Compromissione delle e-mail dei fornitori: come proteggere la propria catena di approvvigionamento

I rapporti con i fornitori si basano sulla fiducia. I reparti finanziari si aspettano di ricevere le fatture. I team addetti agli appalti si aspettano aggiornamenti sui contratti. Le unità aziendali si aspettano che i messaggi dei fornitori arrivino nei tempi previsti. La compromissione dell’account e-mail del fornitore sfrutta proprio questo ritmo abituale.

Anziché attaccare direttamente un’azienda, i criminali informatici si avvalgono delle comunicazioni con fornitori di fiducia per reindirizzare i pagamenti, sottrarre dati o manipolare i flussi di lavoro dei fornitori. Per le organizzazioni con catene di approvvigionamento complesse, ciò trasforma la normale corrispondenza via e-mail in un grave rischio aziendale.

Che cos’è il “Vendor Email Compromise”?

La compromissione dell’account e-mail di un fornitore consiste in un attacco mirato ai danni di un account e-mail di terze parti, in cui i criminali informatici si spacciano per un fornitore o ne compromettono l’account al fine di ingannare i clienti o i partner commerciali di quest’ultimo. L'obiettivo è solitamente la frode finanziaria, il furto di dati o l'accesso non autorizzato a informazioni aziendali riservate.

Gli attacchi di compromissione delle e-mail dei fornitori si basano su rapporti commerciali reali. Gli autori degli attacchi potrebbero analizzare i contatti dei fornitori, i tempi di emissione delle fatture, i cicli di fatturazione, le date di rinnovo e le normali modalità di comunicazione prima di inviare e-mail fraudolente. Ciò rende più familiari le richieste di aggiornamento dei dati di pagamento, di verifica delle istruzioni di pagamento o di elaborazione di una fattura fraudolenta.

Compromissione dell’account e-mail di un fornitore vs BEC

La compromissione delle e-mail dei fornitori è correlata alla business email compromise, ma ha un ambito di applicazione più ristretto. Un attacco BEC su più ampia scala potrebbe prendere di mira i dirigenti, i team addetti alle buste paga, i moduli fiscali, le carte regalo o le approvazioni interne dei pagamenti. La compromissione delle e-mail dei fornitori riguarda principalmente l’identità dei fornitori, la comunicazione tra fornitori e clienti e la compromissione della catena di approvvigionamento finanziaria.

Come funziona la compromissione delle e-mail dei fornitori?

La compromissione delle e-mail dei fornitori segue solitamente un percorso di attacco articolato in più fasi. Il metodo specifico può variare, ma l’obiettivo è lo stesso: trasformare l’accesso concesso a fornitori di fiducia in un’attività fraudolenta. Gli autori degli attacchi dedicano spesso del tempo ad analizzare i rapporti con i fornitori e i flussi di pagamento prima di inviare una richiesta che sembri di routine.

Analisi dei fornitori

Un autore di attacchi VEC effettua innanzitutto una ricerca sui contatti pubblici del fornitore, sui domini, sui vertici aziendali, sui clienti e sui rapporti commerciali. Possono esaminare siti web, comunicati stampa, annunci di lavoro, profili sui social media, portali di appalti e dati oggetto di violazioni. Più comprendono il modo in cui opera il fornitore, più diventa facile creare e-mail convincenti che simulino una violazione dell’account e-mail del fornitore.

Identificazione del bersaglio

Successivamente, gli autori degli attacchi individuano le persone che con maggiore probabilità si occuperanno di evadere le richieste dei fornitori. Tra questi figurano spesso i referenti dei settori finanza, approvvigionamenti, contabilità fornitori, gestione dei fornitori e operazioni. Un dipendente che si occupa regolarmente di fatture, ordini di acquisto, informazioni sui pagamenti o dell’inserimento dei fornitori può diventare un obiettivo di grande valore.

Ricerca sui cicli di fatturazione

Gli autori degli attacchi potrebbero analizzare i tempi di emissione delle fatture, i rinnovi, i calendari di pagamento e le normali modalità di comunicazione con i fornitori. Ciò consente loro di inviare un’e-mail sospetta in un momento in cui la richiesta sembra essere attesa. Una fattura fraudolenta inviata verso la fine di un periodo di fatturazione può sembrare del tutto normale. Le fatture false legate a un rapporto commerciale effettivo possono risultare ancora più difficili da contestare.

Mappatura del flusso di lavoro

Prima di inviare l'e-mail dannosa, gli autori degli attacchi potrebbero definire le fasi di approvazione e i percorsi di escalation. Desiderano sapere chi è autorizzato ad approvare le modifiche ai pagamenti, chi può sbloccare i fondi e quale documentazione è richiesta. Nei casi più sofisticati, i truffatori che utilizzano la tecnica BEC cercano anche lacune nelle procedure di modifica dei pagamenti o misure di verifica inadeguate.

Compromissione o furto d'identità

L'autore dell'attacco, quindi, o compromette un account di posta elettronica autentico oppure si spaccia per il fornitore. Potrebbero effettuare un attacco di phishing ai danni dell’account di un fornitore, falsificare il dominio di un fornitore, creare un dominio simile o compromettere una conversazione e-mail in corso. Un account compromesso è particolarmente pericoloso poiché il messaggio potrebbe provenire da una casella di posta legittima, con una cronologia delle e-mail, firme e contesto reali.

Manipolazione dei pagamenti

L'ultimo passo è la richiesta fraudolenta. Gli autori degli attacchi potrebbero inviare coordinate bancarie aggiornate, istruzioni di bonifico modificate, solleciti di pagamento urgenti, fatture false o una fattura fraudolenta allegata a una conversazione già in corso. Poiché la richiesta sembra provenire da un fornitore di fiducia, l’organizzazione presa di mira potrebbe effettuare il pagamento prima che qualcuno si accorga della frode.

Perché è difficile individuare le violazioni delle e-mail dei fornitori?

La compromissione dell’account e-mail di un fornitore è difficile da individuare poiché sfrutta le relazioni di fiducia con l’organizzazione. È possibile che i dipendenti conoscano già il fornitore, ne riconoscano la terminologia e si aspettino di ricevere una fattura o una richiesta di pagamento in quel momento.

I messaggi attendibili sembrano di routine

Quando un messaggio presenta la tempistica, l’entità e lo schema comunicativo adeguati, può apparire come un evento di routine anziché destare sospetti. Il rischio è ancora maggiore quando il messaggio proviene dall’account di un fornitore compromesso, poiché una casella di posta legittima potrebbe superare i controlli di base sul mittente e includere dati di contatto reali, firme e corrispondenza precedente.

Gli indicatori tradizionali potrebbero presentare alcune limitazioni

Molti attacchi di compromissione delle e-mail dei fornitori non prevedono l’uso di malware, allegati sospetti o link palesemente dannosi. L'e-mail potrebbe semplicemente chiedere al destinatario di aggiornare le coordinate bancarie, confermare i dati di pagamento o elaborare una fattura modificata.

Il rilevamento richiede un contesto aziendale

Il rilevamento richiede spesso l’analisi comportamentale, la valutazione del contesto di rischio dei fornitori, l’individuazione delle anomalie, le informazioni di settore e la verifica del flusso di lavoro dei pagamenti. Un messaggio può risultare sospetto non a causa di un singolo elemento tecnico, ma perché il comportamento del mittente, il tipo di richiesta o una variazione nel pagamento non rientrano nei normali schemi di comunicazione del fornitore.

Quali sono i rischi aziendali legati alla compromissione delle e-mail dei fornitori?

La violazione dell'account e-mail di un fornitore può avere ripercussioni su più di un pagamento. Poiché questi attacchi sfruttano la fiducia riposta nei fornitori, i tempi di emissione delle fatture e i normali flussi di lavoro relativi ai pagamenti, le ripercussioni possono estendersi ai team finanziari, agli acquisti, all’ufficio legale, alla conformità, alla gestione dei fornitori e alla sicurezza.

• Perdite finanziarie e interruzioni nei pagamenti — Una truffa VEC andata a buon fine può comportare pagamenti a fornitori errati, bonifici bancari fraudolenti, ritardi nei servizi o nelle spedizioni, controversie relative a fatture non pagate e lunghe procedure di recupero dei fondi. Anche quando i fondi vengono recuperati, i team potrebbero comunque perdere tempo prezioso nell’indagare e risolvere il problema relativo al pagamento.
• Impatto operativo e giuridico — Il reparto finanziario potrebbe dover sospendere i pagamenti, il reparto appalti potrebbe dover verificare nuovamente i dati dei fornitori e i team legali o di conformità potrebbero dover riesaminare gli obblighi di rendicontazione. Ciò può rallentare la normale attività aziendale mentre i team verificano cosa sia accaduto e cosa debba essere documentato.
• Esigenze relative alle indagini di sicurezza — I team di sicurezza potrebbero dover stabilire se l’evento abbia comportato la compromissione di un account di posta elettronica, l’appropriazione indebita di un account, un accesso non autorizzato o una compromissione più ampia della catena di fornitura. Potrebbe inoltre essere necessario esaminare i messaggi correlati, l’attività di accesso, i domini dei fornitori e gli utenti coinvolti.
• Danni ai fornitori e alla catena di approvvigionamento — Un fornitore compromesso può subire danni alla reputazione, problemi di fiducia da parte dei clienti, rischi legali e controversie finanziarie. I clienti potrebbero inoltre chiedersi se il fornitore disponga di misure di controllo sufficienti a garantire la sicurezza delle comunicazioni future.
• Rischio esteso legato a soggetti terzi — La compromissione dell’account di un solo fornitore può mettere a rischio numerosi clienti o partner lungo l’intera catena di approvvigionamento. Ciò consente agli autori degli attacchi di sfruttare una relazione di fiducia come via d’accesso a numerose organizzazioni collegate.

Tali rischi evidenziano il motivo per cui la compromissione delle e-mail dei fornitori debba essere considerata sia come un problema di sicurezza della posta elettronica sia come un rischio per la catena di approvvigionamento. Le organizzazioni necessitano di misure di controllo che tutelino le comunicazioni con i fornitori di fiducia prima che una richiesta di routine si trasformi in un incidente finanziario o operativo.

In che modo le organizzazioni possono prevenire la compromissione delle e-mail dei fornitori?

Per prevenire la compromissione delle e-mail dei fornitori è necessario adottare controlli a più livelli che riguardino la sicurezza della posta elettronica, la verifica dei fornitori, i flussi di lavoro relativi ai pagamenti e la sensibilizzazione dei dipendenti. L'obiettivo è rendere le richieste fraudolente meno credibili e più facili da indagare.

Comprendere il proprio fornitore

È importante sapere quali fornitori presentano un rischio elevato, quali richieste possono avanzare e in che modo comunicano abitualmente. Tenere aggiornati i registri accurati dei fornitori, i canali di pagamento approvati e i referenti verificati, in modo da individuare più facilmente eventuali richieste insolite.

Sapere quando i fornitori sono stati compromessi

Prestino attenzione a improvvisi cambiamenti delle coordinate bancarie, a un’insolita urgenza, a nuovi indirizzi di risposta, ad allegati inaspettati o a messaggi che aggirano le normali procedure. Si raccomanda di verificare le richieste sospette dei fornitori tramite un canale noto prima di procedere al trasferimento di denaro o dati.

Adottare strategie di protezione a più livelli

Integrare la sicurezza della posta elettronica, l’autenticazione, i controlli sui processi e la sensibilizzazione del personale. I controlli tecnici possono aiutare a individuare domini contraffatti, casi di usurpazione d’identità, link dannosi e allegati sospetti, mentre i controlli sui pagamenti riducono il rischio di frodi relative ai bonifici bancari.

Migliorate il vostro processo investigativo

Rendete più semplice per i dipendenti segnalare le e-mail sospette inviate dai fornitori e per i team di sicurezza esaminarle rapidamente. Percorsi di escalation chiari consentono ai reparti finanziario e degli appalti di verificare le richieste, sospendere i pagamenti e contrastare le frodi prima che il danno si estenda.

In che modo Mimecast può contribuire a ridurre il rischio di compromissione delle e-mail da parte dei fornitori?

Mimecast può contribuire a ridurre il rischio di compromissione della posta elettronica dei fornitori nell’ambito di una strategia di difesa a più livelli contro l’usurpazione d’identità, l’appropriazione indebita degli account e le minacce via e-mail rivolte alle persone. Poiché il VEC spesso abusa delle comunicazioni con i fornitori di fiducia, le misure di protezione devono tenere conto sia dei segnali tecnici sia del processo decisionale dei dipendenti.

• Protezione avanzata contro le minacce via e-mail — Consente di individuare tentativi di furto d’identità, link sospetti, allegati dannosi, domini contraffatti e minacce mirate nelle comunicazioni dei fornitori. Ciò garantisce alle squadre una protezione maggiore nei casi in cui i messaggi fraudolenti non presentino le caratteristiche tipichedegli attacchi di phishingtradizionali .
• Affidabilità dei fornitori e contesto dei messaggi — Fornisce un contesto relativo ai messaggi a rischio avvalendosi di informazioni di settore, protezione degli URL, analisi degli allegati e rilevamento di comportamenti sospetti da parte dei mittenti. Ciò aiuta i team di sicurezza a valutare se una richiesta da parte di un fornitore sia in linea con i normali modelli di comunicazione.
• Rischi legati alle persone e contesto comportamentale — Supporta i dipendenti che ricoprono ruoli ad alto rischio, quali quelli nei settori della finanza, degli appalti e della contabilità fornitori, attraverso la sensibilizzazione degli utenti, l’individuazione di segnali comportamentali e misure di protezione mirate. Ciò contribuisce a ridurre la probabilità che un dipendente, sotto pressione, dia seguito a una richiesta fraudolenta da parte di un fornitore.
• Difesa a più livelli contro il VEC — Opera in sinergia con la formazione degli utenti, i flussi di lavoro di verifica, la gestione dei rischi di terze parti e i controlli sui pagamenti per ridurre la probabilità che le frodi abbiano esito positivo. Ciò offre alle organizzazioni diversi punti di controllo prima che le informazioni di pagamento, i dettagli delle fatture o i fondi vengano modificati.

Nel loro insieme, queste funzionalità contribuiscono a rendere più agevole individuare, verificare e bloccare le richieste fraudolente dei fornitori prima che si traducano in perdite finanziarie.

Proteggere la fiducia dei fornitori contro la compromissione delle e-mail dei fornitori

La compromissione delle e-mail dei fornitori rappresenta ben più di una semplice minaccia via e-mail. Si tratta di un rischio legato alla catena di approvvigionamento che ruota attorno alla fiducia, alla tempistica e alla normale comunicazione aziendale. Gli autori degli attacchi analizzano i rapporti con i fornitori, i cicli di fatturazione e i flussi di pagamento, in modo che le loro richieste appaiano di routine quando giungono al dipendente incaricato di darvi seguito.

La difesa migliore è quella a più livelli. Le organizzazioni devono comprendere i propri fornitori, individuare i segnali di compromissione, verificare le variazioni nei pagamenti, formare i dipendenti sul riconoscimento di e-mail VEC realistiche e avvalersi di soluzioni avanzate di sicurezza della posta elettronica per identificare le minacce che gli indicatori tradizionali potrebbero non rilevare. La fiducia nei fornitori è preziosa, ma non dovrebbe dipendere esclusivamente dalle e-mail.

Scoprite come Mimecast rafforza la protezione contro l’usurpazione d’identità, il furto di account, la compromissione dei sistemi e le minacce via e-mail rivolte alle persone all’interno della vostra organizzazione.