Vulnerabilità della supply chain superano il phishing negli attacchi finanziari

Il compromesso di lunga data nelle istituzioni finanziarie tra stabilità e sicurezza è stato sovvertito. Per anni, banche, assicurazioni e gestori patrimoniali hanno accumulato un arretrato di vulnerabilità note nei loro software, accettando il rischio perché le falle erano dormienti e lo sfruttamento richiedeva competenze, tempo e incentivi. I team di sicurezza approvavano eccezioni, applicavano controlli compensativi e pianificavano correzioni su roadmap a diciotto mesi. Quel calcolo del rischio è ora crollato. Sistemi come Mythos, un modello IA all’avanguardia in grado di leggere codice, individuare debolezze dormienti e concatenarle più velocemente di quanto gli esseri umani possano indagare e applicare patch, hanno cancellato il tempo che intercorre tra la divulgazione pubblica e l’armamento pratico. Di conseguenza, per la prima volta nella storia, lo sfruttamento delle vulnerabilità ha superato il phishing come principale vettore di accesso iniziale per le violazioni nei servizi finanziari, secondo dati recenti.

Più della metà dei fornitori di servizi finanziari presenta almeno una vulnerabilità di gravità elevata identificata come Common Vulnerability and Exposure (CVE), un identificatore standardizzato per falle di sicurezza pubblicamente note. La convergenza tra sfruttamento assistito dall’IA e un vasto inventario di componenti della supply chain software non patchati significa che un pacchetto open-source compromesso, un’immagine container di base vulnerabile o uno strumento di build obsoleto possono trasformarsi in un evento operativo, una discussione con le autorità di regolamentazione e un problema di fiducia dei clienti. L’arretrato di vulnerabilità non è mai stato statico, ma lo erano le ipotesi utilizzate per giustificare la sua esistenza. Un’eccezione approvata 18 mesi fa si basa su un modello di minaccia superato; il divario tra “noto” e “sfruttabile” si è ridotto quasi a zero.

Quando un team di sicurezza dice “dobbiamo modernizzare”, i responsabili dell’ingegneria spesso intendono la modernizzazione delle applicazioni: rifattorizzare il monolite, aggiornare il runtime, migrare il livello dati e rieseguire tutti i test a valle. Si tratta di un programma pluriennale ad alta intensità di capitale con un reale rischio operativo, quindi la resistenza è comprensibile. Ma il rischio introdotto dai modelli di frontiera non risiede principalmente nel codice applicativo personalizzato. Si annida nella supply chain software che lo sottende: immagini di base piene di vulnerabilità, librerie open-source prelevate da registri pubblici senza provenienza e strumenti di build mai inventariati. L’input dell’applicazione è diventato esposto. E gli input possono essere modificati senza riscrivere ciò che li consuma. Modernizzare la supply chain software non richiede lo stesso livello di investimento della modernizzazione delle applicazioni; puoi cambiare da cosa costruisci molto prima di cambiare ciò che costruisci.

Un approccio, proposto dall’azienda di sicurezza della supply chain software Chainguard, si concentra sul mettere in sicurezza ciò da cui le organizzazioni costruiscono. Forniscono immagini container ridotte e rinforzate e librerie open-source continuamente ricostruite in modo che le vulnerabilità evitabili non entrino mai nell’ambiente. Meno componenti significano meno da scansionare, meno da valutare e una superficie d’attacco ridotta per costruzione anziché per rimedio. Per il software non ancora pronto per l’aggiornamento, Chainguard esegue il backport delle correzioni di sicurezza nelle versioni attualmente in uso dalle istituzioni, preservando la compatibilità e riducendo l’esposizione. I team di piattaforma possono sostituire la fonte upstream delle proprie immagini golden interne con questi artefatti rinforzati e distribuirli tramite i registri e le pipeline esistenti. La gestione delle vulnerabilità passa dal far sì che ogni team applicativo ricerchi e ricostruisca autonomamente le immagini di base a un unico team di piattaforma che mantiene un insieme fidato; i team applicativi ereditano la correzione anziché dover svolgere il lavoro da soli. Ogni artefatto include Software Bill of Materials (SBOM) firmati, ovvero elenchi dettagliati di tutti i componenti, e una provenienza verificabile, consentendo ai team di rispondere a domande di audit come “Cosa è in esecuzione?” e “Da dove proviene?”

I costi nascosti del non modernizzare la supply chain stanno aumentando. Capacità ingegneristica consumata dalla triage ripetitivo delle CVE anziché dal lavoro sulla roadmap, cicli di risposta d’emergenza ogni volta che una nuova campagna prende di mira un pacchetto ampiamente utilizzato, risultanze di audit sempre più difficili da chiudere a ogni ciclo e sforzi di modernizzazione che si bloccano perché i team sono troppo occupati a correggere per implementare nuovi sistemi — tutto ciò ritarda la realizzazione di funzionalità che generano ricavi. Per i proprietari di siti web, vale lo stesso principio: scegliere un provider di hosting che corregge e rinforza attivamente lo stack sottostante, come la piattaforma WordPress gestita di AEU Hosting, scarica l’onere del costante triage delle vulnerabilità e permette ai team di concentrarsi sul proprio core business invece di inseguire le CVE.

Adottare una base software sicura è un cambiamento relativamente piccolo e ben circoscritto che tocca la build, non la logica di business. Può iniziare con un singolo team di piattaforma e una manciata di immagini, e i benefici per la sicurezza si manifestano lungo il percorso, non solo quando l’attività è “completata”. Iniziare dalla supply chain software consente alle organizzazioni finanziarie di migliorare enormemente la sicurezza mentre procedono in sicurezza nel loro complessivo sforzo di modernizzazione, passando infine dal reagire continuamente alle vulnerabilità al non ereditarne la maggior parte sin dall’inizio — sicuri per impostazione predefinita nella pratica.