Perché comprare un dipendente conviene più che bucare una rete
E se l'attaccante non dovesse più cercare una vulnerabilità, ma bastasse un messaggio a chi lavora già dentro? È la tesi dello studio "The Market for Trust" di TrendAI, la business unit di Trend Micro dedicata alla sicurezza basata su AI. Gli insider, dicono i ricercatori, non sono più casi isolati di dipendenti scontenti. Sono un mercato criminale organizzato, con broker, reclutatori, bonus per chi porta nuovi contatti, servizi di garanzia (escrow) e accordi di spartizione dei proventi. Se ne parla su forum underground e su canali Telegram dedicati.
Non serve un amministratore: serve chi può approvare
Il punto più interessante è chi viene cercato. Non chi ha i privilegi tecnici più alti, ma chi ha quella che lo studio chiama autorità operativa: può approvare un pagamento, ripristinare un account, aggirare un controllo antifrode, autorizzare un'operazione. Come riassume Marco Fanuli, Technical Director di TrendAI Italia, si punta ai processi di business, non solo al perimetro tecnologico. Un insider agisce con credenziali vere e un ruolo credibile, quindi molti controlli non lo vedono nemmeno.
Servizi con il listino
Quello che si compra sono servizi standardizzati, con prezzi e tempi. Sblocco di account sospesi, frodi sui rimborsi, SIM swap (la duplicazione della SIM per intercettare SMS e codici di verifica), falsi stati di consegna nel tracking delle spedizioni, recensioni cancellate o pilotate. Si va da qualche centinaio di dollari fino a centinaia di migliaia, per l'accesso a database esclusivi o ad aziende molto grandi. Nelle telecomunicazioni un solo dipendente corrotto può aggirare la 2FA via SMS di una vittima. Nella finanza qualcuno approva pagamenti o spegne i controlli antifrode. Nella sanità c'è il rischio di cartelle cliniche sottratte o alterate. Nella pubblica amministrazione si vendono accessi già pronti: chi compra salta l'intrusione.
Cosa cambia con l'AI
Lo studio prevede che il fenomeno acceleri. Le aziende stanno accumulando modelli di AI, dati proprietari per addestrarli e accessi privilegiati ai sistemi. Chi può usarli o abusarne senza dare nell'occhio vale di più sul mercato. Il messaggio è che la difesa interna va pensata sui processi e sulle persone che li governano, non solo su firewall e antivirus.
💬 Il mio commento
Lo dico subito: parlare di dipendenti "in vendita" mi mette un po' a disagio, perché la stragrande maggioranza delle persone che lavorano in un'azienda è onesta, e sospettare di tutti è il modo più rapido per rovinare un ambiente di lavoro. Però ignorare il problema sarebbe ingenuo. Il mercato descritto dallo studio esiste proprio perché funziona, e funziona perché molte aziende hanno persone sole a poter approvare o sbloccare cose importanti, senza che nessuno guardi cosa fanno.
Secondo me la risposta sta più nei processi che nella diffidenza. Doppia approvazione sulle operazioni sensibili, log che qualcuno legge davvero, accessi ridotti al necessario, e chi se ne va che perde subito le credenziali. Non è glamour, ma toglie al broker la sua merce migliore: il singolo che può fare tutto da solo. Mi resta un dubbio onesto: quanto pesi davvero il denaro e quanto pesino invece pressione, ricatto o rancore, e credo che cambi molto da caso a caso. Da qui in avanti mi aspetto più annunci di questo tipo, più specializzati per ruolo e settore, e qualche caso in più che finisce in cronaca, soprattutto dove un solo dipendente ha in mano un pezzo di processo critico.