Quando i Team Rossi Scoprono l’Inimmaginabile

Molte organizzazioni credono di essere sicure – fino a quando un team rosso non dimostra il contrario.

Nel mio lavoro di 28 anni nella sicurezza offensiva, ho visto di persona come la fiducia possa crollare rapidamente quando vengono applicate tattiche avversarie reali alle difese aziendali. Le operazioni dei team rossi non testano solo i sistemi, ma spingono i limiti dell’accesso raggiungibile dal punto di vista di un avversario determinato e sofisticato. Spesso, le regole di ingaggio sono più ampie, consentendo non solo attacchi sul lato server, ma anche tecniche di ingegneria sociale, wireless e persino fisiche. Quello che spesso scopriamo nelle nostre operazioni è che livelli catastrofici di accesso sono possibili

Il mio team e io abbiamo ottenuto punti di accesso alla rete e abbiamo aumentato i privilegi per accedere e persino controllare fornaci a blast commerciali, infrastrutture di codifica dei driver, sistemi di pagamento, proprietà intellettuali sensibili, sistemi di host banking, sistemi CCTV, caselle di posta dei CFO, risultati di macchine MRI / X-ray, condividi file pieni di PHI, file interessanti enumerabili, case di seconda generazione di CEO collegati a reti aziendali tramite VPN e dump di hash completi di molte foreste di Active Directory.

Abbiamo spostato le nostre operazioni da risorse cloud a reti locali dopo aver compromesso le risorse cloud e abbiamo avuto operazioni che si sono spostate da reti locali a punti di accesso basati su cloud. A volte, più grande è l’obiettivo, più facile è, indipendentemente dalle dimensioni del budget di infosec. Ciò è dovuto all’asimmetria naturale tra attaccanti e difensori. Le dimensioni più grandi significano più opportunità per debolezze esposte inavvertitamente. Questi non sono rischi teorici. Sono reali e più organizzazioni sono vulnerabili a questo livello di compromissione di quanto non si rendano conto.

Punti di Accesso

Le violazioni esterne iniziano con un punto di accesso – un punto di accesso iniziale che apre la porta a un compromesso più profondo. Nel nostro lavoro, categorizziamo i punti di accesso in quattro tipi principali:

1. Ingegneria Sociale

Sebbene sia comune, lo consideriamo il meno gratificante. Ingannare gli utenti per far loro clic sui collegamenti o rivelare le credenziali è efficace, ma non riflette la competenza di un avversario sofisticato. Tuttavia, abbiamo visto attaccanti che impersonano email di CFO per iniziare “trasferimenti di emergenza” o utilizzare cloni vocali generati da AI per bypassare i protocolli di help desk.

2. Password Spraying

Questa tecnica lenta e costante rimane una delle più efficaci. Indovinando le password comuni su grandi elenchi di utenti, gli attaccanti evitano i blocchi e spesso hanno successo. Abbiamo violato le reti utilizzando solo “Summer2025!” su migliaia di nomi utente raccolti da fonti pubbliche. Scommetterei che più di 1 utente su 1000 di utenti aziendali lo sceglierebbero a meno che non sia in vigore un controllo di parole vietate, che blocca stringhe come “summer” e “2025” e “25”. Per una politica di password più lunga, scommetterei “Summertime2025!” come esempio.

3. Debolezze MFA

L’autenticazione a più fattori è essenziale, ma non infallibile. Come in tutti i controlli di sicurezza, una distribuzione completa e coerente è fondamentale. Abbiamo bypassato MFA utilizzando la fatica di push, le scappatoie di accesso condizionale e i collegamenti di iscrizione scaduti. In un caso, abbiamo iscritto il nostro dispositivo utilizzando un collegamento di sei mesi trovato in una casella di posta compromessa.

4. Vulnerabilità Sfruttabili

Le app web personalizzate sono particolarmente vulnerabili. Abbiamo sfruttato tutto, dalle iniezioni SQL ai bug di deserializzazione degli oggetti, ai difetti logici che consentono agli utenti base di impostare il proprio prezzo al checkout o di elevare l’accesso ad admin. I componenti software commerciali obsoleti possono addirittura portare all’esecuzione di codice remoto se non aggiornati.

Verifica della Realta: Conformita vs Esposizione

Gli audit di sicurezza spesso dipingono un quadro roseo. Ma i team rossi operano al di fuori della sceneggiatura. Le regole di ingaggio sulle operazioni dei team rossi sono spesso molto più ampie del test di penetrazione standard – simuliamo avversari con obiettivi precisi.

Il Ruolo dell’AI nella Sicurezza Offensiva

Sebbene l’AI non abbia ancora sostituito l’ingegno umano nel team rosso, sta accelerando i nostri flussi di lavoro. Utilizziamo l’AI generativa per costruire exploit di prova di concetto più velocemente, analizzare le superfici di attacco, simulare voci durante le operazioni di vishing e persino creare campagne di phishing apparentemente autentiche. L’ascesa dell’AI offensiva agente che raggiunge i primi ranghi nelle liste pubbliche di bug bounty è un segno di ciò che sta per arrivare.

Empatia per i Difensori

Nonostante il nostro ruolo offensivo, rispettiamo profondamente i difensori. L’asimmetria è reale: i difensori devono essere perfetti 24 ore su 24, 7 giorni su 7; gli attaccanti hanno solo bisogno di un errore. È per questo che i nostri rapporti non evidenziano solo le vulnerabilità, le catene di uccisione, le schermate e l’impatto nel mondo reale; in cima al nostro riassunto esecutivo ci sono le pratiche positive che abbiamo incontrato durante il test. Ci piace scrivere queste più dei risultati stessi. Siamo nel vostro team per educare e porre rimedio, non per esporre.

Conclusione: L’Inimmaginabile e Spesso Davanti a Noi

I team rossi non trovano solo difetti – costringono le organizzazioni a confrontarsi con verità scomode. La facciata della sicurezza spesso nasconde sistemi fragili, misconfigurazioni e rischi trascurati. E quando scopriamo l’inimmaginabile, non è per criticare – è per rafforzare.

Perché nella sicurezza informatica, le verifiche della realtà non sono opzionali. Sono l’unica cosa che si trova tra “sicuro sulla carta” e una violazione in prima pagina.