Il concetto di BEC, noto anche come “Truffa del CEO“, sta per Business Email Compromise. Questo inganno prevede l’uso della posta elettronica come mezzo di comunicazione, in cui il criminale informatico impersona una persona di alto livello all’interno dell’organizzazione, sfruttando la sua posizione di influenza e la fiducia degli altri. Così, un criminale che si spaccia per l’amministratore delegato, ad esempio, farà richieste via e-mail, con l’obiettivo finale di dirottare fondi (come la richiesta di un pagamento a un nuovo fornitore, le cui coordinate bancarie saranno quelle del criminale informatico).
A titolo di semplificazione, parleremo di due grandi categorie di questo attacco:
- Spoofing di indirizzi e-mail
- Caselle di posta elettronica compromesse
Spoofing di indirizzi e-mail
Questo metodo prevede l’invio di un’e-mail utilizzando un indirizzo e-mail diverso come mittente. Ciò è possibile perché il protocollo SMTP non prevede un meccanismo di autenticazione dell’indirizzo e-mail. Pertanto, i cybercriminali possono modificare maliziosamente l’intestazione di un’e-mail per farla sembrare proveniente da un’altra persona, come il CEO/CTO/CISO della nostra organizzazione.
Un altro metodo altrettanto comune è quello di utilizzare indirizzi e-mail molto simili a quello della nostra vittima. Supponiamo che l’indirizzo e-mail di destinazione sia ciso@lamiaazienda.it. Un criminale informatico potrebbe acquisire il dominio lam1aazienda.it per inviare e-mail con l’indirizzo ciso@lam1aazienda.it.
Sul sito web di SMARTFENSE abbiamo a disposizione diversi strumenti che ci permettono di analizzare la configurazione del nostro server di posta elettronica per scoprire se è possibile effettuare lo spoofing dei nostri indirizzi e-mail (Spoof Check) e, dall’altro lato, di analizzare i nomi di dominio simili a quelli della nostra organizzazione (DNS Twist), che potrebbero essere stati creati da criminali informatici per lanciare successivamente attacchi di social engineering al personale della nostra organizzazione.
Caselle di posta elettronica compromesse
Questo accade quando i cybercriminali entrano in possesso delle credenziali di un account di posta elettronica. Di preferenza, prende di mira gli account di dirigenti e personale di livello C (CEO, CTO, CFO, ecc.). A tal fine, il criminale utilizza l’ingegneria sociale, malware, keylogger e gli attacchi della categoria summenzionata (spoofing dell’indirizzo e-mail) con l’obiettivo finale di raccogliere le credenziali di accesso della sua vittima.
Una volta ottenuto l’accesso, il cybercriminale può monitorare le e-mail, intercettare quelle contenenti istruzioni di pagamento e modificare i dati bancari per indirizzare i fondi verso le vostre tasche.
Se un utente malintenzionato riesce ad accedere al vostro account di posta elettronica, potrebbe fare molto di più che solo accedere:
- Creare regole per la lettura, la risposta, l’eliminazione e l’inoltro delle e-mail in una sottocartella, in modo che la vittima non se ne accorga.
- Monitorare accordi e pagamenti.
- Eliminare i messaggi di posta elettronica dalla cartella degli inviati.
- Eliminare gli avvisi dall’area IT.
- Imparate a conoscere lo stile di scrittura della vittima, i saluti e le parole chiave.
- Scaricare i documenti ufficiali per modificarli e inoltrarli.
Come proteggersi dal BEC?
Ecco alcuni suggerimenti su come prevenire e rilevare un attacco di questo tipo:
- Contrassegnare le e-mail provenienti da domini esterni nella riga dell’oggetto. Ad esempio, [ESTERNO]- Oggetto.
- Svolgere campagne di sensibilizzazione sulla sicurezza, che aiuteranno il personale a prendere decisioni migliori sulle e-mail in arrivo.
- Utilizzare l’autenticazione a due fattori (2FA) per gli account e-mail.
- Prima di inviare denaro o informazioni riservate, convalidare sempre con un mezzo affidabile, diverso dall’e-mail, con i colleghi.
- Fare attenzione alla comparsa di domini simili alla nostra organizzazione.
- Ruotare la password dei nostri account di posta elettronica.
Conclusione
Poiché queste truffe non presentano link o allegati dannosi, le soluzioni di sicurezza tradizionali non sono in grado di rilevarle. Per questo motivo è fondamentale realizzare programmi di awareness che consentano agli utenti della nostra organizzazione di individuare questo tipo di truffe e di avvisare le autorità.
Lascia un commento