Cyber attacco in tre aeroporti britannici, dove è avvenuto il furto di dati ai danni di 8,7 milioni di passeggeri, italiani compresi.

“Il cyberattacco ai tre aeroporti britannici gestiti da Manchester Airports Group va letto oltre il semplice furto di dati. L’aspetto più preoccupante è la natura delle informazioni sottratte”, commenta Pierluigi Paganini, analista di cyber security e Ceo Cybhorus.

“Il dettaglio che merita attenzione è che, se la ricostruzione degli aggressori fosse confermata, la porta d’ingresso potrebbe essere stata qualcosa di molto meno spettacolare di quanto immaginiamo”, ipotizza Alessandro Curioni, Presidente e fondatore di DI.GI Academy.

“È fondamentale sottolineare che la sicurezza dei passeggeri e quella aerea non sono state compromesse e che le operazioni aeroportuali sono proseguite regolarmente. Tuttavia, l’incidente evidenzia comunque quanto possa essere ampio il panorama dei rischi informatici per le organizzazioni che gestiscono volumi significativi di dati dei clienti”, secondo Tim Williams, CEO di Quod Orbis.

Cyber attacco, trafugati i dati dei passeggeri degli aeroporti britannici

In questo attacco hacker contro tre aeroporti britannici, gli inquirenti si stanno domandando non solo chi sia dietro l’incidente, ma anche chi ha guadagnato l’accesso, sottratto i dati e conduce l’estorsione, per venire anche a capo di chi metterà le mani sui dati di di 8,7 milioni di utenti.

Il cyber attacco agli scali di Londra Stansted, Manchester ed East Midlands ha rubato dati riferibili a parcheggi prenotati, sale d’attesa e Fast Track, oltre alle registrazioni al WiFi presso gli aeroporti , secondo il portavoce del Manchester Airport Group, il più ampio gruppo aeroportuale del Regno Unito.

Tuttavia, non risultano compromessi i dati bancari o di pagamento dei clienti.

“Il pronto intervento del Manchester Airports Group (Mag) per contenere l’incidente e proteggere i propri clienti è un esempio positivo di quanto rapidamente le organizzazioni possano reagire quando emergono minacce informatiche”, continua Tim Williams: “I sistemi presi di mira facevano parte del più ampio ambiente digitale attraverso il quale i clienti interagiscono all’interno dell’aeroporto. Ciò rafforza l’importanza di avere una chiara visibilità sull’intero ecosistema tecnologico, compresi i sistemi, le applicazioni e i servizi esterni che ruotano attorno alle operazioni principali”.

I dettagli

I cyber criminali avrebbero già richiesto un riscatto, che l’aeroporto intende non pagare, seguendo le guide linea generali contro il pagamento dei riscatti, spesso inutile, ma sempre dannoso.

Il cyber attacco non ha compromesso né voli né sistemi di sicurezza aeroportuale, poiché l’obiettivo non consisteva nell’interrompere attività, ma nell’acquisire dati da monetizzare.

“Non risultano infatti esposti dati bancari o di pagamento e l’attacco non avrebbe compromesso la sicurezza dei voli né le operazioni aeroportuali. Ma proprio questo dimostra come la sicurezza di un’infrastruttura critica non possa essere valutata soltanto sulla continuità operativa. Anche i sistemi apparentemente periferici che gestiscono parcheggi, WiFi, lounge e Fast Track possono diventare una fonte preziosa di intelligence“, mette in guardia Paganini.

Inoltre “la porta d’ingresso potrebbe essere stata una credenziale esposta nel codice di una pagina web. Già una credenziale visibile è certamente un errore, ma una dotata di privilegi eccessivi diventa qualcosa di più grave ovvero un errore di architettura. Gli 8,7 milioni di clienti coinvolti ricordano poi che servizi apparentemente marginali, come Wi-Fi, parcheggi o Fast Track, possono trasformarsi in enormi depositi di informazioni“, avverte Curioni.

Come mitigare i rischi del cyber attacco agli aeroporti britannici

Le autorità invitano gli interessati ad alzare la guardia, prestando attenzione a email, sms e telefonate dubbie.

“Email, numeri di telefono, targhe e codici postali possono sembrare dati ordinari, ma combinati con informazioni sulle prenotazioni diventano uno strumento estremamente efficace per campagne di phishing mirate“, spiega l’ingegner Paganini.

Non bisogna mai aprire allegati, senza prima aver verificato (via Whatsapp od altri canali) l’effettivo invio di attachment da parte dei mittenti.

Occorre inoltre di evitare di effettuare l’accesso a link presenti in comunicazioni sospette.

Lo riporta l’Acn che paventa l’eventualità che gli autori dell’attacco abbiano acquisito informazioni riferibili a connazionali.

Infatti “il problema riguarda potenzialmente anche i cittadini italiani che hanno utilizzato Manchester, Stansted o East Midlands, perché non è ancora possibile escludere che tra gli 8,7 milioni di record compromessi vi siano dati di passeggeri italiani”, conferma Paganini.

Tuttavia, dopo ogni cyber attacco, potrebbero aumentare i tentativi di phishing od altre truffe mirate, costruite ad hoc con i dati rubati e con l’aiuto dell’AI generativa (senza errori ortografici e sommando tutti i dati, trovati in rete e sui social delle vittime, per delinearne l’identikit, da sfruttare per future frodi più sofisticate).

“Il vero rischio è quindi l’uso dei dati rubati per costruire attacchi successivi, altamente personalizzati e difficili da riconoscere”, conclude Paganini.

Allarme phishing mirato

Questi attacchi cyber contribuiscono a tratteggiare il contesto ideale per campagne fraudolente realizzate in maniera puntuale. Dunque le potenziali vittime devono fare caso a notifiche finte, fittizie richieste di aggiornamento account, fasulle verifiche di identità, procedure false che potrebbero richiedere di immettere dati veri e dunque rubare informazioni sensibili.

“Dalla nostra ricerca”, prosegue Tim Williams, “è emerso che l’89% dei professionisti della sicurezza ritiene che il proprio consiglio di amministrazione comprenda le metriche di sicurezza e lo stato di sicurezza dell’organizzazione. Tuttavia, mantenere tale visibilità è fondamentale, soprattutto ora che le organizzazioni dipendono sempre più da tecnologie interconnesse e servizi di terze parti”.

“I team di sicurezza devono essere in grado di identificare dove si trovano le vulnerabilità al di fuori del loro ambiente immediato e fornire ai vertici aziendali un quadro chiaro dei rischi che tali connessioni comportano, in tempo reale”, conclude Tim Williams.

“L’aspetto più istruttivo della vicenda è che la sicurezza di un’organizzazione non coincide più con il perimetro dei suoi sistemi, perché quel perimetro ormai comprende cloud, piattaforme marketing, API e fornitori esterni. Resta naturalmente da verificare se FulcrumSec abbia davvero utilizzato il vettore dichiarato, perché prendere per buona la versione dell’attaccante sarebbe quantomeno imprudente, ma anche se quel dettaglio risultasse falso, il caso conserva intatta la sua lezione: i dati finiscono sempre più spesso nelle mani di chi trova il collegamento più debole. Nelle architetture digitali moderne la porta principale può essere blindata; il problema è ricordarsi di tutte quelle di servizio“, conclude Curioni.