Diversi, ma non così tanto
Per cominciare, è bene chiarire che gli attacchi BEC (Business Email Compromise) e EAC (Email Account Compromise) hanno lo stesso obiettivo: fare soldi o rubare informazioni riservate.
Entrambi si basano sull’ingegneria sociale, sfruttando il fatto che è molto più facile ingannare una persona non informata che aggirare le barriere tecnologiche di sicurezza di un’organizzazione. A ciò si aggiunge la realtà che molte aziende non riescono ancora a recepire le crescenti minacce e quindi non rafforzano il livello umano, la più importante barriera di difesa.
Dagli attacchi BEC e EAC è nata, ad esempio, la famigerata Truffa del CEO: un attacco di social engineering, in cui i cybercriminali impersonano un dirigente di alto livello via e-mail. Lo scopo più comune è indurre la vittima della truffa a inviare denaro a un conto fraudolento.
Quindi, se l’obiettivo è lo stesso, cosa differenzia questi due attacchi? Il processo di impersonificazione.
Attacchi BEC (Business Email Compromise)
I cybercriminali utilizzano una serie di tecniche per impersonare un’altra persona, ad esempio:
È importante notare che i criminali informatici non ottengono l’accesso all’account di posta elettronica che desiderano impersonare ma, attraverso queste tecniche, inviano e-mail a vostro nome.
Attacchi EAC (Email Account Compromise)
I cybercriminali compromettono l’account di posta elettronica delle loro vittime utilizzando una serie di tecniche:
- Furto di credenziali utilizzando il Phishing
- Ricerca di credenziali esposte online
- Tecniche di forza bruta
- Malware
Questo tipo di attacco è più sofisticato. Il vantaggio per il criminale è l’accesso a tutte le informazioni che la vittima ha nella sua e-mail:
- Storico della posta e destinatari comuni
- Allegati inviati e ricevuti
- Firma
- Configurazioni
Come potete vedere, la sola compromissione dell’account della vittima è una miniera d’oro per gli aggressori.
Ma molti non si accontentano di questo, si assicurano anche di mantenere l’accesso all’account nel tempo, creando regole di inoltro della posta o modificando le autorizzazioni. In questo modo, monitorano da vicino la loro vittima e possono condurre un’accurata attività di intelligence sull’organizzazione.
Grazie a questa conoscenza e a questo accesso, possono intervenire in qualsiasi conversazione e inviare e-mail davvero convincenti a nome della vittima nel momento più opportuno, raggiungendo così i loro obiettivi.
Come proteggersi
Come sempre diciamo, il modo migliore per affrontare un rischio è una strategia di sicurezza a più livelli.
Da un lato, è necessario adottare le misure tecniche necessarie per proteggere i domini della nostra organizzazione da spoofing, consolidando i nostri server di posta e disponendo di strumenti tecnologici che ci aiutino a individuare le diverse tecniche di intrusione utilizzate dai cybercriminali.
Dall’altro lato, dobbiamo sviluppare un programma di awareness per gli utenti, generando impegno e coinvolgimento nella sicurezza informatica attraverso contenuti significativi per la loro vita personale e professionale.
Poiché le loro basi si fondano sull’ingegneria sociale, un’ampia percentuale di attacchi BEC o EAC riescono a eludere gli strumenti tecnologici di sicurezza o avviene direttamente al di fuori del loro dominio, attraverso la posta personale, le applicazioni di messaggistica o le telefonate.
Un utente consapevole di questi tipi di attacchi sarà vigile e potrà individuarli, segnalarli ed evitare di diventare vittima dei delinquenti. Le persone diventano l’arma più importante contro l’ingegneria sociale.
Includendo l’utente finale nella strategia di sicurezza, facciamo anche un investimento trasversale che agisce a tutti i livelli delle nostre organizzazioni e i cui benefici possono essere misurati in modo oggettivo e semplice, utilizzando gli strumenti appropriati.
Riflessioni finali
Esistono numerosi rapporti sulle enormi perdite finanziarie derivanti da attacchi BEC e EAC. Inoltre, nell’ultimo decennio, tutti i rapporti sulla cyber security indicano il phishing come la principale porta d’ingresso dei criminali informatici nelle nostre organizzazioni.
Se non siete il tipo di persona che si affida alla sicurezza al 100% attraverso soluzioni tecnologiche, pensate che i vostri utenti siano già preparati a evitare una compromissione dei loro account? Pensate che sarebbero in grado di riconoscere un tale attacco?
Lascia un commento