Compromissione dell'account e-mail: che cos'è e come funziona

Si parla di compromissione di un account e-mail quando un malintenzionato ottiene l’accesso non autorizzato a una casella di posta legittima e inizia a utilizzar a come piattaforma affidabile per attività di sorveglianza, frode o ulteriori attacchi. Ciò lo rende diverso da un semplice problema di spam del tipo “ ” o da un’e-mail sospetta isolata. 

Una volta che un vero account di Business Email viene compromesso, l’autore dell’attacco acquisisce la fiducia, la cronologia dei messaggi e il contesto delle comunicazioni , elementi che possono essere utilizzati contro l’organizzazione. Per i team aziendali, la compromissione della posta elettronica rappresenta spesso l’inizio di un incidente di portata molto più ampia.

Che cos’è la compromissione dell’account e-mail (EAC)?

Per “compromissione di un account di posta elettronica” si intende l’accesso non autorizzato a un account di posta elettronica legittimo. Anziché fingersi l'utente dall'esterno, l'autore dell'attacco si trova all'interno della casella di posta reale e sfrutta la fiducia che ne deriva.

Gli hacker possono ottenere l'accesso agli account di posta elettronica in diversi modi. Alcuni metodi si basano sull’inganno, mentre altri sfruttano in modo le credenziali deboli o le misure di protezione insufficienti degli account. Tra i metodi più comuni figurano:

• E-mail di phishing: indurre un dipendente a inserire le proprie credenziali di accesso in una pagina fasulla.
• Richieste di approvazione malevole: chiedono all’utente di autorizzare l’accesso dell’autore dell’attacco tramite una richiesta falsa o inaspettata.
• Credenziali rubate: riutilizzare nomi utente e password ottenuti tramite precedenti violazioni o mercati illegali.
• Attacco di tipo “password spraying”: si provano password comuni su numerosi account per individuare punti di accesso vulnerabili.
• Malware: acquisizione di credenziali, dati di sessione o accesso alla casella di posta tramite un sistema infetto.
• Password riutilizzate: rendono più facile per gli hacker accedere a un account di posta elettronica utilizzando credenziali già divulgate altrove.
• Procedure di reimpostazione o recupero delle password inadeguate: offrono agli hacker un’ulteriore via d’accesso alla casella di posta quando le fasi di recupero non sono adeguatamente protette.

Perché una vera cassetta postale è così pericolosa

Il pericolo aumenta una volta che l'autore dell'attacco è riuscito a penetrare in una casella di posta elettronica reale. A quel punto, non operano più con un’identità falsa su , bensì con un account legittimo che gode già di fiducia e di un contesto aziendale. Una vera casella di posta elettronica, come , tiene conto della reputazione del mittente, del contesto interno e della cronologia delle conversazioni precedenti. I messaggi inviati da quell'account hanno una probabilità maggiore di essere aperti, considerati affidabili e di suscitare una reazione, come si può leggere su .

Perché l’EAC è importante per le imprese

Per le grandi aziende, la compromissione degli account di posta elettronica non è solo un problema legato alla casella di posta. Ciò può rapidamente trasformarsi in un problema più ampio di frodi, , fiducia e rischio operativo a livello aziendale.

Ciò può comportare la manomissione delle fatture, la divulgazione di informazioni sensibili, attacchi di phishing interni, frodi finanziarie o una minaccia informatica più ampia di tipo “ ” che coinvolga altri sistemi e utenti. Il vero rischio deriva dalla legittimità della casella di posta stessa, poiché un account compromesso può sembrare normale a prima vista.

Come avviene la compromissione di un account di posta elettronica?

La compromissione di un account e-mail inizia solitamente con il furto delle credenziali di accesso, ma il percorso che porta alla compromissione può variare. Alcuni attacchi sono diretti e rapidi. Altre sono più discrete e si sviluppano nel corso del tempo.

Phishing

Un attacco di phishing di tipo “” ( ) rappresenta una delle vie più comuni attraverso cui si verifica una compromissione. L'autore dell'attacco invia un messaggio convincente, concepito per sottrarre le credenziali di accesso , indurre l'utente ad approvare un accesso dannoso o reindirizzarlo verso una pagina di accesso contraffatta. Poiché il Phishing si basa sull' a fiducia e sull'urgenza, rimane uno dei metodi più efficaci a disposizione dei criminali informatici per infiltrarsi nell'ambiente di Business Email .

Dirottamento della catena di approvvigionamento

Gli autori degli attacchi potrebbero inoltre ottenere l'accesso tramite un fornitore, un partner o un sistema di terze parti compromesso. Quando esiste già un rapporto di fiducia con un partner esterno , le attività dannose possono mimetizzarsi nelle Business Email communications già in corso. Questo è uno dei motivi per cui gli abusi nella catena di approvvigionamento possono risultare difficili da individuare tempestivamente.

Furto di credenziali

La compromissione può avvenire anche tramite credenziali ottenute altrove. Gli autori degli attacchi potrebbero riutilizzare nomi utente e password raccolti in seguito a precedenti violazioni, tramite programmi di furto di informazioni o sui mercati clandestini. Se un utente utilizza la stessa password su più servizi di , il rischio aumenta in modo significativo.

Attacco di tipo "password spraying"

In un attacco di tipo “password spraying” di tipo“”, l’autore dell’attacco verifica le password più comuni su numerosi account, anziché concentrarsi su un unico account effettuando numerosi tentativi. Questo consente di evitare i blocchi di accesso, individuando al contempo i punti di accesso vulnerabili. Risulta particolarmente efficace quando le organizzazioni non applicano una politica rigorosa in materia di password.

malware

Il malware presente su un endpoint infetto può acquisire credenziali, token di sessione o altre informazioni che consentono l'accesso alle caselle di posta tramite l' . In alcuni casi, gli autori degli attacchi non hanno nemmeno bisogno di riutilizzare la password se riescono a dirottare una sessione attiva.

Flussi di recupero modesti

Alcuni aggressori prendono di mira i meccanismi di reimpostazione e recupero delle password anziché la casella di posta stessa. Se le domande di recupero, le autorizzazioni di re azione o i controlli di identità presentano delle lacune, l’account può essere compromesso senza ricorrere alle tradizionali tecniche di phishing.

Ottenere l'accesso

Una volta ottenuto l'accesso, gli aggressori spesso dedicano del tempo all'osservazione prima di agire. Possono monitorare le conversazioni, esaminare le discussioni relative ai pagamenti su , cercare informazioni riservate o analizzare le modalità di approvazione. Possono inoltre creare o modificare le regole della casella di posta in arrivo di , modificare le impostazioni di inoltro, nascondere le e-mail mancanti o inviare messaggi dall'account.

Poiché l'autore dell'attacco utilizza una casella di posta elettronica reale, i messaggi fraudolenti possono risultare molto più convincenti. Un’e-mail fraudolenta inviata da una casella di posta compromessa potrebbe fare riferimento a un conto bancario reale, a una transazione finanziaria effettiva o a una conversazione esistente con un fornitore su . Ecco perché ogni attacco può rapidamente trasformarsi da semplice sorveglianza in una vera e propria frode.

EAC contro BEC

La compromissione degli account di posta elettronica e la business email compromise sono strettamente correlate, ma non sono sinonimi. Mantenere chiara la distinzione tra le truffe di tipo “ ” contribuisce a evitare sovrapposizioni con le truffe BEC più generiche e aiuta gli addetti alla sicurezza a concentrarsi sulle misure di controllo adeguate.

L'EAC si riferisce alla compromissione di una casella di posta reale. L'attività degli attacchi di tipo "Business Email Compromise" è più estesa. Comprende le Business Email ingannevoli utilizzate a fini fraudolenti, anche nei casi in cui l’autore dell’attacco non riesca mai ad accedere a una casella di posta reale. Un’e-mail BEC del tipo potrebbe provenire da tramite spoofing, usurpazione d’identità o un dominio simile. L'EAC, al contrario, prevede fin dall'inizio l'accesso effettivo alla casella di posta.

Ecco in cosa differiscono:

Gli autori degli attacchi non hanno sempre bisogno di una casella di posta compromessa per mettere in atto frodi ai danni dei dirigenti o truffe relative ai pagamenti. I truffatori che utilizzano la tecnica BEC riescono ancora a raggiungere il loro obiettivo tramite messaggi contraffatti. Ma quando entra in gioco l’EAC, l’autore dell’attacco dispone di un contesto molto più ampio e di un livello di fiducia molto maggiore su cui fare affidamento.

Quali sono i segnali che indicano che un account di posta elettronica è stato compromesso?

La compromissione di un account di posta elettronica può risultare difficile da individuare tempestivamente, poiché l’attività proviene spesso da un account reale con una cronologia effett e. Il semplice blocco tradizionale non è sempre sufficiente, pertanto i team di sicurezza necessitano spesso di una maggiore visibilità sul comportamento dell’ e e sul contesto delle comunicazioni.

Reimpostazioni impreviste della password

Le richieste di ripristino non pianificate potrebbero indicare che un malintenzionato stia tentando di assumere il controllo della casella di posta o di interferire con le procedure di ripristino . Anche se l'accesso non è ancora stato completamente ottenuto, ciò può costituire un primo segnale del fatto che l'account sia oggetto di un attacco.

Messaggi inviati sospetti

L'utente potrebbe scoprire messaggi che non ha mai inviato, tra cui richieste relative a modifiche alle buste paga, pagamenti a fornitori o aggiornamenti dei conti bancari . Poiché i messaggi provengono da un account e-mail legittimo, i destinatari potrebbero essere più propensi a fidarsi di .

Regole della posta in arrivo non note

Gli autori degli attacchi creano spesso regole che nascondono, reindirizzano o monitorano in modo invisibile i messaggi. Ciò consente loro di rimanere più a lungo all'interno dell'account , riducendo al contempo la probabilità che l'utente si accorga che qualcosa non va.

Luoghi di accesso anomali

L'accesso da luoghi che non rientrano nelle abitudini dell'utente può costituire un forte indicatore di una violazione della sicurezza. Di per sé ciò potrebbe non costituire una conferma di attività dolosa, ma diventa più preoccupante se associato ad altri comportamenti insoliti.

Accesso da dispositivi insoliti

Un accesso effettuato da un dispositivo che l'utente non ha mai utilizzato potrebbe indicare un accesso non autorizzato. Ciò è particolarmente importante quando il dispositivo non corrisponde alle normali abitudini di lavoro dell’utente o agli endpoint noti.

Modifiche all’inoltro della posta

Gli autori degli attacchi potrebbero configurare un reindirizzamento per acquisire copie di messaggi riservati o per mantenere la visibilità nel caso in cui perdessero l'accesso diretto all' . Tali modifiche possono consentire loro di continuare a monitorare la casella di posta anche dopo che è stata individuata la violazione iniziale.

Messaggi cancellati o mancanti

L'assenza di e-mail o la cancellazione di conversazioni possono indicare un tentativo di nascondere attività fraudolente o di eliminare prove. In alcuni casi , gli autori degli attacchi cancellano i messaggi per ostacolare la comunicazione tra l'utente e il team di sicurezza.

Conversazioni esterne insolite

I team di sicurezza potrebbero rilevare contatti sospetti con clienti, fornitori o partner provenienti dalla casella di posta compromessa. Ciò può includere il reindirizzamento dei pagamenti, richieste di informazioni personali o tentativi di portare avanti una campagna di phishing più ampia .

La difficoltà sta nel fatto che un account di posta elettronica compromesso, a prima vista, sembra ancora legittimo. Utilizza il mittente corretto, la cronologia corretta dell’ e e il contesto aziendale corretto; ecco perché spesso i responsabili della sicurezza hanno bisogno di qualcosa di più del semplice blocco dei mittenti.

Come le organizzazioni possono proteggersi dalla compromissione degli account di posta elettronica

Per difendersi dalla compromissione degli account di posta elettronica è necessaria una protezione a più livelli della Business Email. Un unico meccanismo di controllo non è sufficiente a risolvere il problema, poiché gli autori degli attacchi possono prendere di mira persone, credenziali, sessioni e flussi di lavoro in modi diversi.

Migliorare l'accesso e l'autenticazione

Per ridurre il rischio di compromissione degli account di posta elettronica occorre innanzitutto rendere meno utilizzabili le credenziali rubate. L'autenticazione a più fattori aggiunge un ulteriore livello di protezione, mentre controlli più rigorosi sulle password contribuiscono a ridurre il rischio di credenziali deboli o riutilizzate.

Le organizzazioni dovrebbero inoltre garantire la sicurezza delle procedure di reimpostazione delle password e di recupero degli account, poiché gli autori degli attacchi potrebbero prendere di mira tali procedure qualora fallissero i tentativi di accesso diretto all’ . Il monitoraggio delle anomalie di accesso aggiunge un ulteriore livello di protezione, segnalando accessi insoliti provenienti da località, dispositivi o modelli di comportamento non i.

Migliorare la visibilità, la reattività e la protezione degli utenti

Una volta ottenuto l’accesso, la sfida successiva consiste nell’individuare gli abusi prima che si trasformino in frodi su larga scala o in una fuga di dati di tipo “”. Gli autori degli attacchi spesso fanno leva su attività apparentemente normali nella casella di posta per passare inosservati mentre ampliano il proprio raggio d'azione.

• Rilevamento dei messaggi sospetti: consente di individuare tempestivamente attività e-mail fraudolente o anomale.
• Monitoraggio delle caselle di posta: rileva le modifiche e i comportamenti che potrebbero indicare una violazione o un uso improprio.
• Misure di protezione contro il phishing: riducono il rischio che il phishing consenta l’accesso alla casella di posta.

• Interventi di risposta più rapidi: la chiusura della sessione o i riavvii forzati possono contribuire a contenere rapidamente gli abusi una volta confermata la violazione .

Mimecast supporta questo tipo di difesa aiutando le organizzazioni a migliorare la visibilità sui comportamenti anomali delle e-mail, sul rischio di usurpazione d’identità di tipo “ ” e sulle minacce rivolte alle persone. Questo è importante perché un’efficace protezione della Business Email non dipende solo dal blocco delle e-mail sospette, ma anche dalla capacità di riconoscere quando una casella di posta autentica inizia a mostrare comportamenti sospetti.

Il ruolo della compromissione degli account di posta elettronica nella sicurezza aziendale

La compromissione di un account e-mail rappresenta una minaccia importante da tenere in considerazione, poiché può rapidamente trasformarsi in qualcosa di più di un semplice problema legato alla casella di posta. A single casella di posta compromessa può esporre informazioni sensibili, dare origine a frodi basate sulla fiducia, innescare attacchi di phishing interni o favorire il verificarsi di incidenti di sicurezza su più ampia scala all’interno dell’organizzazione. Ciò può influire contemporaneamente sui pagamenti ai fornitori, sulle comunicazioni con i clienti e sull’accesso dell’ e a informazioni aziendali di grande valore.

Per i responsabili della sicurezza aziendale, l’EAC rappresenta un rischio aziendale, non solo un problema legato alla posta elettronica. Un rilevamento più efficace, un contenimento più rapido, un’autenticazione più sicura e una maggiore visibilità sulla casella di posta possono contribuire a impedire che un account compromesso si trasformi in un incidente di sicurezza informatica di più ampia portata . Mimecast aiuta le organizzazioni a ridurre le violazioni legate alla posta elettronica, a migliorare la risposta agli incidenti e a limitare l’impatto dell’abuso di account affidabili da parte di un “ ”.