Sono le API bancarie (application programming interfaces) il principale bersaglio degli odierni attacchi di Credential Abuse: secondo l’ultima ricerca di Akamai, il SOTI Security report 2020- Hostile Takeover Attempts, dedicato ai servizi finanziari, da maggio 2019 fino alla fine dell’anno si è avuto un netto cambiamento nelle attività criminali che ora prendono sempre più di mira le API, con l’obiettivo di bypassare i controlli di sicurezza. Secondo i dati di Akamai, il 75% degli attacchi di credential abuse nel settore dei servizi finanziari sono oggi diretti alle API.
Le API bancarie sono oggi presenti ovunque: dipendenti e clienti le utilizzano costantemente nel mondo dei servizi finanziari, ad esempio online o via mobile. Le due tecniche utilizzate dalle API, REST e SOAP, permettono infatti di semplificare gli scambi di dati tra applicazioni finanziarie, garantendo ai clienti precisione e accuratezza nelle transazioni. Ma i criminali possono utilizzare queste tecniche come target da superare per ottenere accesso a dati sensibili o a risorse finanziarie.
Ma non sempre gli attacchi sono indirizzati unicamente alle API. Il 7 agosto 2019, Akamai ha registrato il più grande attacco di credential stuffing di tutta la sua storia, effettuato contro un singolo istituto finanziario, risultato in 55.141.782 tentativi di login malevoli. Questo attacco ha in parte preso di mira le API, in parte ha utilizzato altre metodologie. Il 25 agosto, in un diverso attacco, i criminali hanno agito direttamente contro le API, in un rush in cui sono stati contati più di 19 milioni di attacchi di credential abuse.
“I criminali stanno diventando sempre più creativi, ma sono soprattutto molto focalizzati nel trovare sempre nuove modalità per ottenere gli accessi e mettere in atto i loro crimini”, ha commentato Steve Ragan, Akamai Security Researcher e principale autore dello State of the Internet Security report. “I criminali quando attaccano il settore dei servizi finanziari fanno molta attenzione alle difese messe in atto da queste organizzazioni e adeguano di conseguenza i loro modelli di attacco”.
Indicativo per capire la dinamica fluida di questo attacco, il fatto che nel report venga sottolineato che i criminali continuano a cercare di recuperare i dati con una serie di metodi, con lo scopo di ottenere una maggiore penetrazione nel server e avere successo nei loro tentativi di frode.
Sempre secondo il report, gli attacchi di tipo SQL Injection (SQLi) hanno rappresentato oltre il 72% di tutti gli attacchi, se si considerano tutti i settori colpiti durante il periodo di 24 mesi. Questa percentuale si dimezza al 36% se si considerano solo gli attacchi ai servizi finanziari. Il primo tipo di attacco contro il settore dei servizi finanziari è stato il Local File Inclusion (LFI), che ha coinvolto il 47% del traffico monitorato. Gli attacchi LFI sfruttano diversi script in esecuzione sui server e, di conseguenza, possono essere utilizzati per forzare la divulgazione di informazioni sensibili. Gli attacchi LFI possono essere sfruttati anche per l’esecuzione di comandi lato client (ad esempio un file JavaScript vulnerabile), che potrebbero portare ad attacchi di Cross-Site Scripting (XSS) e Denial of Service (DoS). XSS è stato il terzo tipo di attacco più comune contro i servizi finanziari, con 50,7 milioni di attacchi registrati, pari al 7,7% del traffico di attacchi osservato.
Il report mostra anche che i criminali continuano ad utilizzare gli attacchi DDoS (Distributed Denial of Service) come componente fondamentale del loro arsenale d’attacco, in particolar modo quando si tratta di colpire organizzazioni di servizi finanziari. I dati monitorati da Akamai da novembre 2017 a ottobre 2019 mostrano che il settore dei servizi finanziari è al terzo posto per volume di attacchi, con il gaming e la tecnologia come settori più colpiti. Tuttavia, oltre il 40% dei target unici di attacchi DDoS sono stati i servizi finanziari, il che fa di questo settore il primo bersaglio se si considera il numero di vittime colpite.
“I team addetti alla sicurezza devono considerare costantemente tutti gli aspetti coinvolti (policy, procedure, workflow ed esigenze aziendali) nella lotta contro gli autori degli attacchi, che spesso mostrano un buon livello di organizzazione e disponibilità finanziaria”, ha concluso Ragan. “I nostri dati mostrano che le aziende nel settore dei servizi finanziari stanno migliorando continuamente i propri sistemi di difesa adottando strategie di sicurezza flessibili, che obbligano i criminali a cambiare le loro tattiche”.
Il SOTI Security report 2020 – Hostile Takeover Attempts di Akamai è disponibile qui.
