Il responsabile della sicurezza di Okta avverte che il phishing rimane una minaccia principale nell'era dell'intelligenza artificiale

Il responsabile della sicurezza di Okta ha dichiarato che il phishing tradizionale continua a essere l'attacco più frequente osservato in prima linea, nonostante l'attenzione mediatica si sia spostata verso i rischi degli agenti di intelligenza artificiale, come l'iniezione di prompt o le operazioni non intenzionali.

Secondo il responsabile della sicurezza, l'intelligenza artificiale ha aumentato la velocità e la raffinatezza del phishing. Gli aggressori utilizzano l'intelligenza artificiale per ricercare i contatti e i ruoli professionali dei bersagli, effettuando poi chiamate telefoniche a responsabili di settori come le vendite o la finanza. Queste chiamate guidano le vittime verso siti falsi che imitano le schermate di accesso di servizi di gestione dell'identità come Okta, Microsoft Entra o Ping Identity.

Questi siti fraudolenti non mostrano metodi di autenticazione resistenti al phishing, come le chiavi di sicurezza o le passkey, ma richiedono l'inserimento di codici di autenticazione. Questa tecnica, definita come un downgrade dell'autenticazione, permette agli aggressori di utilizzare i codici in tempo reale per registrare i propri dispositivi come terminali di autenticazione. Una volta ottenuta l'identità dell'utente, l'intelligenza artificiale viene impiegata per sottrarre rapidamente dati da piattaforme come Salesforce o Snowflake.

La preparazione di questi attacchi è accelerata, con siti falsi e domini credibili creati in pochi secondi. Okta monitora i nuovi domini simili a quelli propri o dei clienti, ma i siti utilizzati per gli attacchi cambiano frequentemente. La soluzione proposta è la diffusione di un'autenticazione resistente al phishing, sebbene poche aziende abbiano attivato passkey o chiavi di sicurezza.

L'azienda ha ridefinito la propria identità come società di sicurezza piuttosto che di identità dopo un incidente nel 2023, che ha comportato l'accesso non autorizzato a un sistema di gestione dei casi di supporto e il dirottamento di sessioni di alcuni clienti. In risposta, Okta ha sospeso lo sviluppo di prodotti per 90 giorni, ordinando a tutti i dipendenti di concentrarsi esclusivamente sulla sicurezza. Questa priorità è stata successivamente integrata negli obiettivi e nelle valutazioni dei dipendenti.

Queste misure hanno permesso di bloccare tentativi di intrusione nel 2025, quando gli aggressori hanno cercato di accedere all'ambiente Salesforce di Okta utilizzando token rubati tramite servizi esterni integrati con Salesforce, tra cui Gainsight e Salesloft Drift.