Gli studi legali del Regno Unito sono diventati un bersaglio delle minacce informatiche. È quanto emerge dal rapporto del National Cyber Security Centre (NCSC), che contiene anche dei consigli per proteggersi da questo tipo di attacco.

Il National Cyber Security Centre ha pubblicato il nuovo rapporto “Cyber Threat Report: UK Legal Sector”, in cui si elencano quali sono le modalità di attacco informatico rivolte verso gli studi legali britannici, e non solo.

Le principali minacce informatiche

Secondo il rapporto, gli studi legali sono sotto attacco a causa dell’enorme mole di dati e somme di denaro che gestiscono. I criminali in cerca di facili guadagni cercano di sottrarre ai professionisti alcuni dati sensibili per poi chiedere un riscatto.
Nel report, il NCSC sconsiglia di sottostare a queste richieste e di pagare quanto richiesto. In generale, infatti, non esiste la garanzia che questi dati siano stati realmente sottratti e, anche in caso contrario, si potrebbe non tornarne comunque in possesso.
L’adozione del lavoro da remoto, che ha preso sempre più piede in seguito alla pandemia da Covid-19, ha portato ad un aumento dei rischi. Il rapporto mostra che il personale che opera attraverso i propri dispositivi e attraverso la propria rete internet è più a rischio di attacchi informatici.

Seguono le modalità di cyber attacco più comuni e utilizzate dagli hacker.

Phishing

I criminali usano e-mail truffa, con messaggi volti a ingannare le loro vittime. Lo scopo è spesso quello di far visitare ai destinatari un sito web, che scaricherà malware (come ransomware o un virus) sul tuo computer oppure carpire le coordinate bancarie o altre informazioni personali (come i dettagli di accesso).

La maggior parte dei siti web degli studi legali contiene informazioni e dettagli di contatto relativi a professionisti, partner e collaboratori, che i criminali possono utilizzare (insieme a informazioni prese da social o siti di networking) per lanciare attacchi più mirati.

Una tecnica prevede il monitoraggio di LinkedIn per identificare nuovi membri di uno studio per poi inviare un’e-mail truffa al dipartimento risorse umane, contenente una fraudolenta richiesta di modifica dei dettagli del conto corrente su cui accreditare i compensi, nel tentativo di rubare gli stipendi.

Un altro attacco comune è ingannare le vittime rivelando nomi utente e password. Questi le e-mail di phishing spesso imitano le pagine di accesso di Microsoft o Google, e chiedono l’autenticazione per l’accesso.

Se i destinatari inseriscono le proprie credenziali, gli hacker possono usali per effettuare altri attacchi o rivenderli ad altri criminali.

Email di lavoro compromessa (Business Email compromise – BEC)

La compromissione della posta elettronica aziendale (o BEC) è un attacco di phishing in cui un criminale tenta di ingannare un alto dirigente (o detentore del budget), chiedendo di trasferire fondi o rivelare informazioni sensibili.

A differenza delle e-mail di phishing standard che vengono inviate indiscriminatamente a milioni di persone, in questi casi si fa appello a individui specifici e possono essere ancora più difficile da rilevare.

Gli studi legali sono obiettivi interessanti per BEC perché spesso trasferiscono ingenti somme di denaro, oppure ci può essere la richiesta di visualizzare documenti sensibili, come quelli finanziari.

Durante un attacco BEC, i criminali possono usare il vero account email di una persona che fa parte dell’organizzazione a cui sono riusciti ad accedere oppure ricorrere a un indirizzo email “sosia”.

Questo sistema permette anche di lanciare campagne di phishing verso altri studi legali.

Ransomware o altro malware

Il ransomware è un software dannoso (malware) che ti impedisce di accedere al tuo computer o a file in esso contenuti.

Durante un attacco ransomware, le informazioni vengono normalmente crittografate e possono essere sottratte.

Gli hacker possono anche minacciare di pubblicare online i dati sensibili trovati. Questo è particolarmente preoccupante per il settore legale, che gestisce informazioni altamente sensibili.

Gli aggressori di solito inviano una richiesta di riscatto per recuperare i dati crittografati, in genere utilizzando un indirizzo email anonimo, spesso chiedendo il pagamento in criptovalute.

Consigli per la sicurezza

Il nuovo report ha aggiornato quanto pubblicato nella versione precedente nel 2018, aggiungendo dettagli sulle nuove minacce e dei consigli per aiutare gli studi legali a fronteggiare gli attacchi informatici.
Per ridurre i potenziali rischi, agli operatori vengono suggeriti gli atteggiamenti basilari da adottare: mantenere aggiornati i software e i sistemi operativi, cambiare spesso la propria password e limitare al minimo necessario i permessi per l’accesso ai dati.

Casi pratici

Il rapporto del NCSC riporta inoltre alcune situazioni che le imprese hanno dovuto affrontare in seguito a cyber-attacchi. L’azienda di trasporti Simplify Group, ad esempio, non potendo svolgere dei traslochi, ha dovuto bloccare la propria attività per alcune settimane, con il conseguente mancato incasso di oltre 6 milioni di sterline.

Un’altra azienda, derubata dei dati sensibili legati a 60 processi, ha visto gli stessi essere diffusi in tutto il dark web in pochi giorni.