In che modo le lacune nell’autenticazione delle e-mail creano punti ciechi per i team di sicurezza

L'autenticazione è al centro della sicurezza della posta elettronica, eppure molte organizzazioni la considerano una configurazione da effettuare una tantum anziché una pratica di sicurezza da applicare costantemente. Ciò crea dei punti ciechi che gli aggressori sfruttano per aggirare i controlli, sottrarre credenziali e operare all’interno di ambienti affidabili senza essere individuati.

Il problema non è solo una configurazione errata, ma una mancanza di visibilità. Spesso i team di sicurezza non dispongono di una visione d’insieme del funzionamento dell’autenticazione tra i vari sistemi, protocolli e servizi cloud. Comprendere tali lacune è fondamentale per colmarle prima che si trasformino in vie di accesso per le violazioni.

Perché l’autenticazione delle e-mail rappresenta un punto debole nascosto

La maggior parte delle organizzazioni implementa i controlli di autenticazione una sola volta e raramente li rivede. L'autenticazione MFA è abilitata, le politiche relative alle password sono state configurate e l'attenzione si sposta altrove. Ciò presuppone che l'autenticazione sia statica, mentre in realtà essa si evolve di pari passo con l'infrastruttura e le tecniche degli aggressori.

Gli attacchi moderni sfruttano le lacune esistenti tra i fornitori di identità, le piattaforme cloud e i sistemi legacy. Questi punti ciechi consentono l'accesso non autorizzato senza attivare alcun allarme, creando un falso senso di sicurezza fino al verificarsi di una violazione.

Le lacune più comuni nell'autenticazione delle e-mail

Protocolli obsoleti che aggirano l'autenticazione a più fattori (MFA)

I protocolli IMAP e POP rimangono abilitati in molti ambienti Microsoft 365 e Google Workspace, nonostante non supportino l'autenticazione a più fattori (MFA). Gli autori degli attacchi utilizzano credenziali rubate per accedere alle caselle di posta tramite questi protocolli, aggirando i moderni controlli di sicurezza e risultando come utenti legittimi nei registri.

Identità compartimentata e visibilità nel cloud

Spesso i fornitori di identità non dispongono di una visibilità completa sulle configurazioni della posta elettronica nel cloud, mentre gli eventi di autenticazione tra i vari sistemi vengono raramente correlati in tempo reale. Le incongruenze a livello di politiche tra le piattaforme di gestione delle identità e i servizi cloud creano vie di accesso vulnerabili che gli autori degli attacchi cercano attivamente di sfruttare.

Abuso di app OAuth di terze parti

Le applicazioni SaaS collegate tramite OAuth ricevono spesso autorizzazioni eccessive e operano al di fuori dei flussi di autenticazione tradizionali. Una volta autorizzate, queste app mantengono un accesso permanente anche dopo la modifica delle password o gli aggiornamenti dell’autenticazione a più fattori (MFA), consentendo agli autori degli attacchi di sfruttare i token legittimi senza essere individuati.

Furto di token e dirottamento della sessione

Gli autori degli attacchi rubano sempre più spesso i token di sessione anziché le password, aggirando completamente l'autenticazione. Il monitoraggio successivo all'autenticazione rimane carente, consentendo alle sessioni compromesse di persistere senza essere individuate, soprattutto negli ambienti cloud in cui i token hanno spesso una durata prolungata.

In pratica, le lacune nell’autenticazione derivano più spesso da:

• Protocolli obsoleti che aggirano l'autenticazione a più fattori (MFA).
• Autorizzazioni OAuth non monitorate e app di terze parti.
• Identità frammentata e visibilità delle cloud.
• Monitoraggio post-autenticazione insufficiente.

Perché i team di sicurezza non individuano queste minacce

Sicurezza della posta elettronica incentrata sul perimetro

I gateway di posta elettronica sicuri tradizionali sono stati progettati per ambienti in cui il flusso di posta elettronica avveniva attraverso perimetri centralizzati. Sono efficaci nell'analizzare i messaggi in arrivo e nel bloccare le minacce note prima che raggiungano le caselle di posta degli utenti.

Tuttavia, gli attacchi cloud-native agiscono all’interno di Microsoft 365 e Google Workspace, al di fuori della portata dei controlli perimetrali. Quando gli autori degli attacchi utilizzano credenziali rubate o token OAuth compromessi, aggirano completamente i gateway e operano all’interno di ambienti considerati affidabili, dove i sistemi tradizionali di sicurezza della posta elettronica hanno scarsa visibilità.

Strumenti di sicurezza frammentati

La maggior parte delle organizzazioni si avvale di strumenti distinti per la posta elettronica, la gestione delle identità, le applicazioni SaaS e gli endpoint, ciascuno con i propri avvisi e le proprie dashboard. Tale frammentazione costringe i team di sicurezza a ricostruire gli incidenti mettendo insieme le informazioni provenienti dai vari sistemi, anziché analizzare le minacce in modo olistico.

Gli attacchi in più fasi spesso passano inosservati poiché nessun single strumento è in grado di rilevare l'intera catena di attacco. Un malintenzionato può passare dal phishing alla compromissione dell’identità fino all’esfiltrazione dei dati dal cloud, mentre ogni strumento rileva solo una parte dell’attività, nascondendo così la minaccia nel suo complesso.

Eccessivo ricorso ai controlli di autenticazione di base

Molte organizzazioni considerano l’autenticazione come una semplice formalità: l’autenticazione a più fattori (MFA) è abilitata, i protocolli obsoleti vengono trascurati e si presume che la sicurezza sia sufficiente. Questa mentalità impedisce l'adozione di strategie di autenticazione a più livelli e sottoposte a monitoraggio continuo, necessarie per far fronte alle minacce moderne.

I controlli di base confermano l’identità, ma non forniscono informazioni sul comportamento e sul contesto. Gli autori degli attacchi che utilizzano credenziali rubate spesso risultano indistinguibili dagli utenti legittimi, mentre la verifica continua dopo l'accesso rimane una pratica rara. Di conseguenza, le sessioni autenticate sono considerate affidabili per impostazione predefinita, il che offre agli autori degli attacchi l’opportunità di agire senza essere individuati.

L'impatto concreto dei punti ciechi nell'autenticazione

Il business email compromise spesso va a buon fine senza l’uso di malware o link dannosi. Gli autori degli attacchi effettuano l'autenticazione utilizzando credenziali rubate e operano da account legittimi, rendendo difficile il loro individuamento. Gli attacchi avanzati di impersonificazione sfruttano l’accesso autenticato per analizzare i modelli di comunicazione interna e mettere a punto campagne di ingegneria sociale estremamente convincenti.

Gli attacchi alla catena di approvvigionamento hanno spesso origine da lacune nell’autenticazione presso partner o fornitori, consentendo agli autori degli attacchi di sfruttare le relazioni di fiducia. L'impatto finanziario e reputazionale va oltre le perdite immediate, poiché gli incidenti legati al BEC spesso superano i 5 milioni di dollari se si considerano tutti i costi.

Le organizzazioni subiscono in genere tre conseguenze a catena:

• Aumento dei casi di frode e di sottrazione di dati tramite accessi autenticati.
• Rilevamento ritardato a causa della visibilità limitata tra i vari sistemi.
• Danni a lungo termine in termini di reputazione e di conformità normativa.

Eliminare i punti ciechi a livello di dominio con DMARC

Perché lo spoofing dei domini rimane una grave lacuna

L'adozione globale dello standard DMARC rimane al di sotto del 30%, lasciando la maggior parte dei domini esposti al rischio di spoofing e di usurpazione d'identità. Gli autori degli attacchi sfruttano questa vulnerabilità inviando e-mail che sembrano provenire da marchi affidabili, ingannando sia gli utenti che i sistemi di sicurezza della posta elettronica che si basano sulla reputazione del dominio del mittente.

Il problema va oltre la semplice falsificazione diretta del dominio. Gli autori degli attacchi sfruttano piattaforme di posta elettronica legittime, quali SendGrid e Mailgun, per inviare messaggi dannosi da infrastrutture affidabili. Questi messaggi superano i controlli SPF e DKIM poiché vengono inviati tramite servizi legittimi, ma eludono i controlli DMARC poiché la maggior parte delle organizzazioni non ha ancora implementato pienamente l’autenticazione basata sul dominio.

In che modo Mimecast DMARC Analyzer ripristina la visibilità

Mimecast DMARC Analyzer offre una visibilità completa su chi invia e-mail per conto del Suo dominio, individuando i mittenti non autorizzati prima che possano danneggiare il Suo marchio o ingannare i Suoi clienti. Il monitoraggio in tempo reale dell’allineamento DKIM, SPF e DMARC rivela esattamente quali messaggi superano l’autenticazione e quali invece non la superano.

Il percorso verso l'applicazione del DMARC può rivelarsi complesso e richiedere molto tempo se non si dispone degli strumenti adeguati. Mimecast DMARC Analyzer semplifica il percorso grazie a flussi di lavoro guidati che aiutano le organizzazioni a passare dal monitoraggio all’applicazione delle misure senza interrompere i flussi di posta elettronica legittimi. Tale visibilità colma una grave lacuna nell'autenticazione che gli hacker hanno sfruttato per anni.

Il rischio umano come principale punto cieco

Mancanza di visibilità sugli utenti target

Spesso i team di sicurezza non dispongono di una visione chiara di quali dipendenti siano esposti al maggior volume di attacchi. Sebbene la maggior parte degli incidenti sia causata da un ristretto gruppo di utenti, le organizzazioni tendono in genere ad applicare controlli uniformi anziché una protezione basata sul rischio.

I ruoli ad alto rischio, quali i dirigenti, i team finanziari e i dipendenti con accesso a dati sensibili, richiedono controlli su misura e una formazione mirata che i programmi generici di sensibilizzazione non sono in grado di fornire. Senza una visione chiara dei modelli di attacco, le organizzazioni non sono in grado di dare priorità alla protezione laddove è più necessario.

L’ampliamento dei punti ciechi negli strumenti di collaborazione

La posta elettronica rappresenta solo uno dei vettori di attacco negli ambienti moderni. Piattaforme come Teams, Slack e Zoom comportano nuovi rischi di divulgazione, poiché le informazioni sensibili transitano attraverso diversi canali di comunicazione. La visibilità limitata su queste piattaforme crea dei punti ciechi che gli autori degli attacchi sfruttano attivamente.

I dati condivisi tramite strumenti di collaborazione spesso aggirano completamente i sistemi di sicurezza della posta elettronica. La condivisione di file, la chat e la condivisione dello schermo funzionano secondo modelli di sicurezza diversi, rendendo indispensabile una protezione unified su tutti i canali di comunicazione.

Shadow IT e rischi interni

Gli strumenti non gestiti creano punti ciechi in termini di perdita di dati che i team di sicurezza non sono in grado di monitorare poiché non ne conoscono l'esistenza. I dipendenti utilizzano spesso servizi di condivisione file destinati al pubblico, servizi di archiviazione cloud personali e strumenti di collaborazione non autorizzati, ciascuno dei quali rappresenta una potenziale via di esfiltrazione.

Gli strumenti di intelligenza artificiale generativa (GenAI) comportano rischi aggiuntivi, poiché i dipendenti condividono informazioni sensibili con piattaforme di intelligenza artificiale esterne senza comprendere le implicazioni relative alla conservazione dei dati o alla sicurezza. Spesso le organizzazioni non dispongono di una visione chiara di quali dati escano dal proprio ambiente e di come vengano utilizzati.

Dai punti ciechi alla sicurezza continua della posta elettronica

L'autenticazione deve evolversi da una configurazione una tantum a un processo di sicurezza sottoposto a monitoraggio continuo. Le organizzazioni necessitano di una visibilità in tempo reale su domini, utenti, protocolli e piattaforme di collaborazione per individuare le minacce che operano al di fuori dei confini tradizionali della posta elettronica.

La piattaforma Human Risk di Mimecast combina l’applicazione delle procedure di autenticazione, l’analisi comportamentale e la gestione dei rischi legati al fattore umano per colmare tali lacune. Mettendo in correlazione gli eventi di autenticazione con il comportamento degli utenti e l’attività nel cloud, le organizzazioni possono individuare minacce che in precedenza passavano inosservate.

Il futuro della sicurezza della posta elettronica non consiste nell’aggiungere ulteriori strumenti, bensì nel garantire una visibilità unified e l’applicazione adattiva delle procedure di autenticazione su tutta la superficie di attacco. Le organizzazioni che adottano questo approccio trasformano i punti ciechi in livelli di sicurezza difendibili, rafforzando la resilienza in un panorama delle minacce sempre più complesso.