Island hopping: l’attacco informatico che arriva a voi passando dai fornitori

Nel 2013 una catena di grande distribuzione americana perse i dati delle carte di pagamento di quaranta milioni di clienti. L’attacco non cominciò sui suoi server, né su quelli dei suoi data center: cominciò da un’azienda di impianti di riscaldamento e condizionamento, un fornitore con una manciata di dipendenti e un accesso legittimo al portale della catena.

Quel percorso ha un nome tecnico: island hopping. L’attaccante non forza la porta principale, che è presidiata. Ne cerca una laterale, e la trova in chi lavora con voi.

È il motivo per cui un’azienda con un buon presidio interno può trovarsi compromessa senza che nessuno dei suoi controlli abbia fallito. Questo articolo descrive la meccanica dell’attacco: come si sposta chi attacca, quali forme assume, e perché dal lato del difensore è così difficile da distinguere dal traffico normale.

1. Da dove viene il nome
2. Che cos’è l’island hopping
3. Le tre forme in cui si presenta
4. Il caso Target: anatomia di un percorso laterale
5. Perché è difficile da rilevare
6. Cosa riduce concretamente l’esposizione
7. Il lato contrattuale, e dove finisce

Da dove viene il nome

L’espressione arriva dalla campagna del Pacifico nella Seconda guerra mondiale. Le forze statunitensi non tentarono di raggiungere il Giappone con un assalto frontale: occuparono progressivamente isole minori, scelte per posizione più che per valore, e da ognuna costruirono la base per il salto successivo.

Il trasferimento al dominio informatico è quasi letterale. Il bersaglio finale non viene attaccato per primo, e le posizioni intermedie interessano solo per l’accesso che concedono. Nessuno ha interesse ai dati dell’azienda di impianti di condizionamento: interessa la sua credenziale.

Che cos’è l’island hopping

L’island hopping è una tecnica di intrusione in cui l’accesso all’organizzazione bersaglio si ottiene compromettendo un’entità terza che ha con essa un rapporto di fiducia già stabilito: un fornitore, un consulente, uno studio esterno, un partner tecnologico.

La logica economica è semplice e spiega perché funziona così bene. Un’azienda strutturata investe in sicurezza in proporzione al valore che protegge. I suoi fornitori spesso non possono farlo, perché quel valore lo custodiscono per conto di altri e la loro dimensione non giustifica lo stesso budget. L’attaccante colpisce il punto in cui la fiducia è alta e la spesa in difesa è bassa, e quel punto non è quasi mai dentro il perimetro.

Vale la pena distinguerlo da termini vicini. “Attacco alla supply chain” è la categoria generale e include anche la compromissione di software distribuito a valle. L’island hopping descrive più precisamente il movimento fra organizzazioni: si entra in A per arrivare a B, sfruttando la connessione che già esiste fra le due.

Le tre forme in cui si presenta

In letteratura la tecnica viene ricondotta a tre modalità, che nella pratica si combinano.

La seconda è la più insidiosa dal punto di vista di chi riceve, e merita una nota. Un messaggio inviato dal server di posta reale del vostro fornitore supera i controlli tecnici perché è autentico: mittente corretto, dominio verificato, spesso perfino un thread di conversazione già esistente in cui si inserisce. Nessun filtro anti phishing lo classifica come sospetto, perché non lo è.

Il caso Target: anatomia di un percorso laterale

Il caso resta il riferimento più studiato perché ogni passaggio è documentato pubblicamente.

Il punto di ingresso fu Fazio Mechanical Services, azienda di impianti termici e di condizionamento che lavorava per la catena. Aveva credenziali per un portale destinato ai fornitori, usato per fatturazione e gestione contratti. Le credenziali furono sottratte con un malware; da lì gli attaccanti raggiunsero la rete interna e infine i sistemi delle casse.

Due dettagli valgono più del racconto. Il primo: il fornitore non gestiva dati di pagamento e non aveva alcun motivo di considerarsi un bersaglio interessante. Il secondo: il portale fornitori non doveva essere raggiungibile dalla rete che ospitava i sistemi di pagamento, e il fatto che lo fosse è ciò che ha trasformato un accesso amministrativo in una compromissione da centinaia di milioni di dollari.

È il punto in cui la difesa si gioca davvero, e non ha nulla a che vedere con il fornitore: riguarda cosa può raggiungere, dall’interno, chi entra con una credenziale valida.

Perché è difficile da rilevare

Chi arriva per questa strada non ha bisogno di forzare nulla, e questo cambia completamente il profilo di ciò che il difensore osserva.

Le credenziali sono valide. L’orario di accesso è plausibile, perché è quello in cui quel fornitore lavora normalmente. L’indirizzo di origine può essere quello atteso. I indicatori di compromissione classici — un file malevolo, un dominio noto, una firma riconoscibile — spesso non compaiono affatto, perché non serve introdurre strumenti nuovi quando gli strumenti legittimi bastano.

Il segnale utile, quando c’è, è comportamentale: un’utenza di terza parte che raggiunge una risorsa che non ha mai toccato prima. Non è un allarme che scatta da sé; presuppone di sapere in anticipo cosa quell’utenza dovrebbe fare, e questa informazione va scritta prima, non ricostruita dopo.

Cosa riduce concretamente l’esposizione

Nessuna misura elimina il rischio, perché il rischio nasce da una connessione che vi serve. Tre interventi però cambiano l’ordine di grandezza del danno.

Il primo è il più efficace e il meno praticato, perché costa lavoro di architettura. Il secondo richiede una revisione periodica: le utenze dei fornitori tendono ad accumulare permessi nel tempo e non a perderli, ed è la ragione per cui il principio del privilegio minimo va applicato con più severità sugli esterni che sugli interni. Sul terzo va detto che l’autenticazione a più fattori non è invulnerabile — esistono tecniche come l’MFA fatigue che la aggirano — ma alza sensibilmente il costo dell’accesso, e in questa catena il costo è ciò che conta.

L’attacco non parte dal bersaglio ma dai fornitori più esposti. Non si ferma controllando loro, ma limitando in anticipo fin dove una credenziale di terza parte può arrivare.

Il lato contrattuale, e dove finisce

Esiste poi la parte gestionale: valutare i fornitori prima di aprire un accesso, chiedere garanzie documentate, inserire requisiti di sicurezza nei contratti. È un ambito ampio, che la direttiva NIS2 ha reso in molti casi obbligatorio, e che qui non approfondiamo: trovate il percorso operativo nell’articolo su come compilare e leggere un questionario di sicurezza fornitori.

Vale però una precisazione, perché è il punto in cui molte aziende si fermate credendo di aver chiuso il problema. Un questionario compilato è una dichiarazione. Dice cosa il fornitore afferma di fare, non cosa i vostri sistemi consentono a quel fornitore di raggiungere. Le due cose non si verificano con lo stesso strumento: la prima è documentale, la seconda si misura solo provando.

La distinzione fra ciò che è dichiarato, ciò che è scansionabile e ciò che è effettivamente sfruttabile è la stessa che separa vulnerability assessment e penetration test. Su un accesso di terza parte la domanda utile è la terza: partendo da quella credenziale, fin dove si arriva davvero.