Che cos’è un attacco di spoofing? Tipologie, rischi e prevenzione

Un attacco di spoofing consiste nel far apparire legittimo qualcosa di dannoso. Un malintenzionato può falsificare il mittente di un’e-mail, un sito web, l’ID del chiamante, un indirizzo IP, un record DNS o un’identità attendibile per indurre una persona o un sistema ad abbassare la guardia. 

Per le organizzazioni, lo spoofing è particolarmente pericoloso poiché spesso costituisce il punto di partenza di minacce informatiche più gravi, tra cui il phishing, la diffusione di malware , gli accessi non autorizzati, il furto di identità e le frodi nei pagamenti.

Che cos’è un attacco di spoofing?

Un attacco di spoofing è un attacco informatico in cui un malintenzionato nasconde la propria identità o la propria provenienza per far apparire qualcosa come attendibile. Quel “qualcosa” potrebbe essere un’e-mail, un sito web, una telefonata, una richiesta di rete, un dispositivo o un account. Anziché introdursi con la forza, l’autore dell’attacco crea un falso senso di legittimità, in modo che la vittima ritenga che l’interazione provenga da una fonte conosciuta o approvata.

Lo spoofing funziona perché sia le persone che i sistemi si affidano spesso a segnali di fiducia familiari. Un marchio riconoscibile, una pagina di accesso realistica, un numero di telefono che sembra locale o un dominio che assomiglia molto a uno vero possono far sembrare l’attacco credibile a prima vista.

Il problema fondamentale è la falsa legittimità, non il canale specifico utilizzato. Una volta instaurato un rapporto di fiducia, gli autori degli attacchi possono esercitare pressioni sulla vittima affinché clicchi su un link dannoso, condivida le proprie credenziali, autorizzi un pagamento, scarichi malware o consenta una connessione che avrebbe dovuto essere bloccata.

Come funziona un attacco di spoofing?

Gli attacchi di spoofing variano a seconda del canale, ma la maggior parte segue lo stesso schema di base. L'autore dell'attacco sceglie qualcosa di cui la vittima è propensa a fidarsi, quindi manipola la comunicazione o il segnale tecnico in modo che appaia legittimo.

• Selezionare un'identità attendibile: l'autore dell'attacco sceglie una persona, un marchio, un dominio, un numero, un sito web o un sistema che la vittima riconosce. Potrebbe trattarsi di un dirigente, un fornitore, una banca, un servizio di consegna, una piattaforma informatica o un’applicazione interna.
• Preparare il canale contraffatto: l’autore dell’attacco crea o manipola l’e-mail, il sito web, l’ID del chiamante, il mittente dell’SMS, l’indirizzo IP, il record DNS, il profilo o il traffico di rete per farlo apparire legittimo.
• Trasmettere il messaggio o il segnale ingannevole: l’e-mail, la chiamata, il messaggio di testo, la pagina web o il traffico di rete contraffatti raggiungono il destinatario. L'obiettivo è quello di superare il sospetto per un tempo sufficiente a influenzare l'azione successiva.
• Azione immediata: l’autore dell’attacco induce la vittima a cliccare, effettuare l’accesso, condividere dati, autorizzare un pagamento, scaricare un file, reimpostare le credenziali o considerare attendibile la connessione.
• Sfruttare il risultato: una volta che la vittima agisce, l’autore dell’attacco può sottrarre dati, acquisire credenziali, dirottare fondi, installare malware, ottenere accesso non autorizzato o penetrare più in profondità nell’ambiente.

Ecco perché lo spoofing si presenta spesso in concomitanza con il phishing, lo spear phishing, la diffusione di malware e la compromissione degli account. L'identità falsificata induce il destinatario a fidarsi dell'interazione. La fase successiva determina il danno.

Quali sono i tipi più comuni di attacchi di spoofing?

Gli attacchi di spoofing possono prendere di mira persone, applicazioni, reti, siti web e sistemi di gestione delle identità. Alcuni sono di natura tecnica, mentre altri sono progettati per apparire normali agli occhi degli utenti comuni. Questi sono i tipi più comuni che le organizzazioni dovrebbero conoscere.

Falsificazione dell'indirizzo e-mail

Lo spoofing delle e-mail consiste nell'utilizzare dati del mittente falsificati o imitati per far sembrare che un messaggio provenga da una persona, un marchio o un dominio affidabile. Gli autori degli attacchi lo utilizzano spesso in campagne di phishing, business email compromise, di usurpazione dell’identità dei fornitori e di spear phishing per indurre gli utenti a cliccare su un link dannoso, ad aprire un allegato, a effettuare una richiesta di pagamento o a reimpostare le proprie credenziali.

Falsificazione di siti web

I siti web contraffatti sono progettati per assomigliare a vere e proprie pagine di accesso, portali bancari, moduli di pagamento, applicazioni cloud o strumenti aziendali. Gli autori degli attacchi ricorrono alla contraffazione dei siti web e degli URL per sottrarre credenziali, dati di pagamento, informazioni personali o dati di sessione agli utenti che credono di trovarsi su un sito legittimo.

Falsificazione dell'identificativo del chiamante

Con la falsificazione dell’identificativo del chiamante, gli autori degli attacchi falsificano un numero di telefono in modo che la chiamata sembri provenire da un’azienda nota, da un ente governativo, da una banca, da un numero locale o da un contatto interno. Queste chiamate contraffatte spesso favoriscono tecniche di ingegneria sociale, esercitando pressione sulla vittima affinché divulghi informazioni, approvi una richiesta o si fidi dell’identità di chi chiama.

Falsificazione degli SMS

Lo spoofing degli SMS consiste nel manipolare i dati del mittente per spacciarsi per una banca, un servizio di consegna, un datore di lavoro, un operatore sanitario o un’altra fonte attendibile. Questi messaggi utilizzano spesso un linguaggio che suggerisce urgenza e contengono link a siti web dannosi, come falsi avvisi di consegna, notifiche di blocco dell’account o richieste di verifica.

Manipolazione del segnale GPS

I sistemi di localizzazione possono essere ingannati quando gli aggressori falsificano i dati GPS e fanno apparire un dispositivo, un’app, un veicolo o un bene in un luogo in cui in realtà non si trova. In ambito aziendale, lo spoofing GPS può influire sul monitoraggio delle flotte, sui flussi di lavoro logistici, sui controlli di accesso mobile, sui droni e sui sistemi che si basano sulla localizzazione per motivi di sicurezza o di conformità.

Attacco "man-in-the-middle"

In un attacco "man-in-the-middle", gli autori dell'attacco intercettano segretamente le comunicazioni tra due parti, mentre entrambe ritengono che la connessione sia privata. Ciò può comportare l'utilizzo di reti Wi-Fi fasulle, la manipolazione del DNS, connessioni contraffatte o l'uso improprio di certificati al fine di leggere, alterare o sottrarre credenziali, dati finanziari o informazioni riservate.

Spoofing delle estensioni

I browser o le estensioni software possono essere contraffatti in modo da apparire come strumenti di produttività affidabili, visualizzatori di documenti, componenti aggiuntivi di sicurezza o plug-in aziendali. Una volta installata, un’estensione dannosa può acquisire dati, monitorare l’attività, inserire codice, alterare le pagine web o sottrarre credenziali dai flussi di lavoro basati sul browser.

Falsificazione dell'indirizzo IP

Lo spoofing dell'IP consiste nel falsificare un indirizzo IP in modo che il traffico di rete sembri provenire da una fonte attendibile. Gli autori degli attacchi lo utilizzano per nascondere le proprie attività, aggirare i filtri, sfruttare in modo improprio le regole di rete basate sulla fiducia o sostenere attacchi su più ampia scala, quali le campagne DDoS, in cui gli indirizzi di origine falsificati rendono più difficile tracciare il traffico.

Falsificazione facciale

Lo spoofing facciale utilizza immagini, video, maschere o la tecnologia deepfake per imitare il volto di una persona reale. Ciò può compromettere l’autenticazione biometrica, il recupero dell’account, la registrazione a distanza, i servizi finanziari e altri flussi di lavoro che si avvalgono della verifica facciale per confermare l’identità.

Falsificazione dei profili sui social media

Sui social media, gli autori degli attacchi creano profili falsi o si spacciano per persone reali per conquistare la fiducia degli utenti, raccogliere informazioni, diffondere truffe di phishing o favorire attività fraudolente. Questi profili possono fingersi dirigenti, reclutatori, fornitori, colleghi o addetti all’assistenza clienti prima di contattare la vittima tramite e-mail, telefono o SMS.

Spoofing DNS

Lo spoofing DNS consiste nel manipolare le risposte o i record DNS per reindirizzare gli utenti da un dominio legittimo verso una destinazione fraudolenta. Nel “DNS cache poisoning”, vengono inserite informazioni DNS false nella cache di un resolver, per cui un utente potrebbe digitare l’indirizzo corretto ma finire comunque su un sito web dannoso.

Spoofing ARP

Lo spoofing ARP, noto anche come ARP poisoning, si verifica quando gli aggressori inviano messaggi falsi relativi al protocollo di risoluzione degli indirizzi (ARP) su una rete locale. Ciò può collegare il dispositivo dell'autore dell'attacco a un indirizzo IP attendibile, consentendo l'intercettazione, il reindirizzamento o il monitoraggio del traffico ai fini di attività di tipo "man-in-the-middle".

Spoofing dell'indirizzo MAC

Lo spoofing MAC si verifica quando un malintenzionato modifica l’indirizzo MAC (Media Access Control) di un dispositivo per simulare la presenza di un altro dispositivo sulla rete. Ciò può consentire agli autori degli attacchi di aggirare le regole di accesso basate sui dispositivi, nascondere attività dannose o far apparire affidabile un dispositivo non autorizzato.

Che cos’è lo spoofing potenziato dall’intelligenza artificiale?

Lo spoofing potenziato dall'intelligenza artificiale utilizza l'intelligenza artificiale per rendere l'usurpazione d'identità più realistica, scalabile e personalizzata. Gli autori degli attacchi possono utilizzare testi generati dall’intelligenza artificiale, profili sintetici, audio e video deepfake, nonché immagini realistiche per impersonare persone, marchi, fornitori o dirigenti di fiducia.

Ciò comporta un aumento della qualità dei tentativi di spoofing. Ad esempio, un’e-mail di phishing che un tempo presentava evidenti errori grammaticali può ora apparire curata nei dettagli e adattata al ruolo specifico del destinatario. Un messaggio contraffatto inviato da un fornitore può riprodurre il tono delle comunicazioni aziendali precedenti, mentre una chiamata vocale deepfake può imitare un dirigente in modo sufficientemente convincente da spingere un dipendente ad approvare un pagamento o a divulgare informazioni.

L'intelligenza artificiale non crea di per sé una nuova categoria di spoofing. Rende gli attacchi di spoofing esistenti più convincenti e più facili da estendere su larga scala, dai falsi partecipanti alle videoconferenze ai profili sintetici di reclutatori, fino ai messaggi di spear phishing personalizzati. Ciò comporta una maggiore pressione sulle operazioni di sicurezza e sui programmi di sensibilizzazione dei dipendenti.

In che modo le organizzazioni possono individuare un attacco di spoofing?

Per individuare un attacco di spoofing sono necessari sia un monitoraggio tecnico sia la consapevolezza degli utenti. Alcuni segnali di allarme sono visibili ai dipendenti, mentre altri richiedono strumenti di sicurezza in grado di analizzare il traffico, l’autenticazione dei messaggi, il comportamento dei mittenti, i link, gli allegati e l’attività di accesso.

• Incoerenze nell'indirizzo del mittente: verifichi la presenza di nomi visualizzati che sembrano familiari ma che utilizzano indirizzi e-mail insoliti, con errori ortografici o leggermente modificati. Un nome familiare non significa necessariamente che il mittente sia attendibile.
• Discrepanze nell'indirizzo di risposta: presti attenzione alle e-mail in cui le risposte vengono inoltrate a un indirizzo diverso da quello del mittente visibile. Si tratta di un segno tipico dello spoofing delle e-mail e dell'usurpazione d'identità.
• Allegati inattesi: consideri i file come sospetti qualora arrivino in modo inaspettato, soprattutto se il messaggio esorta l’utente ad aprirli rapidamente. Gli allegati possono contenere malware o portare al furto delle credenziali.
• Link sospetti: passi il mouse sui link o controlli gli URL prima di cliccarci sopra. Un link può sembrare rimandare a un marchio affidabile, ma in realtà può condurre a un sito web dannoso, a un dominio di recente registrazione o a una pagina volta a sottrarre credenziali.
• Richieste di aggirare la procedura: segnalare i messaggi che invitano gli utenti a saltare le approvazioni, a ignorare le misure di sicurezza, a mantenere segreta la richiesta o a passare a un nuovo canale di comunicazione.
• Modelli di accesso anomali: segnalare spostamenti impossibili, dispositivi sconosciuti, aree geografiche insolite, picchi di tentativi di accesso falliti o tentativi di accesso che si discostano dal normale comportamento dell’utente.
• Traffico di rete anomalo: prestare attenzione a flussi di traffico inattesi, indirizzi di origine falsificati, attività DNS anomala, attacchi ARP poisoning, connessioni sospette tra sistemi o modelli di traffico riconducibili a un attacco di spoofing IP.

I programmi di individuazione più efficaci combinano le segnalazioni dei dipendenti con controlli automatizzati. Gli utenti sono in grado di individuare contesti che gli strumenti potrebbero trascurare, mentre i sistemi di sicurezza sono in grado di rilevare segnali tecnici che gli utenti non possono percepire.

In che modo le organizzazioni possono prevenire gli attacchi di spoofing?

Le organizzazioni prevengono gli attacchi di spoofing rendendo più difficile l'usurpazione d'identità, limitando i danni in caso di abuso della fiducia e fornendo ai dipendenti modalità chiare per verificare le richieste insolite. Non esiste un single meccanismo di controllo in grado di bloccare ogni tentativo di spoofing, ma le difese a più livelli riducono la probabilità che un’identità falsificata si traduca in una violazione.

Rafforzare l'autenticazione delle e-mail

SPF, DKIM e DMARC rendono più difficile lo spoofing dei domini, aiutando i sistemi di posta in ricezione a verificare se un messaggio che dichiara di provenire da un determinato dominio sia effettivamente autorizzato. Il protocollo DMARC riveste particolare importanza in quanto consente ai titolari dei domini di definire regole relative ai messaggi che non superano l’autenticazione, il che può ridurre il numero di e-mail contraffatte che abusano del dominio dell’organizzazione stessa.

Utilizzare l'autenticazione a più fattori (MFA) e i controlli di accesso adattivi

L'autenticazione a più fattori rende le credenziali rubate meno utilizzabili nel caso in cui un attacco di spoofing porti al furto delle stesse. I controlli di accesso adattivi aggiungono un ulteriore livello di protezione verificando elementi quali il dispositivo, la posizione, il comportamento di accesso e il contesto dell’utente, aiutando i team di sicurezza a intervenire quando i modelli di accesso risultano anomali.

Monitoraggio dei domini e dei tentativi di impersonificazione

Il monitoraggio dei domini consente di individuare domini simili, registrazioni sospette e tentativi di usurpazione d'identità prima che vengano utilizzati in attacchi. Il rilevamento delle usurpazioni d’identità può inoltre segnalare casi di abuso del nome visualizzato, imitazione di marchi, usurpazione dell’identità di fornitori e di dirigenti tramite e-mail e canali di comunicazione correlati.

Verificare i link e gli allegati

La protezione degli URL consente di individuare link dannosi, domini di recente registrazione, reindirizzamenti sospetti e pagine volte al furto di credenziali prima che gli utenti facciano clic. La scansione degli allegati offre una protezione aggiuntiva contro il malware, i documenti dannosi e i comportamenti rischiosi dei file; ciò è importante poiché lo spoofing funge spesso da copertura, mentre il phishing o il malware causano il danno vero e proprio.

Formare i dipendenti affinché segnalino attività sospette

La consapevolezza dei dipendenti è fondamentale perché gli attacchi di spoofing sono concepiti per manipolare la fiducia. La formazione dovrebbe riguardare le e-mail contraffatte, i link sospetti, le chiamate contraffatte, i messaggi di testo contraffatti, le pagine di accesso false e le richieste volte a esercitare pressione, mentre la procedura di segnalazione dovrebbe essere sufficientemente semplice da consentire ai dipendenti di avvisare rapidamente i team di sicurezza.

Richiedere una verifica fuori banda

Le richieste delicate devono essere verificate tramite un canale separato e affidabile prima che qualcuno agisca. Ciò vale per i pagamenti, le modifiche ai conti bancari, la reimpostazione delle credenziali, gli aggiornamenti relativi ai fornitori, le richieste dei dirigenti e le approvazioni di accesso, in particolare quando il messaggio originale crea un senso di urgenza o invita l’utente a bypassare la procedura abituale.

Definire percorsi di escalation chiari

I dipendenti devono sapere come comportarsi quando hanno la sensazione che qualcosa non vada. Percorsi di escalation chiari riducono le esitazioni, indicando agli utenti chi contattare, quali dettagli fornire e in che modo il reparto di sicurezza interverrà quando viene segnalato un tentativo di spoofing, un messaggio sospetto o una richiesta insolita.

In che modo Mimecast può contribuire a proteggere dagli attacchi di spoofing?

Mimecast aiuta le organizzazioni a difendersi dagli attacchi di spoofing combinando sicurezza della posta elettronica, protezione contro l’usurpazione d’identità, informazioni sulle minacce, sensibilizzazione degli utenti e flussi di lavoro di risposta. Questo approccio a più livelli è importante perché lo spoofing spesso prende di mira innanzitutto le persone, per poi sfruttare tale fiducia al fine di sferrare attacchi di Phishing, furto di credenziali, diffusione di malware o business email compromise.

Individuare i domini contraffatti e i tentativi di usurpazione d’identità

Mimecast è in grado di individuare domini contraffatti, tentativi di usurpazione d’identità, link dannosi, allegati rischiosi ed e-mail mirate di ingegneria sociale prima che raggiungano gli utenti. Tali misure di protezione rivestono particolare importanza nei flussi di lavoro relativi alla posta elettronica e alla collaborazione, in cui i dipendenti prendono decisioni rapide basandosi su nomi, marchi, fornitori e richieste interne a loro familiari.

Rafforzare la protezione grazie alle informazioni sulle minacce

Le informazioni sulle minacce consentono di identificare le minacce informatiche note ed emergenti, mentre la protezione degli URL e l’analisi degli allegati garantiscono un ulteriore controllo sui contenuti con cui gli utenti interagiscono. Il rilevamento delle usurpazioni d'identità può segnalare messaggi che sembrano provenire da dirigenti, fornitori o domini affidabili, ma che presentano segni di spoofing o di ingegneria sociale.

Ridurre gli Human Risk intorno allo spoofing

Mimecast contribuisce inoltre alla riduzione dei rischi legati al fattore umano. I controlli tecnici sono fondamentali, ma gli utenti devono comunque essere consapevoli, conoscere il contesto e disporre di canali chiari per la segnalazione. Combinando il rilevamento con la formazione degli utenti e i flussi di lavoro di risposta, Mimecast aiuta le organizzazioni a sviluppare una maggiore resilienza nei confronti dei tentativi di spoofing che sfruttano un’eccessiva fiducia.

Rafforzare le difese aziendali contro gli attacchi di spoofing

Gli attacchi di spoofing consistono nel far apparire legittime identità, fonti o comunicazioni malevole. Tale falsa fiducia può indurre gli utenti a cliccare su link dannosi, a condividere le proprie credenziali, ad autorizzare pagamenti, a scaricare malware o a concedere l'accesso agli autori degli attacchi.

Poiché le tecniche di spoofing diventano sempre più realistiche grazie all’intelligenza artificiale, ai deepfake, all’usurpazione di domini e al social engineering multicanale, le organizzazioni necessitano di una protezione a più livelli. L’autenticazione delle e-mail, il rilevamento dei tentativi di usurpazione d’identità, la protezione degli URL, l’analisi degli allegati, la sensibilizzazione degli utenti, i flussi di lavoro di verifica e le informazioni sulle minacce svolgono tutti un ruolo importante. Mimecast aiuta le organizzazioni a rafforzare la protezione contro l'usurpazione d'identità, il phishing e le minacce mirate alle persone, combinando il rilevamento tecnico con la resilienza a livello umano.