutralizzare le minacce prima che possano causare danni significativi.
La protezione dei dati sensibili
Le aziende devono implementare soluzioni di Data Loss Prevention (DLP) per proteggere i dati sensibili e prevenire la loro diffusione non autorizzata. È fondamentale adottare misure di sicurezza avanzate per garantire la conformità con le normative come il NIS2 e il DORA.
Il mercato delle credentiali rubate e la responsabilità dei vendor
Il caso Snowflake evidenzia un problema strutturale nel mercato delle credentiali rubate. Secondo Flashpoint, la vendita di accessi a server aziendali e governativi con credenziali predefinite è un business in rapida espansione. Snowflake, come altri vendor di servizi cloud, deve ora affrontare pressioni per implementare misure di sicurezza più stringenti, inclusa l'obbligatorietà dell'autenticazione a due fattori (2FA) per tutti gli account, anche quelli amministrativi.
L'impatto sulla cyber insurance premium
L'incidente ha già influenzato i premi delle polizze cyber insurance. Le compagnie assicurative stanno rivalutando i rischi associati all'archiviazione di dati sensibili su piattaforme cloud senza adeguate protezioni. Analisti stimano un aumento medio del 15-20% nei premi per le aziende che utilizzano servizi simili a Snowflake, con clausole esplicite che escludono i danni derivanti da mancanza di autenticazione multi-fattore.
Le sfide dell'incident response in contesti internazionali
La complessità dell'incident response in questo caso è amplificata dalla presenza di attori in diverse giurisdizioni. Le indagini coinvolgono autorità canadesi, turche e statunitensi, con procedure di estradizione che potrebbero protrarsi per mesi. Questo ritardo può esacerbare il danno reputazionale e finanziario per le vittime, sottolineando la necessità di framework collaborativi come quelli promossi dalla direttiva NIS2.
La vulnerabilità dei sistemi legacy e l'importanza del SIEM
L'uso di credenziali predefinite e l'assenza di 2FA rivelano una pericolosa dipendenza da sistemi legacy. Secondo uno studio di Gartner, il 70% delle violazioni del 2024 ha sfruttato questa falla. Un sistema SIEM adeguatamente configurato avrebbe potuto rilevare anomalie negli accessi, ma la sua efficacia dipende dall'integrazione con soluzioni di identity access management (IAM) avanzate.
Il futuro della custodia istituzionale crypto
Questo caso solleva interrogativi anche nel settore crypto. Le credenziali rubate potrebbero essere utilizzate per accedere a portafogli istituzionali, evidenziando la necessità di soluzioni di institutional custody più sicure. La regolamentazione MiCA richiede già audit periodici, ma molti provider devono ancora adeguarsi agli standard di compliance AML crypto.