Strategie da adottare per far fronte alla compromissione della posta elettronica aziendale

L'attività dei criminali informatici relativa alla compromissione della posta elettronica aziendale sta accelerando. Microsoft osserva una tendenza significativa nell'uso da parte degli utenti malintenzionati di piattaforme come BulletProftLink, una nota piattaforma per la creazione di campagne di posta elettronica dannosa su scala industriale. BulletProftLink vende un servizio end-to-end tra cui modelli, hosting e servizi automatici per BEC. Gli avversari che usano questo CaaS ricevono le credenziali e l'indirizzo IP della vittima.

Gli attori di minaccia BEC acquistano quindi gli indirizzi IP dai servizi IP residenziali corrispondenti alla posizione della vittima e creano proxy IP residenziali che permettono ai criminali informatici di mascherare la propria origine. Ora, armati di uno spazio indirizzi localizzati a supporto delle proprie attività dannose in aggiunta a nomi utente e password, gli utenti malintenzionati BEC possono oscurare gli spostamenti, eludere i segnali di "spostamento fisico impossibile" e aprire un gateway per condurre ulteriori attacchi. Microsoft ha osservato che sono gli autori di minacce in Asia ed Est Europa ad attuare con maggiore frequenza questa tattica.

Spostamento fisico impossibile è un metodo di rilevamento usato per indicare che un account utente potrebbe essere stato compromesso. Questi avvisi attivano restrizioni fisiche che indicano che un'attività è in corso in due posizioni, senza che ci sia un lasso di tempo adeguato per percorrere il tragitto da una posizione all'altra.

La specializzazione e il consolidamento di questo settore dieconomia del crimine informaticopotrebbe far crescere l'uso di indirizzi IP residenziali per evadere il rilevamento. Gli indirizzi IP residenziali mappati alle posizioni su larga scala offrono la capacità e l'opportunità per i criminali informatici di ottenere grandi volumi di credenziali e account di accesso compromessi. Gli attori di minacce stanno usando i servizi IP/proxy, che gli addetti al marketing e altri potrebbero usare per la ricerca, per scalare questi attacchi. Un provider di servizi IP, ad esempio, ha 100 milioni di indirizzi IP che possono essere ruotati o modificati ogni secondo.

Mentre gliattori di minacceusano il phishing-as-a-service come Evil Proxy, Naked Pages e Caffeine per distribuire campagne di phishing e ottenere credenziali compromesse, BulletProftLink offre un gateway decentralizzato che include nodi di blockchain pubbliche per ospitare siti diphishing e BEC, creando un'offerta web decentralizzata ancora più sofisticata e più difficile da fermare. La distribuzione dell'infrastruttura di questi siti tra la complessità e la crescita in continua evoluzione di blockchain pubbliche ne rende l'identificazione ancora più complessa, come anche l'allineamento di azioni di rimozione. Anche se puoi rimuovere un link di phishing, il contenuto rimane online e i criminali informatici torneranno a creare un nuovo link collegato al contenuto CAAS esistente.

Gli attacchi BEC che riescono costano alle organizzazioni centinaia di milioni di dollari ogni anno. Nel 2022, il Recovery Asset Team dell'FBI ha avviato un'operazione di Financial Fraud Kill Chain su 2838 reclami BEC relativi a transazioni domestichecon perdite potenziali di oltre 590 milioni di dollari USD.

Anche se le implicazioni finanziarie sono significative, i danni a lungo termine più ampi possono includere il furto di identità in caso di compromissione di dati personali oppure la perdita di dati riservati qualora la corrispondenza sensibile o la proprietà intellettuale fosse esposta a posta elettronica e traffico di messaggi dannosi.

Anche se gli attori di minaccia hanno creato strumenti specializzati per agevolare gli attacchi BEC, tra cui kit di phishing ed elenchi di indirizzi e-mail verificati indirizzati a dirigenti, responsabili della contabilità fornitori e altri specifici ruoli, le aziende possono attuare metodi per prevenire gli attacchi e mitigare il rischio.

Ad esempio, un criterio DMARC (Domain-based Message Authentication, Reporting and Conformance, DMARC) di "rifiuto" rappresenta la più forte protezione da e-mail falsificate, garantendo che messaggi non autenticati vengano rifiutati dal server di posta, anche prima della consegna. Inoltre, le segnalazioni DMARC offrono un meccanismo affinché un'organizzazione possa conoscere l'origine di una richiesta falsa, informazione che normalmente non riceverebbe.

Anche se sono pochi anni che le organizzazioni si trovano a gestire personale completamente remoto o ibrido, ripensare la consapevolezza in materia di sicurezza nell'era del lavoro ibrido è ancora necessario. Poiché i dipendenti lavorano con sempre più fornitori e appaltatori e ricevono sempre più e-mail da nuovi contatti, è fondamentale sapere cosa significano queste modifiche nei ritmi di lavoro e nella corrispondenza per la propria superficie di attacco.

I tentativi BEC degli autori di minacce possono assumere varie forme, tra cui telefonate, SMS, e-mail o messaggi sui social media. Anche lo spoofing dei messaggi di richiesta di autenticazione e l'imitazione di soggetti e aziende costituiscono delle tattiche comuni.

Un primo passaggio difensivo sta rafforzando i criteri relativi a contabilità, controlli interni, buste paga o reparti delle risorse umane su come rispondere quando si ricevono richieste o notifiche di modifiche riguardanti strumenti di pagamento, banca o bonifici. Fermarsi un attimo davanti a richieste marginali che non seguono i criteri o contattare l'entità che sta presentando la richiesta attraverso il sito e i relativi rappresentati legittimi può salvare le organizzazioni da importanti perdite.

Gli attacchi BEC rappresentano un ottimo esempio del perché il rischio informatico deve essere affrontato in modo interfunzionale con dirigenti e leader, dipendenti dell'area finanziaria, manager delle risorse umane e altri che hanno accesso alle informazioni personali dei dipendenti come numeri di previdenza sociale, dichiarazioni fiscali, informazioni di contatto e piani insieme ai funzionari della conformità IT e del rischio informatico.

Scopri di più su BEC e sugli attori di minacce iraniani con le informazioni dettagliate di Simeon Kakpovi, Senior Threat Intelligence Analyst.