Articolo Pubblicazioni

Target: la violazione del 2013 partita da un fornitore e il rischio della supply chain

di · Pubblicato il 17 febbraio 2014

Abstract

Tra il 27 novembre e il 15 dicembre 2013 i terminali di cassa della catena statunitense Target sono stati infettati da un malware che ha raccolto i dati di circa 40 milioni di carte di pagamento. A gennaio l’azienda ha comunicato che erano stati sottratti anche dati personali di decine di milioni di clienti e che gli attaccanti erano entrati con credenziali rubate a un fornitore. L’articolo ricostruisce quanto è noto a febbraio 2014 e ne trae indicazioni per la gestione del rischio legato ai fornitori.

Vincenzo Calabrò | Target: la violazione del 2013 partita da un fornitore e il rischio della supply chain
 

I fatti

Il 19 dicembre 2013 Target, una delle maggiori catene di grande distribuzione degli Stati Uniti, ha confermato un accesso non autorizzato ai dati delle carte usate nei propri negozi tra il 27 novembre e il 15 dicembre, nel pieno della stagione degli acquisti natalizi. Le carte coinvolte sono circa 40 milioni. Il 10 gennaio 2014 l’azienda ha aggiunto che erano stati sottratti anche nomi, indirizzi, numeri di telefono e indirizzi email di un numero di clienti che può arrivare a 70 milioni, in parte sovrapposti ai primi.
A fine gennaio Target ha dichiarato che gli attaccanti avevano usato credenziali sottratte a un fornitore. Secondo le ricostruzioni giornalistiche successive si tratta di un’azienda di impianti di climatizzazione e refrigerazione che aveva accesso a sistemi di Target per la fatturazione e la gestione dei contratti. Le indagini sono in corso e alcuni dettagli potranno essere corretti, ma lo schema generale è ormai delineato.

La catena dell’attacco

Mettendo insieme le informazioni pubbliche, la sequenza appare questa:
  1. compromissione del fornitore, probabilmente con un messaggio di posta contenente malware, e furto delle credenziali usate per accedere a un portale di Target;
  2. accesso alla rete di Target con quelle credenziali;
  3. movimento all’interno della rete fino a raggiungere i sistemi collegati ai punti vendita;
  4. installazione sui terminali di cassa di un malware che legge dalla memoria i dati delle carte nel momento in cui vengono elaborati, prima che siano cifrati;
  5. raccolta dei dati su server interni compromessi e trasferimento all’esterno.
Il malware usato sui terminali appartiene alla famiglia dei RAM scraper, già nota da alcuni anni. I dati della banda magnetica sono cifrati durante la trasmissione e la memorizzazione, ma restano in chiaro nella memoria del terminale per un istante, ed è lì che il malware li cattura.

Il problema dei fornitori

Il fornitore di climatizzazione non aveva bisogno di raggiungere i sistemi di cassa. Il fatto che dalle sue credenziali si sia potuti arrivare fin lì indica due problemi distinti. Il primo riguarda il fornitore, la cui sicurezza è diventata quella di Target. Il secondo riguarda la rete di Target, in cui un accesso esterno limitato è diventato un punto di partenza per raggiungere sistemi critici.
Molte organizzazioni concedono accessi remoti a decine di fornitori, per assistenza, manutenzione, fatturazione, gestione di impianti. Spesso nessuno ne ha un elenco completo, le credenziali restano attive dopo la fine dei contratti e i fornitori non sono tenuti a requisiti di sicurezza precisi.

La segmentazione

Lo standard PCI DSS, che regola la sicurezza dei dati delle carte, raccomanda di isolare l’ambiente in cui i dati vengono trattati dal resto della rete. Una segmentazione efficace limita i danni quando un sistema periferico viene compromesso. Il caso Target mostra che la conformità formale resta insufficiente quando i percorsi tra le zone della rete non sono controllati in modo rigoroso. Ogni collegamento tra un sistema esposto ai fornitori e i sistemi di pagamento dovrebbe essere giustificato, limitato e sorvegliato.

I segnali

Alcune notizie di stampa riferiscono che i sistemi di rilevamento di Target avrebbero generato avvisi durante l’attacco. Se confermato, il caso mostra un problema frequente. Gli strumenti producono segnali, ma servono persone e procedure per valutarli e agire. Un avviso non seguito ha lo stesso valore di un avviso mai generato.

Le conseguenze

Le conseguenze per l’azienda sono ancora in corso di valutazione. Comprendono i costi di indagine e di notifica ai clienti, le cause intentate da consumatori e banche, la sostituzione delle carte da parte degli istituti emittenti e un calo delle vendite nel periodo più importante dell’anno. Il caso ha anche riacceso negli Stati Uniti il dibattito sull’adozione delle carte con chip, già diffuse in Europa, che rendono più difficile la clonazione dei dati rubati.

Gli aspetti forensi

Un’indagine di questo tipo deve ricostruire un percorso che attraversa sistemi diversi, spesso gestiti da soggetti diversi. Servono i log del portale usato dal fornitore, quelli dei sistemi di autenticazione, dei firewall interni, dei server usati come punto di raccolta e dei terminali di cassa. Se i log non sono centralizzati, sincronizzati nell’orario e conservati abbastanza a lungo, la ricostruzione resta incompleta. Anche il fornitore deve conservare le proprie tracce, perché la prima compromissione è avvenuta nei suoi sistemi. Nei contratti con i fornitori conviene prevedere l’obbligo di collaborare alle indagini e di conservare i log per un periodo minimo.

Che cosa fare

Per chi gestisce la sicurezza di un’organizzazione le indicazioni pratiche sono chiare:
  • tenere un registro aggiornato di tutti i fornitori con accesso ai sistemi e del tipo di accesso concesso;
  • limitare ogni accesso esterno alle sole risorse necessarie, con autenticazione a due fattori;
  • includere nei contratti requisiti minimi di sicurezza, l’obbligo di segnalare incidenti e la possibilità di verifiche;
  • separare con controlli effettivi le zone di rete esposte ai fornitori da quelle che trattano dati critici;
  • assegnare a persone precise la responsabilità di esaminare gli avvisi dei sistemi di rilevamento e di agire.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn