E-mails aziendali compromesse: ecco i principali metodi d’attacco
Posta elettronica aziendale e cyber crime: sono numerosi i modi con cui i truffatori tentano di estorcere informazioni sensibili ai dipendenti, compresi, ad esempio, i dati relativi al pagamento degli stipendi. Recentemente, infatti, gli esperti di Kaspersky hanno osservato una crescita degli attacchi BEC (Business Email Compromise) e, per tale motivo, l'azienda moscovita fornisce alcuni consigli utili agli utenti.
“Tra maggio e luglio 2021 – sottolineano da Kaspersky – i prodotti Kaspersky hanno bloccato più di 9.500 attacchi BEC, che erano rivolti ad aziende dei settori del trasporto aereo, dell'industria, del retail, dell'IT e della distribuzione. Un attacco BEC richiede tempo e risorse significativi e la sua preparazione può durare da poche settimane a diversi mesi. Un attacco riuscito può procurare danni del valore di diversi milioni per le aziende”.
ATTACCHI BEC: ECCO COME AVVENGONO
Durante un attacco BEC, i truffatori di solito avviano uno scambio di emails con un dipendente aziendale per ottenere la sua fiducia e incoraggiare azioni lesive dell'interesse dell'azienda o dei suoi clienti. Per fare ciò, i truffatori utilizzano spesso accounts email rubati dei dipendenti oppure indirizzi email che sono visivamente simili agli indirizzi ufficiali dell'azienda. A volte, i criminali informatici rubano le credenziali di un dipendente per prendere di mira i suoi superiori. Nella maggior parte dei casi l’obiettivo dei truffatori è rubare il denaro dell’azienda, ma a volte sono interessati anche a informazioni riservate, ad esempio a database di clienti o sviluppi aziendali.
Gli esperti di Kaspersky hanno individuato 3 schemi principali utilizzati dai criminali informatici per eseguire un attacco BEC:
• Truffa del CEO
In questo caso, un dipendente riceve un'email falsa da un suo superiore. I truffatori cercano di indurre la vittima a condividere informazioni con l’account fittizio di un presunto “consulente legale” o simili, nel tentativo di rubare dati aziendali riservati.
Esempio di mail truffa che chiede di condividere informazioni con un “consulente legale”'. Fonte: Kaspersky
• Truffa della modifica alle credenziali di pagamento
In questa tipologia di truffa l'ufficio contabilità riceve un messaggio da un (falso) dipendente che richiede che vengano modificate le sue credenziali di pagamento dello stipendio. Se il contabile sostituisce effettivamente i dettagli della carta nel sistema paghe, lo stipendio destinato ad un dipendente andrà al truffatore.
Esempio di mail truffa con richiesta di cambiamento dei dati bancari. Fonte: Kaspersky
• Fattura falsa
Anche in questo caso la mail di truffa è indirizzata all'ufficio contabilità, ma il mittente è un fornitore o un terzo che notifica un ritardo nel pagamento di una fattura. Anche in questo caso, se la frode va a buon fine, i soldi andranno ai criminali informatici.
“Per eseguire attacchi BEC – sottolinea Alexey Marchenko, Head of Content Filtering Methods Research di Kaspersky – i criminali informatici raccolgono attentamente dati sulla loro vittima e poi li sfruttano per instaurare un rapporto di fiducia. Alcuni di questi attacchi sono possibili perché i criminali informatici riescono a reperire facilmente nomi e posizioni lavorative dei dipendenti, le loro posizioni esatte, le date delle loro ferie, gli elenchi di contatti e altre informazioni a libero accesso. I truffatori generalmente utilizzano un'ampia gamma di tecniche e metodi di ingegneria sociale per ottenere la fiducia della vittima e commettere frodi. Ecco perché invitiamo sempre gli utenti a prestare attenzione sul posto di lavoro”.
I CONSIGLI DI KASPERSKY
Per proteggersi dagli attacchi BEC, gli esperti di Kaspersky consigliano alle aziende di:
• Utilizzare soluzioni di sicurezza affidabili con tecnologie anti-phishing e anti-spam avanzate.
• Migliorare la formazione digitale del personale: formare i dipendenti per identificare le tecniche di ingegneria sociale è uno dei metodi più efficaci.
• Incoraggiare i dipendenti a non aprire né rispondere a messaggi sospetti, e anche a non pubblicare dati aziendali riservati su sistemi liberamente accessibili, come i servizi cloud. Si consiglia inoltre di non condividere pubblicamente troppi dettagli sul proprio lavoro.
la Redazione
