Cos'è la Business Email Compromise (BEC)?

Riepilogo dell'articolo:

• La frode via e-mail aziendale (BEC) è un sofisticato crimine informatico in cui gli aggressori si spacciano per figure di fiducia per indurre i dipendenti a effettuare bonifici non autorizzati o a condividere dati aziendali sensibili.
• Le organizzazioni possono prevenire le frodi BEC implementando solidi protocolli di sicurezza per la posta elettronica, come l'autenticazione a più fattori (MFA) e DMARC, unitamente a una formazione completa dei dipendenti per identificare le tattiche di social engineering.
• Una protezione efficace contro le frodi via e-mail aziendali prevede l'utilizzo di strumenti di sicurezza basati sull'intelligenza artificiale che analizzano i modelli di comunicazione per rilevare e bloccare i messaggi fraudolenti prima che raggiungano la casella di posta del destinatario.

Cos'è la Business Email Compromise (BEC)?

La Business Email Compromise (BEC) è un tipo di attacco di social engineering che avviene tramite e-mail. In un attacco BEC, un utente malintenzionato falsifica un messaggio e-mail per indurre la vittima a eseguire un'azione, nella maggior parte dei casi, trasferendo denaro su un conto o in un luogo controllato dall'aggressore. Gli attacchi BEC si distinguono dagli altri tipi di attacchi via e-mail per alcuni aspetti fondamentali:

1. Non contengono malware, collegamenti dannosi o allegati e-mail
2. Prendono di mira individui specifici all'interno delle organizzazioni
3. Sono personalizzati per la vittima designata e spesso implicano una ricerca preliminare dell'organizzazione in questione

Gli attacchi BEC sono particolarmente pericolosi perché non contengono malware, link dannosi, allegati e-mail pericolosi o altri elementi che un filtro di sicurezza e-mail potrebbe identificare. Le e-mail utilizzate in un attacco BEC contengono in genere solo testo, il che aiuta gli autori degli attacchi a camuffarle nel normale traffico e-mail.

Oltre ad aggirare i filtri di sicurezza della posta elettronica, le e-mail BEC sono specificamente progettate per indurre il destinatario ad aprirle e ad agire in base al messaggio che contengono. Gli autori degli attacchi utilizzano la personalizzazione per adattare l'e-mail all'organizzazione bersaglio. L'aggressore potrebbe impersonare qualcuno con cui la vittima designata corrisponde regolarmente tramite posta elettronica. Alcuni attacchi BEC si verificano persino all'interno di thread di e-mail già esistenti.

Solitamente, un aggressore impersona qualcuno che occupa un posto più alto nell'organizzazione per motivare la vittima a eseguire la richiesta dannosa.

Perché gli attacchi BEC sono così difficili da individuare?

Altri motivi per cui gli attacchi BEC sono difficili da individuare possono includere quanto segue:

• Sono a basso volume: picchi insoliti nel traffico e-mail possono allertare i filtri di sicurezza della posta elettronica in merito a un attacco in corso. Tuttavia, gli attacchi BEC hanno un volume estremamente ridotto e spesso consistono in una o due sole e-mail. Possono essere eseguiti senza generare picchi nel traffico e-mail. Questo basso volume consente anche a una campagna BEC di modificare regolarmente il proprio indirizzo IP sorgente, rendendo più difficile il blocco della campagna.
• Utilizzano una fonte o un dominio legittimo: gli attacchi di phishing su larga scala spesso provengono da indirizzi IP che vengono rapidamente inseriti nella lista nera. Gli attacchi BEC, poiché hanno un volume ridotto, possono utilizzare come fonte indirizzi IP che hanno una reputazione neutrale o buona. Utilizzano anche lo spoofing del dominio di posta elettronica per far sembrare che le e-mail provengano da una persona reale.
• Potrebbero in realtà provenire da un account di posta elettronica legittimo: gli attacchi BEC potrebbero utilizzare una casella di posta elettronica precedentemente compromessa per inviare messaggi dannosi per conto di una persona senza che questa ne sia a conoscenza, quindi l'e-mail potrebbe in realtà provenire da un indirizzo di posta elettronica legittimo. Ciò richiede uno sforzo notevolmente maggiore da parte dell'aggressore, ma un simile dispendio di sforzi mirati è tipico delle campagne BEC.
• Superano i controlli DMARC: Domain-based Message Authentication, Reporting and Conformance (DMARC) è un protocollo per identificare le e-mail inviate da un dominio senza autorizzazione. Aiuta a prevenire l'impersonificazione di un dominio. Le campagne BEC possono superare i controlli DMARC per un paio di motivi: 1) le organizzazioni potrebbero non aver configurato DMARC per bloccare rigorosamente le e-mail; 2) gli autori degli attacchi potrebbero inviare e-mail da una fonte legittima.

Cosa contengono solitamente le e-mail BEC?

Di solito, le e-mail BEC contengono poche righe di testo e non includono collegamenti, allegati o immagini. In queste poche righe, il loro obiettivo è indurre la vittima a compiere l'azione desiderata, che si tratti di trasferire fondi su un conto specifico o di concedere l'accesso non autorizzato a dati o sistemi protetti.

Altri elementi comuni di un'e-mail BEC possono includere:

• Sensibilità al tempo: parole come "urgente", "veloce", "promemoria", "importante" e "presto" compaiono spesso nelle e-mail BEC, specialmente nell'oggetto, per spingere il destinatario ad agire il più rapidamente possibile, prima che si renda conto di poter essere vittima di una truffa
• Mittente autorevole: gli aggressori BEC si spacciano per persone importanti all'interno dell'organizzazione, ad esempio il direttore finanziario o l'amministratore delegato.
• Impersonificazione completa del mittente: le e-mail BEC possono impersonare mittenti legittimi (ad esempio il direttore finanziario di un'organizzazione) falsificando il loro indirizzo e-mail, imitando lo stile di scrittura dell'individuo o utilizzando altre tattiche per ingannare la vittima.
• Fornire una motivazione alla richiesta: a volte, per dare maggiore credibilità a una richiesta che potrebbe apparire insolita, un'e-mail BEC fornisce una motivazione per l'azione necessaria. Ciò aggiunge anche urgenza alla richiesta.
• Istruzioni specifiche: gli aggressori forniscono istruzioni chiare come dove sta andando il denaro e quanto dovrebbe essere inviato: è più probabile che un importo specifico sembri legittimo. Gli autori degli attacchi possono includere queste informazioni nell'e-mail iniziale o in un'e-mail di follow-up se la vittima risponde.
• Istruzioni per evitare di contattare il presunto mittente: se la potenziale vittima riesce a raggiungere la presunta fonte dell'e-mail BEC tramite un altro canale di comunicazione, potrebbe essere in grado di identificare l'e-mail come falsa. Per evitare ciò, gli aggressori spesso istruiscono la vittima a non contattare il mittente o a confermare la richiesta con altri, magari adducendo la necessità di agire rapidamente.

I gateway di posta elettronica sicuri (SEG) bloccano le campagne BEC?

Un Secure Email Gateway (SEG) è un servizio di sicurezza della posta elettronica che si colloca tra i provider di posta elettronica e gli utenti di posta elettronica. Identificano e filtrano le e-mail potenzialmente dannose, proprio come un firewall rimuove il traffico di rete dannoso. I SEG offrono una protezione aggiuntiva rispetto alle misure di sicurezza integrate già offerte dalla maggior parte dei provider di posta elettronica (ad esempio, Gmail e Microsoft Outlook offrono già alcune protezioni di base).

Tuttavia, i SEG tradizionali hanno difficoltà a rilevare campagne BEC ben strutturate per i motivi sopra descritti: volume basso, mancanza di contenuti palesemente dannosi, una fonte e-mail apparentemente legittima e così via.

Per questo motivo, la formazione degli utenti e ulteriori misure di sicurezza della posta elettronica sono di fondamentale importanza per contrastare le compromissioni delle e-mail aziendali.

Cosa devono fare gli utenti quando sospettano una campagna BEC?

Richieste insolite, inaspettate o improvvise sono un segnale di un potenziale attacco BEC. Gli utenti devono segnalare potenziali messaggi BEC ai team addetti alla sicurezza. Possono anche verificare con la presunta fonte dell'e-mail.

Immagina che il contabile Bob riceva un'e-mail dal direttore finanziario Alice:

Bob,

devo inviare a un cliente dei buoni regalo per il suo ristorante-pizzeria preferito. Acquista buoni regalo pizza per un valore di 10.000 dollari e trasferiscili all'indirizzo e-mail di questo cliente: customer@example.com

Per favore, fallo velocemente. È MOLTO urgente. Non vogliamo perdere questo cliente.

Sto salendo su un aereo e non sarò raggiungibile per le prossime ore.

-Alice

Questa richiesta sembra insolita a Bob: consegnare buoni regalo per la pizza ai clienti di solito non rientra tra le mansioni del reparto contabilità. Chiama Alice, nel caso in cui non si sia ancora "imbarcata su un aereo". Alice risponde il telefono e dice che non è a conoscenza della richiesta che presumibilmente gli ha appena inviato. Non sta neanche prendendo un aereo. Bob ha appena rilevato un attacco BEC.

Quali altre misure tecniche possono rilevare e bloccare gli attacchi BEC?

Rilevamento avanzato di infrastrutture di phishing

Alcuni provider di sicurezza e-mail eseguono la scansione del Web in anticipo per rilevare server di comando e controllo (C&C), siti Web falsi e altri elementi che gli autori di attacchi utilizzeranno in una campagna BEC o in un attacco di phishing. Ciò richiede l'utilizzo di bot di crawler Web per scansionare vaste aree di Internet (anche i motori di ricerca utilizzano bot di crawler Web, ma per scopi diversi). Identificare in anticipo l'infrastruttura di attacco consente al provider di bloccare le e-mail illegittime non appena vengono inviate, anche se altrimenti potrebbero superare i filtri di sicurezza.

Analisi di machine learning

Il machine learning è un modo per automatizzare il processo di previsione dei risultati basato su un set di dati di grandi dimensioni. Può essere utilizzato per rilevare attività fuori dall'ordinario; ad esempio, Cloudflare Bot Management utilizza il machine learning come metodo per identificare l'attività dei bot. Per bloccare gli attacchi BEC, il machine learning può aiutare a identificare richieste insolite, modelli di traffico e-mail atipici e altre anomalie.

Analisi dei thread di e-mail

Poiché gli autori degli attacchi BEC spesso cercano di rispondere a una conversazione esistente per conferire maggiore credibilità alle loro e-mail, alcuni provider di sicurezza della posta elettronica monitorano le conversazioni per verificare se gli indirizzi e-mail mittente o destinatario all'interno di una conversazione vengono modificati improvvisamente.

Elaborazione del linguaggio naturale

Questo significa cercare frasi chiave all'interno delle email per capire di quali argomenti tratta un determinato gruppo di contatti email. Ad esempio, potrebbe essere possibile tracciare con chi una determinata persona all'interno di un'organizzazione corrisponde in merito a trasferimenti di denaro, relazioni con i clienti o qualsiasi altro argomento. Se le e-mail ricevute da Bob (dall'esempio sopra) trattano raramente di relazioni con i clienti, l'inclusione di frasi come "un cliente" e "perdere questo cliente" nell'e-mail di "Alice" potrebbe segnalare che l'e-mail fa parte di un attacco BEC.

In che modo Cloudflare Email Security rileva gli attacchi BEC?

Cloudflare Email Security è progettato per rilevare gli attacchi BEC che la maggior parte dei SEG non riesce a individuare. Lo fa utilizzando molti dei metodi descritti in precedenza: scansione di Internet alla ricerca di infrastrutture di attacco, utilizzo di analisi di machine learning, analisi dei thread di posta elettronica, analisi del contenuto delle e-mail e così via.

La posta elettronica rimane uno dei principali vettori di attacco, rendendo la sicurezza della posta elettronica sempre più cruciale per le organizzazioni di oggi. Scopri di più su come funziona Cloudflare Email Security.

DOMANDE FREQUENTI

La Business Email Compromise (BEC) è un attacco di social engineering?

Un attacco di social engineering manipola le persone a compiere azioni che favoriscono l'aggressore. Il Business Email Compromise (BEC) è un attacco di social engineering che utilizza le e-mail per ingannare le vittime, spesso inducendole a inviare denaro o dati sensibili all'aggressore. Le e-mail BEC si basano quasi esclusivamente su tecniche manipolative di social engineering, pertanto di solito non contengono i tipici indicatori di un'e-mail dannosa, come collegamenti pericolosi o allegati non attendibili.

Quali sono le tecniche di social engineering più comuni nelle e-mail BEC?

Le e-mail BEC includono spesso ragioni plausibili per le richieste inattese. Ispirano urgenza nei loro destinatari. I mittenti si spacciano per persone autorevoli. Inoltre, le e-mail BEC scoraggiano la verifica, esortando i destinatari a non effettuare controlli con il presunto mittente prima di intraprendere azioni. Insieme, queste tecniche possono indurre persone ben intenzionate ad agire prima che abbiano il tempo di pensare. Ad esempio, un truffatore potrebbe fingere di essere l'amministratore delegato dell'azienda del destinatario e chiedere che il destinatario trasferisca denaro su un conto corrente, altrimenti verrà licenziato.

Come funziona l'impersonificazione di e-mail negli attacchi BEC?

Negli attacchi BEC, l'aggressore si finge una persona fidata, spesso un dirigente aziendale, falsificando gli indirizzi e-mail o imitando lo stile di scrittura, in modo da far apparire le proprie richieste legittime alla vittima.

In che modo gli autori degli attacchi BEC sfruttano l'urgenza e l'autorità per ingannare le vittime?

Gli aggressori creano un senso di urgenza, usando parole come "urgente", "importante" o "promemoria", e si spacciano per funzionari di alto livello per fare pressione sui destinatari affinché agiscano rapidamente senza verificare la richiesta

In che modo gli autori degli attacchi personalizzano le e-mail BEC?

Gli autori degli attacchi studiano le organizzazioni e i singoli individui per creare messaggi personalizzati, facendo spesso riferimento a progetti o persone reali per rendere l'e-mail più credibile.

Cosa significa "attacco a basso volume" nelle campagne BEC?

Gli attacchi BEC sono a basso volume, spesso costituiti da una o due e-mail. Questo li rende più difficili da rilevare, poiché non si verifica un picco nel traffico e-mail che attiverebbe gli avvisi di sicurezza.

Perché le e-mail BEC sono più difficili da rilevare con i tradizionali strumenti di sicurezza?

Le e-mail BEC raramente contengono malware, collegamenti o allegati. Per rendere le e-mail più credibili, gli autori degli attacchi potrebbero inviarle da server di posta o indirizzi e-mail attendibili. Poiché spesso sono costituiti da testo normale e imitano il normale traffico e-mail, i filtri tradizionali hanno difficoltà a identificarli come minacce.

In che modo il machine learning può aiutare a rilevare gli attacchi BEC?

Le soluzioni di sicurezza avanzate utilizzano il machine learning per analizzare il traffico e-mail tipico e identificare anomalie che potrebbero indicare un attacco BEC.

Cos'è un approccio di sicurezza multilivello per la prevenzione della BEC?

Un'efficace prevenzione BEC combina difese tecniche (come il machine learning e il monitoraggio della posta elettronica), la formazione degli utenti e processi di verifica indipendente per richieste insolite.