Apr 30, 2024 Attacchi, In evidenza, Intrusione, News

Nell’ultimo mese Okta ha osservato un preoccupante aumento nella frequenza e nella scala di attacchi di credential stuffing diretti ai propri servizi.

La notizia arriva dopo che Cisco Talos aveva rilevato un aumento degli attacchi brute force su larga scala nel periodo 18 marzo – 16 aprile contro numerosi modelli di dispositivi VPN; in seguito, Okta ha scoperto un importante incremento di attività di credential stuffing dal 19 al 26 aprile.

Gli attaccanti sono riusciti a effettuare il login ai servizi sfruttando username e password ottenuti da precedenti breach che hanno coinvolto altre entità e da campagne phishing e malware.

I ricercatori della compagnia hanno spiegato che gli attacchi sono stati facilitati anche dall’enorme diffusione di servizi proxy residenziali, in particolare NSOCKS, Luminati e DataImpulse, e dalla disponibilità di tool di scripting; inoltre, gli attaccanti hanno sfruttato servizi di anonimizzazione come TOR per effettuare il routing delle richieste.

La compagnia ha rivelato che gli attacchi sono stati particolarmente efficaci contro le organizzazioni che eseguivano Okta Classic Engine e con ThreatInsight configurato in modalità Audit-only e non con le consigliate Log o Enforce. In tutti questi casi le compagnie avevano anche delle policy di autenticazione che consentivano le richieste da proxy anonimizzati; al contrario, le organizzazioni che usano Okta Identity Engine e ThreatInsight in modalità Log o Enforce non hanno sofferto breach di dati.

Per proteggersi da questi attacchi, Okta consiglia alle organizzazioni di bloccare le richieste provenienti da servizi anonimizzati, impostare ThreatInsight nelle modalità consigliate, utilizzare Identity Engine e implementare Dynamic Zones per specificare indirizzi IP da bloccare.

I ricercatori ricordano inoltre di preferire l’approccio passwordless per l’autenticazione o, se non è possibile, implementare l’autenticazione multifattore e imporre agli utenti di utilizzare password robuste; inoltre, è indispensabile monitorare il traffico e bloccare richieste e IP sospetti. 

• brute-force, credential stuffing, MFA, Okta, proxy residenziali, Tor