Sophos ha spiato alcuni suoi clienti per anni in nome della sicurezza

Sophos, rinomato produttore di software di sicurezza e antivirus per uso aziendale e privato, ha recentemente rivelato nel suo blog di aver condotto una campagna quinquennale di controspionaggio digitale, denominata Pacific Rim. Questa mossa audace, giustificata come necessaria per combattere le minacce informatiche, solleva interrogativi etici sulla natura della protezione digitale e sul confine tra sicurezza e privacy.

L’operazione Pacific Rim è stata condotta dal Sophos X-Ops team. L’X-Ops è una task force congiunta all’interno di Sophos che si occupa di ricerca e operazioni di sicurezza avanzate. Lavora a stretto contatto con Sophos Labs e il team MDR (Managed Detection and Response).

La rivelazione di questa pratica ha innescato un dibattito nella comunità tecnologica; alcuni la considerano un passo coraggioso verso una difesa proattiva, mentre altri la vedono come una pericolosa violazione della fiducia degli utenti. Fino a che punto possiamo spingerci per proteggere i nostri sistemi senza compromettere i principi fondamentali della privacy e dell’autonomia digitale ?

L’operazione Pacific Rim di Sophos

L’operazione Pacific Rim di Sophos rappresenta un punto di svolta nelle pratiche di sicurezza informatica. A partire dal 2020, l’azienda ha ampliato significativamente la raccolta di dati telemetrici dai dispositivi dei clienti; questa mossa non mirava semplicemente all’ottimizzazione del software. Era una risposta diretta agli attacchi contro i loro apparati di rete.

Sophos ha implementato funzionalità di raccolta dati avanzate attraverso hotfix; hotfix che monitorano attività sospette come l’uso di strumenti di scansione e comandi eseguiti sulla riga di comando. Questa strategia ha permesso di creare una cronologia dettagliata delle attività di preparazione degli attacchi; identificando dispositivi coinvolti in ricerche sulle vulnerabilità e nello sviluppo di exploit.

Il culmine di questa operazione è stato lo sviluppo di un “impianto kernel” specializzato; un sofisticato strumento di monitoraggio che consentiva la raccolta remota di file e log senza lasciare tracce visibili nel sistema operativo.

Dal Blog di Sophos : “Durante l’analisi post-mortem dell’attacco Asnarök, X-Ops ha creato un impianto kernel specializzato da implementare su dispositivi che secondo Sophos erano controllati da gruppi che conducevano ricerche su exploit dannosi. Lo strumento consentiva la raccolta remota di file e registri senza alcun artefatto visibile nel territorio dell’utente.“

Sophos ha installato questo modulo solo su sistemi che riteneva, con “alta probabilità”, controllati da gruppi impegnati in attività malevole. Anche su clienti che stavano utilizzando delle trial license. Questa azione, eseguita senza il consenso o la conoscenza dei proprietari dei sistemi, solleva preoccupazioni etiche e legali. L’azienda sostiene che queste misure estreme erano necessarie per contrastare efficacemente le minacce emergenti; tuttavia, il metodo solleva interrogativi sulla legittimità e sulla proporzionalità di tali azioni.

Risultati dell’approccio invasivo di Sophos

L’approccio controverso di Sophos ha prodotto risultati significativi nella lotta contro le minacce informatiche avanzate. L’azienda è riuscita a identificare un gruppo di ricerca cinese; gruppo specializzato nella scoperta di vulnerabilità nei dispositivi Sophos e nello sviluppo di exploit.

Questi risultati hanno permesso di collegare le attività a noti gruppi di attaccanti come Volt Typhoon, APT31 e APT41/Winnti. Sophos ha scoperto diversi rootkit, incluso un prototipo di bootkit UEFI capace di ancorarsi saldamente nel firmware dei dispositivi compromessi.

Queste scoperte hanno consentito all’azienda di rilevare attacchi in fase precoce; oltre a correggere i sistemi e adottare misure preventive contro le tecniche di attacco identificate. Sophos ha presentato la sua azione come pionieristica nella lotta contro gli attaccanti statali e il cybercrime; quindi, un modello per l’intera industria.

Questa tecnica, tuttavia, trascura le implicazioni etiche e legali di tali pratiche. La raccolta di dati dai sistemi dei clienti, non per migliorarli ma per rilevare attività sospette, solleva preoccupazioni sulla sorveglianza di massa senza causa. L’installazione di software di sorveglianza specializzato senza il consenso dei clienti sfida i confini tra protezione e intrusione.

Queste azioni, normalmente associate a malware e attacchi informatici, vengono giustificate da Sophos come necessarie per combattere “i cattivi”; tuttavia, questa giustificazione apre un pericoloso precedente. Chi decide quali azioni sono legittime e per quali scopi? Queste pratiche potrebbero essere adottate da altri produttori, inclusi quelli con interessi meno leciti?

Se ogni produttore si arrogasse il diritto di monitorare i propri clienti per “ragioni di sicurezza“, il concetto stesso di privacy digitale potrebbe essere seriamente minacciato. Attualmente, non esistono linee guida chiare o standard etici universalmente accettati che governino queste azioni. Ciò lascia le aziende libere di interpretare e definire i limiti delle loro azioni; potenzialmente a scapito dei diritti degli utenti.

Nuovo paradigma nella sicurezza dei dispositivi di rete

Il caso Sophos mette in luce una problematica più ampia e urgente nell’industria della sicurezza informatica; la necessità di un cambiamento radicale nell’approccio alla sicurezza dei dispositivi di rete. Le continue vulnerabilità zero-day scoperte in appliance di vari produttori – non solo Sophos, ma anche Ivanti, Fortinet, Cisco e Palo Alto – evidenziano una carenza sistemica nella progettazione e implementazione della sicurezza di base.

Questi dispositivi, che dovrebbero rappresentare la prima linea di difesa nelle reti aziendali e governative, spesso non soddisfano nemmeno gli standard minimi di sicurezza; figuriamoci quelli elevati richiesti per firewall e gateway VPN.

Anziché ricorrere a misure estreme e potenzialmente controverse come il monitoraggio non autorizzato, i produttori dovrebbero concentrarsi su un rinnovamento fondamentale dei loro approcci alla sicurezza. Ciò include l’adozione di pratiche di sviluppo sicuro fin dall’inizio; l’implementazione di architetture a sicurezza intrinseca e l’investimento in test di sicurezza rigorosi e continui.

Sarebbe necessario un cambio di paradigma che veda la sicurezza non come un’aggiunta posteriore, ma come un elemento centrale nella progettazione e nello sviluppo dei prodotti. Inoltre, l’industria dovrebbe lavorare per stabilire standard di sicurezza più elevati e uniformi per i dispositivi di rete critici; questi standard dovrebbero essere rigorosi, verificabili e continuamente aggiornati per stare al passo con l’evoluzione delle minacce.

La trasparenza nelle pratiche di sicurezza e una comunicazione aperta con gli utenti riguardo alle vulnerabilità e alle correzioni sono altrettanto cruciali; al fine di mantenere la fiducia e l’integrità del settore.

Sophos: conclusioni

L’approccio aggressivo dell’azienda Sophos ha prodotto risultati tangibili nella lotta contro le minacce cyber; tuttavia ha anche aperto un vaso di Pandora di questioni etiche e legali che l’intera industria dovrà in qualche modo affrontare.

Invece di ricorrere a misure estreme che rischiano di erodere la fiducia degli utenti, i produttori dovrebbero concentrarsi sul miglioramento fondamentale della sicurezza intrinseca dei loro prodotti.

Il futuro della sicurezza informatica non dovrebbe risiedere in tattiche controverse che sfidano l’etica; servirebbe invece un approccio che bilanci efficacemente protezione, privacy e fiducia degli utenti. Solo attraverso questo cambiamento di paradigma l’industria potrà affrontare efficacemente le sfide di sicurezza sempre più complesse del panorama digitale in continua evoluzione.