C’è un vecchio adagio nel mondo degli affari: “ciò che ci ha portato fin qui, non ci porterà oltre”. Per rimanere competitivi, le aziende devono costantemente adattarsi ed evolversi. Lo stesso vale per la sicurezza informatica. Le minacce cibernetiche stanno aumentando in complessità e scala, mentre gli aggressori cercano nuovi modi per compromettere dati preziosi.
Secondo un’analisi approfondidta del magazine Tech Radar, il settore retail è oggi uno dei bersagli preferiti dai criminali informatici. Un’analisi degli attacchi alle attività di retail di quest’anno ha evidenziato una serie di pericoli chiave, tra cui il furto di dati, gli account compromessi, i danni reputazionali e i tempi di inattività.
Ci sono minacce comuni come lo skimming digitale e i bot malevoli, mentre altre, come gli attacchi di appropriazione degli account (ATO) e l’abuso della logica di business, stanno crescendo in frequenza. Quali lezioni possiamo trarre dal 2023? E come possono i retailer rispondere a un panorama di minacce in evoluzione?
Una delle maggiori minacce per tutte le attività retail quest’anno sono stati gli attacchi di appropriazione degli account (ATO), in cui i criminali informatici utilizzano bot automatizzati per cercare di compromettere gli account online testando password e nomi utente rubati. Per i clienti, un attacco ATO riuscito può avere gravi implicazioni finanziarie, mentre per le aziende può comportare rischi reputazionali e perdite di ricavi.
Gli attacchi ATO sono una minaccia per tutto l’anno, rappresentando quasi 1 su 6 di tutti i tentativi di accesso. L’attività malevola è particolarmente rampante durante la stagione delle vacanze. Quest’anno, il volume dei tentativi di accesso malevolo è aumentato di un incredibile 85% durante il Black Friday, superando anche l’aumento del 66% dell’anno scorso. E non è solo il Black Friday a rappresentare un problema: il numero di attacchi ATO è aumentato dell’82% tra ottobre 2023 e novembre 2023. Queste cifre sottolineano quanto sia importante per le piattaforme di eCommerce e le aziende avere difese in atto per identificare e mitigare il traffico automatizzato malevolo che potrebbe essere coinvolto negli attacchi ATO.
La logica di business si riferisce alle regole o agli algoritmi che determinano come un’applicazione o un programma opera e interagisce con un database. Può essere pensata come il processo decisionale di un’applicazione o API – gli scenari di “se” e “allora” che sono progettati per massimizzare il ROI. Ad esempio, un retailer potrebbe decidere che “se” un cliente ordina più di £200 di merce, “allora” ottiene uno sconto del 20%. Tale logica condizionale consente di automatizzare e rendere più efficienti le decisioni aziendali.
Negli ultimi 12 mesi del 2023, gli attacchi che prendono di mira la logica di business dei siti retail sono quasi raddoppiati, passando dal 26% al 43%. Gli attacchi alla logica di business possono essere utilizzati per rubare denaro o dati sensibili, commettere frodi o semplicemente causare caos facendo crashare un’applicazione critica per il business. Sono sempre più popolari tra gli hacker perché non sfruttano un difetto tecnico, ma abusano di una funzionalità esistente dell’applicazione o del sistema. Di conseguenza, spesso non vengono identificati dagli strumenti di sicurezza tradizionali.
Ad esempio, se un retailer permette a un cliente di inviare carte regalo digitali a un altro cliente, gli hacker potrebbero utilizzare una logica difettosa all’interno del sistema per “regalare” a se stessi migliaia di euro in buoni da un altro account. Un attacco del genere potrebbe avere serie conseguenze sia per il consumatore che per l’azienda.
Affrontare queste due problematiche – per non parlare delle molte altre minacce che i retailer devono affrontare – richiede il coinvolgimento di entrambe le parti. Per i consumatori, è essenziale praticare una buona igiene delle password (come non riutilizzare le password su siti diversi) per ridurre le possibilità di cadere vittima di un attacco ATO. Nel frattempo, le aziende necessitano di una strategia di difesa coordinata e completa, con una suite di capacità che possa coprire tutti i punti di accesso, inclusi siti web, app mobili e API. Questo significa andare oltre una semplice soluzione di gestione dei bot, includendo strumenti come l’analisi degli attacchi, la protezione client-side e la protezione runtime delle applicazioni (RASP).
Inoltre, la responsabilità per la sicurezza deve essere più diffusa all’interno dell’organizzazione. Combattere l’abuso della logica di business richiede che sviluppatori e product owner mappino e incorporino misure di sicurezza fin dall’inizio e in ogni fase del processo per minimizzare i potenziali rischi. Questo dovrebbe essere accompagnato da audit regolari e revisioni del codice per identificare eventuali problemi che potrebbero non essere stati rilevati inizialmente. Identificare le vulnerabilità della logica di business non è un processo “una tantum” – gli aggiornamenti del software avvengono continuamente e ciascuno ha il potenziale di introdurre una nuova debolezza nella logica dell’applicazione.
A causa del panorama delle minacce in costante cambiamento, la sicurezza informatica richiede un adattamento continuo. Nuove minacce possono emergere da un giorno all’altro e diventare problemi critici per le aziende. Nel 2023, gli attacchi ATO e l’abuso della logica di business sono stati due delle principali minacce per i retailer. Con l’adozione in crescita dell’IA generativa, la tecnologia potrebbe aiutare i criminali informatici a modificare i loro attacchi. Di conseguenza, il 2024 potrebbe vedere un aumento sorprendente del volume degli attacchi, specialmente attorno alla logica di business, poiché gli aggressori addestrano i sistemi di IA a individuare e sfruttare tali vulnerabilità.