Why Are Impersonation Attacks Hard to Detect?

Impersonation attacks are carefully crafted and unique to each organization they target. Whereas generic 'mass-market' ransomware emails often have obvious spelling and grammar errors, impersonation attacks are designed to look and sound like they came from prominent members of an organization. To the untrained and unsuspecting eye, it can be difficult to catch signs of an impersonation email, or even know where to look for them.

How to Stop an Impersonation Attack?

To prevent impersonation attacks and other forms of phishing and cybercrime, organizations are wise to adopt a multi-layered approach to email security that includes: Security awareness training that educates employees about what impersonation attacks look like, what can be done to prevent them, and the kind of damage that a successful attack can cause. Email security software that scans and filters every link and attachment in every email, blocking users from visiting URLs or opening attachments that may be malicious. DNS authentication services that use DKIM, SPF and DMARC protocols to identify legitimate and potentially fraudulent email. Anti-malware and anti-spam protection that can stop certain attacks from reaching user mailboxes.

How to Report an Impersonation Attack?

When employees suspect they have been targeted or have been involved in an impersonation attack, they should immediately report the incident to their supervisor, to the IT department and to the person within the organization who was impersonated. Additionally, impersonation attacks can be reported to government organizations dedicated to preventing cybercrime. These include the Federal Trade Commission (www.ftc.gov/complaint), the Cybersecurity and Infrastructure Security Agency (phishing-report@us-cert.gov) and the Anti-Phishing Working Group (www.antiphishing.org/report-phishing)

Email Impersonation: How Attacks Work

Punti principali

Cosa imparerai in questo articolo

Un attacco di spoofing via e-mail è una forma di frode in cui gli autori dell’attacco si spacciano per una persona di fiducia al fine di indurre i dipendenti a inviare denaro, condividere dati o rivelare le proprie credenziali.
Questi attacchi spesso non prevedono l’uso di malware e si basano sull’ingegneria sociale, sul senso di urgenza e sulla familiarità, piuttosto che su evidenti segnali di allarme di natura tecnica.
Tra le forme più comuni figurano le frodi ai danni degli amministratori delegati, business email compromise, le truffe relative alle buste paga e le richieste riguardanti carte regalo o bonifici bancari.
Tra i segnali di allarme figurano il tono urgente, la segretezza, richieste di pagamento insolite e indirizzi e-mail o link che non corrispondono pienamente al mittente attendibile.
Mimecast contribuisce a contrastare gli attacchi di impersonificazione analizzando le e-mail alla ricerca di anomalie, segnali di ingegneria sociale, link dannosi e allegati rischiosi.

Per fermare un attacco di impersonificazione sono necessarie politiche di sicurezza forti e la vigilanza da parte dei dipendenti. Ma poiché questi attacchi sono progettati per sfruttare l'errore umano, sono necessarie anche soluzioni in grado di scansionare automaticamente le e-mail e bloccare qualsiasi potenziale attacco. Ecco dove Mimecast può aiutare.

Che cos'è un attacco di impersonificazione.jpg

Che cos'è un attacco di impersonificazione di e-mail?

Gli attacchi di impersonificazione delle e-mail sono un tipo di attacco di phishing in cui l'aggressore si spaccia per un mittente legittimo, al fine di indurre il destinatario a cliccare su un link o un allegato dannoso.

Nel corso di un attacco di spoofing via e-mail, gli autori si spacciano per una persona conosciuta o di fiducia al fine di indurre un dipendente a trasferire denaro su un conto fraudolento, a condividere informazioni sensibili (quali proprietà intellettuale, dati finanziari o informazioni relative alle buste paga) oppure a rivelare credenziali di accesso che gli autori dell’attacco possono utilizzare per violare la rete informatica dell’azienda. Le frodi ai danni degli amministratori delegati, il "business email compromise" e il "whaling" sono forme specifiche di attacchi di usurpazione d'identità in cui soggetti malintenzionati si spacciano per dirigenti di alto livello all'interno di un'azienda.

Perché sono difficili da individuare

Gli attacchi di usurpazione d'identità tramite e-mail possono risultare difficili da individuare, poiché l'autore dell'attacco utilizza spesso un indirizzo e-mail falso simile a quello del mittente legittimo. Se riceve un’e-mail da un mittente sconosciuto, oppure se l’e-mail contiene errori grammaticali o ortografici, questi potrebbero essere indizi che si tratti di un’e-mail sospetta o di un attacco di furto d’identità.

Se non è sicuro che un'e-mail sia legittima, può sempre contattare direttamente il presunto mittente per verificarne l'autenticità. Si ricordi di non cliccare mai sui link o sugli allegati contenuti in un'e-mail, a meno che non sia certo che siano sicuri.

Falsificazione dell'identità nell'e-mail vs spoofing dell'e-mail

L'usurpazione d'identità via e-mail è un tipo di attacco più ampio in cui un criminale informatico finge di essere una persona o un marchio affidabile per manipolare il destinatario, mentre lo spoofing delle e-mail èuna tattica utilizzata per avvalorare tale inganno, falsificando l'indirizzo del mittente o facendo sembrare che il messaggio provenga da una fonte legittima. In altre parole, lo spoofing può contribuire a rendere più convincente un attacco di impersonificazione, ma tali attacchi possono anche avvalersi di tecniche di ingegneria sociale, domini simili o altre tattiche basate sulla fiducia anche senza uno spoofing esatto del mittente.

Come funziona un attacco di impersonificazione?

Gli attacchi di usurpazione d'identità tramite e-mail seguono una serie di passaggi volti a indurre il destinatario a credere di interagire con una fonte attendibile. Le fasi più comuni di questi attacchi includono:

Selezionare un bersaglio: gli autori degli attacchi scelgono un dipendente in grado di effettuare pagamenti, condividere dati sensibili o approvare richieste, spesso tra coloro che ricoprono ruoli nei settori finanziario, delle risorse umane, legale o di supporto dirigenziale.
Analisi del bersaglio: raccolgono informazioni dettagliate sul ruolo, sui contatti e sulle abitudini comunicative del bersaglio attraverso i siti web aziendali, gli elenchi e i social media.
Scegliere una persona da impersonare: l’autore dell’attacco decide quale identità risulti più convincente, ad esempio quella di un dirigente, di un collega, di un fornitore o di un partner commerciale.
Creare l’inganno: utilizzano un indirizzo contraffatto, un dominio simile o un account compromesso per far sembrare il messaggio legittimo.
Inviare il messaggio: l’e-mail è redatta in modo da rispecchiare il tono, lo stile e il senso di urgenza che il destinatario si aspetterebbe dal mittente di cui si sta assumendo l’identità.
Sollecito all’azione: l’autore dell’attacco richiede qualcosa che gli consenta di raggiungere il proprio obiettivo, come un bonifico bancario, una modifica alle buste paga, l’invio di credenziali o la divulgazione di informazioni riservate.

Questi attacchi hanno successo perché combinano ricerca, fiducia e urgenza per far sembrare credibili le richieste fraudolente.

In alcuni casi, l’autore dell’attacco potrebbe anche ricorrere allo spoofing delle e-mail per rendere il messaggio ancora più convincente.

Quali sono i tipi più comuni di attacchi di usurpazione d'identità tramite e-mail?

Gli attacchi di furto d'identità tramite e-mail possono assumere diverse forme, ma la maggior parte segue lo stesso schema: sfruttano la fiducia, l'urgenza o la familiarità per indurre il destinatario a compiere un'azione rischiosa. Tra i tipi più comuni figurano:

Richieste urgenti e di breve durata che comportano il trasferimento di denaro o di informazioni sensibili come informazioni sul conto bancario o credenziali di accesso.
Richieste di acquisto da completare per conto del CEO, spesso carte regalo.
Dipendenti che richiedono bruscamente modifiche alle informazioni sul deposito diretto.
Creare e-mail con leggere deviazioni del nome, come scrivere la lettera "m" come "rn".
Utilizzando un linguaggio che induce urgenza e senso di paura.

Questi schemi sono importanti perché gli attacchi di impersonificazione spesso non appaiono immediatamente come azioni dolose. Più i team hanno familiarità con queste tattiche, più diventa facile fermarsi un attimo, verificare la situazione ed evitare di dare seguito a una richiesta fraudolenta.

Esempi concreti di attacchi di usurpazione d'identità tramite e-mail

Gli attacchi di usurpazione d'identità tramite e-mail possono causare ingenti perdite finanziarie, la divulgazione di dati e conseguenze più ampie in termini di sicurezza quando i dipendenti si fidano di un messaggio che sembra legittimo. Tra i casi degni di nota figurano:

Ubiquiti Networks: alcuni malintenzionati si sono spacciati per alti dirigenti e hanno inviato richieste fraudolente di bonifico bancario, causando una perdita stimata in 46,7 milioni di dollari.
Facebook e Google: alcuni criminali informatici si sono spacciati per un fornitore legittimo di hardware nell’ambito di una truffa BEC di lunga durata che, secondo quanto riferito, avrebbe fruttato oltre 100 milioni di dollari.
Filiale di Toyota: gli autori dell’attacco si sono spacciati per un dirigente dell’azienda e hanno inviato una richiesta di pagamento fraudolenta che ha causato una perdita stimata in 37 milioni di dollari.

Questi episodi dimostrano che gli attacchi di furto d’identità tramite e-mail possono colpire anche organizzazioni dotate di risorse adeguate, qualora si ricorra in modo efficace a fattori quali la fiducia, l’urgenza e l’inganno.

Come riconoscere un attacco di impersonificazione

A differenza dei comuni attacchi di phishing, che spesso sono poco specifici e pieni di errori grammaticali o di ortografia, gli attacchi di impersonificazione sono altamente mirati e ben realizzati per apparire realistici e autentici. Ci sono alcuni elementi, tuttavia, che indicano un'e-mail potenzialmente fraudolenta:

Un tono urgente e potenzialmente minaccioso. La maggior parte degli attacchi di furto d'identità richiede o esige che il destinatario agisca immediatamente. Alcune e-mail di spoofing potrebbero minacciare conseguenze negative qualora il destinatario non agisse con sufficiente tempestività. Lo scopo è quello di impedire al dipendente di prendersi il tempo necessario per ricontrollare prima di agire.
Particolare attenzione alla riservatezza. Alcuni attacchi di impersonificazione suggeriscono che l’azione faccia parte di uno sviluppo riservato o di un programma segreto di cui non si dovrebbe parlare con i colleghi o con i propri superiori diretti.
Una richiesta di inviare denaro o di fornire informazioni riservate. Qualsiasi richiesta di trasferimento di denaro o di comunicazione di dati finanziari sensibili, informazioni relative alle retribuzioni o alla proprietà intellettuale deve essere verificata attraverso più canali.
Un problema relativo agli indirizzi e-mail o ai link. Spesso, l’e-mail che si spaccia per quella di un dirigente è una versione leggermente modificata di un account e-mail legittimo. Inoltre, l’indirizzo di risposta potrebbe essere diverso da quello del mittente, oppure i link effettivi agli URL contenuti nell’e-mail potrebbero non corrispondere al testo dei collegamenti ipertestuali presenti nel corpo del messaggio.
Richieste o account insoliti. Gli attacchi di furto d'identità spesso richiedono ai destinatari di inviare denaro su conti bancari o conti di fornitori con numeri diversi da quelli utilizzati in passato dal dipendente.

Come evitare un attacco di impersonificazione?

Le truffe che prevedono un attacco di impersonificazione rappresentano un pericolo significativo per le aziende di qualsiasi dimensione. Anziché ricorrere a URL o allegati dannosi, un attacco di impersonificazione si avvale dell’ingegneria sociale e della personalizzazione per indurre un dipendente a trasferire inconsapevolmente denaro su un conto fraudolento o a condividere dati sensibili con i criminali informatici.

Come si presentano solitamente questi attacchi

Un attacco di spoofing consiste in genere in un’e-mail che sembra provenire da una fonte attendibile. Talvolta l’attacco via e-mail può iniziare con un messaggio che sembra provenire da un amministratore delegato, da un direttore finanziario o da un altro dirigente di alto livello: queste truffe sono note anche come attacchi via e-mail di tipo “whaling”. Un attacco di impersonificazione può anche consistere in un messaggio che sembra provenire da un collega di fiducia, da un fornitore terzo o da altri marchi noti presenti su Internet.

Il messaggio potrebbe richiedere al destinatario di effettuare un bonifico su un conto bancario o a un fornitore che in seguito si rivelerà fraudolento, oppure potrebbe chiedere al destinatario di inviare informazioni quali file W-2, dati bancari o credenziali di accesso che consentono agli hacker di accedere alle finanze e ai sistemi aziendali. Una single e-mail di Phishing può anche diventare il punto di partenza per un attacco informatico di più ampia portata, qualora l'autore dell'attacco riesca a conquistare la fiducia della vittima o a ottenere l'accesso.

Come ridurre il rischio

Per contrastare un attacco di usurpazione d'identità sono necessarie solide politiche di sicurezza e la massima vigilanza da parte dei dipendenti. Tuttavia, poiché questi attacchi sono concepiti per sfruttare l’errore umano, occorrono anche soluzioni in grado di analizzare automaticamente le e-mail e bloccare qualsiasi potenziale attacco. È proprio in questo ambito che Mimecast può esservi d’aiuto.

Contrastare un attacco di spoofing con Mimecast

Mimecast rende la posta elettronica più sicura per le aziende, integrando in un single servizio basato sul cloud soluzioni per la sicurezza della posta elettronica, Email Continuity e la protezione dei dati della posta elettronica. Ottimizzando i processi amministrativi e fornendo una piattaforma cloud single che copre tutte le funzionalità di posta elettronica, Mimecast riduce i costi e la complessità della gestione della Business Email.

I servizi SaaS di sicurezza della posta elettronica offerti da Mimecast garantiscono protezione contro tutte le principali minacce. Oltre a bloccare gli attacchi di furto d'identità, Mimecast può contribuire a prevenire attacchi ransomware, attacchi di spear-phishing e attacchi interni, nonché minacce derivanti da virus e malware. Oltre alle soluzioni per la risposta alle minacce, l’offerta di sicurezza di Mimecast comprende anche soluzioni per l’invio sicuro di messaggi e file di grandi dimensioni, nonché per Content Control e la prevenzione della perdita di dati.

Esplora le soluzioni di protezione dalle minacce

Presentazione

Chi è a rischio di subire un attacco di usurpazione d'identità?

Sebbene chiunque possa essere a rischio di un attacco di impersonificazione di e-mail, i nuovi dipendenti sono spesso i bersagli principali. È meno probabile che i nuovi dipendenti abbiano familiarità con la cultura aziendale e con il modo in cui i membri dell'organizzazione comunicano o delegano i compiti, per cui, nella loro ansia di creare una buona impressione, potrebbero essere vittime di un attacco di impersonificazione.

Perché gli attacchi di impersonificazione sono difficili da rilevare?

Gli attacchi di impersonificazione sono realizzati con cura e sono unici per ogni organizzazione che prendono di mira. Mentre le e-mail generiche del ransomware di massa "" spesso presentano errori ortografici e grammaticali evidenti, gli attacchi di impersonificazione sono progettati per sembrare e suonare come se provenissero da membri importanti di un'organizzazione. Per un occhio inesperto e ignaro, può essere difficile cogliere i segni di un'e-mail di impersonificazione, o anche sapere dove cercarli.

Come fermare un attacco di impersonificazione?

Per prevenire gli attacchi di impersonificazione e altre forme di phishing e di crimine informatico, le organizzazioni fanno bene ad adottare un approccio a più livelli alla sicurezza delle e-mail, che comprende:

Una formazione di sensibilizzazione sulla sicurezza, che istruisca i dipendenti su come si presentano gli attacchi di impersonificazione, su cosa si può fare per prevenirli e sul tipo di danno che un attacco riuscito può causare.
Soluzioni anti-impersonazione che analizzano le e-mail alla ricerca di segni di attacchi senza malware e basati sul social engineering, che sono più comunemente associati all'impersonificazione. Queste possono includere anomalie di intestazione, somiglianza di dominio, spoofing del mittente e linguaggio sospetto nel contenuto delle e-mail.
Un software di sicurezza e-mail che scansiona e filtra ogni link e allegato in ogni e-mail, bloccando gli utenti dal visitare URL o aprire allegati che potrebbero essere dannosi.
Servizi di autenticazione DNS che utilizzano i protocolli DKIM, SPF e DMARC per identificare le e-mail legittime e quelle potenzialmente fraudolente.
Protezione anti-malware e anti-spam che può impedire ad alcuni attacchi di raggiungere le caselle di posta degli utenti.

Come segnalare un attacco di impersonificazione?

Quando i dipendenti sospettano di essere stati presi di mira o di essere stati coinvolti in un attacco di impersonificazione, devono segnalare immediatamente l'incidente al proprio supervisore, al reparto IT e alla persona all'interno dell'organizzazione che è stata impersonificata. Inoltre, gli attacchi di impersonificazione possono essere segnalati alle organizzazioni governative che si occupano di prevenire la criminalità informatica. Questi includono la Federal Trade Commission(www.ftc.gov/complaint), laCybersecurity and Infrastructure Security Agency(phishing-report@us-cert.gov) e l'Anti-Phishing Working Group(https://apwg.org/reportphishing/).