Compromissione della posta elettronica aziendale: rischi, esempi e prevenzione

Il tuo responsabile finanziario riceve un'e-mail dall'amministratore delegato che richiede un bonifico urgente prima della fine della giornata. Il messaggio riporta il nome dell'amministratore delegato, fa riferimento a un affare reale in corso e chiede discrezione. Sembra serio e urgente. Il responsabile elabora il bonifico e solo in seguito scopre che l'amministratore delegato non ha mai inviato quell'e-mail.

Questa è la compromissione della posta elettronica aziendale. Ed è ora la forma di crimine informatico più dannosa dal punto di vista finanziario. L'FBI Internet Crime Complaint Center ha riportato perdite BEC per diversi miliardi di dollari solo nel 2023, e il numero reale è probabilmente più alto perché molti incidenti non vengono segnalati. Ciò che rende BEC così pericoloso è la sua semplicità. Non c'è alcun allegato malware. Nessun exploit evidente. Solo un'imitazione ben studiata e altamente convincente.

Comprendere cosa si intende per compromissione della posta elettronica aziendale, come si sviluppano questi attacchi e quali difese funzionano realmente offre alle organizzazioni maggiori possibilità di proteggere i propri conti finanziari, i dati sensibili e le operazioni principali dal tipo di perdita che BEC è progettato per causare.

Che cosa si intende per compromissione della posta elettronica aziendale?

La compromissione della posta elettronica aziendale è un sofisticato schema di frode in cui gli aggressori si spacciano per persone fidate, tra cui dirigenti, fornitori, partner commerciali e colleghi, tramite posta elettronica per manipolare i dipendenti inducendoli a compiere azioni che avvantaggiano l'aggressore dal punto di vista finanziario o informativo.

Gli aggressori non hanno bisogno di competenze tecniche per violare i sistemi; hanno bisogno di informazioni sufficienti sulla struttura, le relazioni e i processi di un'organizzazione per creare e-mail di impersonificazione credibili, dirette ai dipendenti autorizzati a trasferire fondi, condividere dati o modificare le informazioni dell'account.

Il phishing generico invia messaggi identici a migliaia di destinatari casuali, sperando che una certa percentuale cada vittima di un inganno generalizzato. Il BEC è l'opposto: un messaggio accuratamente studiato, inviato a un target specifico, che impersona una persona di fiducia specifica, facendo riferimento al contesto organizzativo reale.

Questo approccio mirato è ciò che rende il BEC più efficace e più costoso del phishing generico. Funziona perché le organizzazioni si basano sulla fiducia basata sulla posta elettronica. I dipendenti elaborano le richieste di pagamento dei dirigenti, rispondono alle modifiche delle fatture dei fornitori e condividono informazioni con avvocati o revisori dei conti senza essere sempre in grado di verificare l'identità tramite altri canali.

Come funzionano gli attacchi di compromissione della posta elettronica aziendale

Gli attacchi BEC seguono una metodologia strutturata, dalla ricerca iniziale all'esecuzione di richieste fraudolente.

Fase 1: Selezione e ricerca del target

Gli aggressori individuano organizzazioni e individui specifici che vale la pena prendere di mira, in genere coloro che hanno autorità finanziaria (CFO, responsabili della contabilità fornitori), accesso a dati sensibili (responsabili delle risorse umane, assistenti esecutivi) o controllo sui rapporti con i fornitori.

Le fonti di ricerca includono profili LinkedIn che mostrano la gerarchia organizzativa, siti web aziendali che identificano i dirigenti e i loro ruoli, comunicati stampa che annunciano partnership e accordi, social media che rivelano programmi di viaggio e priorità attuali e documenti finanziari pubblici che mostrano le dimensioni dell'azienda e i volumi delle transazioni.

Questa fase di ricerca può durare settimane. Gli aggressori mappano le relazioni di reporting, identificano quali dipendenti elaborano i pagamenti, comprendono le relazioni con i fornitori e cercano eventi imminenti, come acquisizioni, audit o scadenze fiscali, che forniscano pretesti credibili per richieste urgenti.

Fase 2: furto di account o spoofing di dominio

Gli aggressori riescono a inviare messaggi convincenti attraverso due metodi principali: l'appropriazione indebita dell'account e lo spoofing del dominio.

In un attacco di furto di account, gli aggressori compromettono un account email legittimo, spesso tramite phishing, credential stuffing o acquisto di credenziali violate, e inviano messaggi BEC dall'indirizzo reale. Questi attacchi sono i più convincenti perché provengono da account autentici e affidabili.

Quando gli aggressori non hanno accesso all'account, si affidano a tecniche di impersonificazione. Possono utilizzare il display name spoofing, in cui il nome del mittente appare legittimo anche se l'indirizzo email sottostante è diverso. In altri casi, registrano domini simili come company-inc.com o cornpany.com, che assomigliano molto al dominio reale e possono superare un'ispezione superficiale.

Fase 3: Ingegneria sociale e creazione di messaggi

Utilizzando le ricerche raccolte, gli aggressori creano messaggi che sembrano autentici. Fanno riferimento a progetti reali, relazioni reali, eventi aziendali attuali e allo stile comunicativo della persona impersonata. I messaggi sono spesso brevi e professionali, sufficientemente lunghi da essere convincenti e sufficientemente brevi da evitare incongruenze.

Fase 4: Esecuzione di richieste fraudolente

Il messaggio invia una richiesta progettata per essere elaborata rapidamente con una verifica minima: un bonifico su un nuovo conto, il pagamento di una fattura su un conto bancario modificato, il reindirizzamento della busta paga di un dipendente su conti controllati dall'aggressore o l'inoltro di dati sensibili per un motivo apparentemente legittimo.

Urgenza e segretezza sono tattiche di pressione comuni: "Elabora questo prima della chiusura degli uffici oggi", "Non passare attraverso i soliti canali per questa questione", "Mantieni la riservatezza fino alla chiusura dell'affare". Queste richieste sono concepite per impedire le fasi di verifica che potrebbero rivelare la frode.

Tipi comuni di truffe BEC

Gli attacchi BEC assumono diverse forme distinte, ciascuna delle quali prende di mira vulnerabilità organizzative diverse.

Frode dell'amministratore delegato

La variante BEC più nota, la frode del CEO, prevede che gli aggressori si spaccino per l'amministratore delegato di un'organizzazione per fare pressione sui dipendenti di livello inferiore affinché adottino misure urgenti. Un responsabile finanziario riceve un'e-mail apparentemente proveniente dall'amministratore delegato, che richiede un bonifico immediato per un'acquisizione riservata, bypassando i normali processi di approvazione.

La frode del CEO sfrutta il rapporto di autorità tra dirigenti e dipendenti. La maggior parte delle persone non mette in discussione le richieste dirette del proprio CEO, soprattutto se accompagnate da urgenza e richiesta di discrezione.

Frode nella fattura del fornitore

Gli aggressori si spacciano per un fornitore noto, informando l'organizzazione presa di mira che i dati bancari sono cambiati e richiedendo che i pagamenti futuri vengano indirizzati a un nuovo conto. Poiché la comunicazione fa riferimento a reali rapporti con i fornitori e a rapporti commerciali in corso, appare come una comunicazione di routine.

Questa variante è particolarmente efficace perché l'elaborazione delle fatture comporta comunicazioni regolari con parti esterne, rendendo più difficile per i team addetti alla contabilità fornitori verificare ogni modifica tramite canali secondari.

deviazione della busta paga

I dipartimenti delle risorse umane ricevono email che sembrano provenire da dipendenti che richiedono modifiche all'addebito diretto delle buste paga su nuovi conti bancari. Se elaborate, la successiva busta paga del dipendente, o più buste paga, vengono indirizzate al conto dell'aggressore anziché a quello del dipendente stesso.

Questi attacchi prendono di mira le risorse umane anziché la finanza, sfruttando la natura routinaria delle richieste di modifica delle buste paga che i team delle risorse umane elaborano regolarmente.

Impersonificazione di un avvocato

Gli aggressori si spacciano per avvocati, studi legali o consulenti legali che gestiscono questioni delicate (fusioni, acquisizioni, problemi di conformità o contenziosi) e richiedono trasferimenti finanziari urgenti o informazioni riservate. L'inquadramento dell'autorità legale riduce la propensione dei destinatari a fare domande o verificare.

Le richieste spesso sottolineano i requisiti di riservatezza legale per scoraggiare i dipendenti dal consultare i colleghi che potrebbero sollevare domande.

Furto di dati BEC

Non tutti gli attacchi BEC mirano a ottenere denaro. Alcuni prendono di mira dati sensibili: moduli W-2 contenenti numeri di previdenza sociale e informazioni sullo stipendio dei dipendenti, proprietà intellettuale, database dei clienti o documenti riservati sulla strategia aziendale.

Il furto di dati BEC spesso precede le frodi finanziarie. Quando gli aggressori rubano informazioni sui dipendenti, come i dati relativi alle buste paga o ai depositi diretti, possono successivamente utilizzarle per reindirizzare stipendi o pagamenti di benefit. Allo stesso tempo, documenti interni, elenchi di contatti e modelli di comunicazione forniscono agli aggressori le informazioni necessarie per creare email di impersonificazione più credibili in attacchi futuri.

Segnali di allarme di un attacco BEC

I messaggi BEC sono progettati per apparire legittimi, ma a un'analisi più attenta, alcuni schemi specifici ne rivelano la vera natura.

Incongruenze tra mittente e dominio:

• Il nome visualizzato non corrisponde all'indirizzo email effettivo quando si passa il mouse sopra o si fa clic per ispezionarlo
• Il dominio utilizza sottili variazioni: company-inc.com, cornpany.com, company.co invece di company.com
• I provider di posta elettronica gratuiti (Gmail, Yahoo) vengono utilizzati per comunicazioni presumibilmente esecutive
• L'indirizzo di risposta è diverso dall'indirizzo del mittente, reindirizzando le risposte agli account controllati dall'aggressore

Anomalie del linguaggio e del tono:

• Stile di scrittura, vocabolario o livello di formalità non coerenti con il modo in cui il presunto mittente comunica normalmente
• Saluti generici ("Ciao", "Ciao Team") da parte di dirigenti che in genere usano il tuo nome
• Formulazione leggermente goffa che non corrisponde ai modelli dei madrelingua
• Riferimenti a relazioni o progetti che sembrano leggermente fuori luogo o sono descritti in modo generico

Richieste finanziarie insolite:

• Richieste di trasferimento di fondi su nuovi conti non verificati
• Istruzioni di pagamento del fornitore con dati bancari modificati
• Richieste di acquisto di carte regalo e codici di condivisione (un segnale di avvertimento BEC quasi universale)
• Urgenza relativa alle transazioni che normalmente seguono processi di approvazione stabiliti

Urgenza e pressione della segretezza:

• "Deve essere fatto oggi", "prima della chiusura degli uffici" o altre pressioni temporali artificiali
• Richieste di bypassare le normali procedure di approvazione
• Istruzioni per mantenere la richiesta riservata fino al completamento della transazione
• Disagio o scoraggiamento quando suggerisci di verificare tramite canali standard

Contesto di richiesta insolito:

• Richieste finanziarie da parte di dirigenti che normalmente non avviano direttamente i pagamenti
• Richieste di modifica del fornitore senza preavviso o contesto
• Comunicazioni dell'avvocato su questioni di cui non eri precedentemente a conoscenza
• Richieste ricevute quando si sa che il presunto mittente è in viaggio o non è disponibile

Mantenere elenchi di contatti puliti e verificati e utilizzare dati affidabili strumenti di verifica della posta elettronica aiuta le organizzazioni a identificare quando i messaggi provengono da indirizzi che non corrispondono ai record dei contatti stabiliti, il che rappresenta un segnale precoce di una potenziale attività BEC.

Come prevenire la compromissione della posta elettronica aziendale

Per una prevenzione efficace del BEC sono necessari controlli a più livelli sui sistemi tecnici, sul comportamento dei dipendenti, sui processi finanziari e sulle politiche organizzative.

Controlli tecnici

Nessuna soluzione tecnica è in grado di bloccare da sola la BEC, pertanto le organizzazioni devono combinare autenticazione, monitoraggio e controlli degli accessi per ridurre i rischi.

Protocolli di autenticazione e-mail

Configurazione corretta dei record SPF, DKIM e DMARC Una policy di applicazione riduce significativamente lo spoofing diretto del dominio, impedendo agli aggressori di inviare messaggi non autenticati che sembrano provenire dal tuo dominio esatto. DMARC p=reject garantisce che i messaggi non autenticati che affermano di provenire dal tuo dominio non raggiungano i destinatari, proteggendo sia i tuoi dipendenti dallo spoofing in entrata sia i tuoi clienti dagli aggressori che si spacciano per la tua organizzazione.

Piattaforme avanzate di sicurezza della posta elettronica

Gli strumenti di sicurezza della posta elettronica basati sull'intelligenza artificiale monitorano il modo in cui le persone comunicano normalmente e cercano attività che esulano da tali schemi. Ad esempio, possono segnalare email che differiscono notevolmente dal tono o dal testo abituali del mittente, o tentativi di accesso da posizioni o indirizzi IP sconosciuti. Poiché questi sistemi analizzano il comportamento anziché limitarsi a cercare link o allegati dannosi noti, possono rilevare tentativi di BEC ben congegnati che i tradizionali filtri basati sulle firme spesso non riescono a rilevare.

Autenticazione a più fattori (MFA)

L'autenticazione a più fattori (MFA) su tutti gli account di posta elettronica aiuta a prevenire il furto di account, che è una delle forme più convincenti di BEC. Quando gli aggressori ottengono l'accesso alla posta in arrivo di un dipendente reale, i loro messaggi appaiono pienamente legittimi perché inviati da un indirizzo autentico e affidabile. L'MFA aggiunge un secondo passaggio di verifica, quindi anche se gli aggressori rubano una password tramite phishing, non possono comunque accedere e utilizzare l'account per inviare messaggi fraudolenti.

Monitoraggio del dominio

Registra versioni simili comuni del dominio della tua organizzazione, come lievi errori di ortografia o varianti con trattino, per impedire agli aggressori di utilizzarle. Inoltre, monitora l'attività di registrazione dei domini di nuova creazione che assomigliano molto al tuo brand. Individuare questi domini in anticipo può segnalare la preparazione per una campagna BEC e darti il ​​tempo di indagare o adottare misure difensive prima che vengano inviate email fraudolente.

La formazione dei dipendenti

Una formazione regolare, basata su scenari e incentrata sul BEC, consente ai dipendenti di riconoscere i segnali d'allarme più sottili che gli strumenti di sicurezza automatizzati potrebbero ignorare. I dipendenti dovrebbero esercitarsi a identificare:

• Falsificazione del nome visualizzato rispetto agli indirizzi di invio effettivi
• Tattiche di pressione basate sull'urgenza e sulla segretezza
• Modelli insoliti di richiesta finanziaria
• Come verificare le richieste tramite canali secondari

Esercizi di simulazione BEC, in cui l'IT invia messaggi BEC falsi controllati per testare le risposte dei dipendenti, identificare lacune nella formazione e sviluppare competenze pratiche di riconoscimento in modo più efficace rispetto alla sola istruzione in aula.

Controlli finanziari

Le tutele finanziarie garantiscono che, anche se un'e-mail ingannevole raggiunge un dipendente, non possa innescare immediatamente azioni di pagamento irreversibili.

Doppia autorizzazione per i bonifici bancari

Richiedere due approvazioni indipendenti per i bonifici bancari superiori alle soglie definite. Gli attacchi BEC spesso sfruttano situazioni in cui solo una persona ha l'autorità di erogare fondi, rendendola un bersaglio privilegiato per l'inganno. Richiedere una doppia autorizzazione garantisce che, anche se un dipendente viene tratto in inganno, una seconda verifica costituisca una salvaguardia fondamentale prima che il denaro lasci l'organizzazione.

Verifica fuori banda

Stabilire una policy che richieda la verifica telefonica, utilizzando numeri di telefono noti e preimpostati, per qualsiasi istruzione di pagamento relativa a nuovi conti, modifiche dei dati bancari o importi insoliti. I dipendenti non devono mai fare affidamento sulle informazioni di contatto fornite nell'e-mail stessa per confermare queste richieste. Una semplice chiamata di verifica tramite un canale attendibile può bloccare molti tentativi di BEC finanziario prima che i fondi vengano trasferiti.

Procedure di richiesta di modifica del pagamento

Stabilire una procedura strutturata per le richieste di modifica del vendor banking che includa diversi passaggi di verifica prima dell'approvazione di qualsiasi aggiornamento. Ciò dovrebbe prevedere una richiamata diretta ai contatti stabiliti con il fornitore e periodi di attesa prima dell'elaborazione. I processi di routine per le modifiche riducono l'efficacia degli aggressori.

Applicazione della politica

Policy chiare e scritte in materia di autorizzazioni finanziarie, richieste di modifica dei pagamenti e richieste insolite di condivisione dei dati offrono ai dipendenti un quadro di riferimento per gestire situazioni sospette senza la sensazione di mettere in discussione la propria legittima autorità. Policy che affermano esplicitamente "non chiederemo mai bonifici urgenti solo via email" riducono la pressione sfruttata dagli attacchi BEC.

Pulizia degli elenchi di posta elettronica supporta regolarmente un rilevamento BEC efficace, poiché elevato rimbalzo Le tariffe e la scarsa reputazione del mittente possono indebolire il filtro di sicurezza che aiuta a individuare i messaggi sospetti.

Conclusione

La compromissione delle email aziendali ha successo perché sfrutta la fiducia aziendale anziché le vulnerabilità tecniche. Gli aggressori investono nella ricerca, creano imitazioni convincenti e prendono di mira le persone e i processi specifici che gestiscono transazioni finanziarie e dati sensibili, senza bisogno di una sola riga di codice dannoso.

La prevenzione richiede di abbinare tale sofisticatezza a difese a più livelli: protocolli di autenticazione che impediscono lo spoofing del dominio, MFA che blocca l'appropriazione indebita degli account, formazione dei dipendenti che sviluppa competenze di riconoscimento specifiche per BEC e controlli finanziari che richiedono una verifica fuori banda prima di elaborare richieste insolite.

Mantenere pulita l'infrastruttura di posta elettronica fa parte della tua strategia di difesa BEC. Usa DeBounce Per verificare gli elenchi dei contatti e ridurre le email respinte che indeboliscono la reputazione del mittente. Quando i dati dei contatti sono accurati e i controlli di autenticazione sono configurati correttamente, diventa più facile rilevare i messaggi provenienti da fornitori e partner esterni, rendendo più difficile l'esecuzione dei tentativi di BEC.