Lo scorso autunno, un’assistente amministrativa appena assunta presso un prestigioso studio legale della Costa Orientale ha ricevuto, nell’arco di sei mesi, tre e-mail da un socio che le chiedeva di effettuare un bonifico per un importo complessivo di 240.000 dollari a favore di un consulente esterno.
Non volendo scontentare uno dei suoi superiori, l’addetta all’amministrazione ha effettuato i trasferimenti. Tutto sembrava andare per il meglio, finché, alcuni mesi dopo, si è scoperto che un criminale informatico si era spacciato per il socio e si era appropriato del denaro. L’azienda ha presentato una richiesta di risarcimento all’assicurazione contro i rischi informatici per le perdite subite, ma la richiesta è stata respinta poiché il proprio dipendente non aveva rispettato una politica interna di doppia autenticazione che prevedeva la verifica da parte di più soggetti dei trasferimenti di importo elevato.
«Casi come questo, in cui le e-mail aziendali dei nuovi assunti vengono compromesse, stanno purtroppo diventando fin troppo comuni», afferma Kirsten Bay, responsabile del settore assicurativo ( CEO ) di Cysurance, un’agenzia specializzata in assicurazioni contro i rischi informatici. «Gli autori degli attacchi sono spesso alla ricerca di nuovi indirizzi e-mail aziendali o di post sui social media relativi a persone che iniziano un nuovo lavoro.» Successivamente, si spacciano digitalmente per dirigenti aziendali, approfittando della riluttanza dei dipendenti a mettere in discussione la legittimità delle e-mail provenienti dai vertici aziendali.”
Sebbene oggi molte organizzazioni considerino il ransomware la loro principale preoccupazione, gli attacchi di tipo “business email compromise” (BEC) (si apre in una nuova scheda), che esistono da molto più tempo, stanno aumentando in frequenza, complessità e gravità.
«Il ransomware attira tutta l’attenzione perché si tratta di attacchi più accattivanti, più “cool” e dal carattere misterioso», afferma Eric Gyasi, vicepresidente della gestione delle relazioni con i clienti e avvocato presso Stroz Friedberg, una società del gruppo Aon. «Il fenomeno del Business Email Compromise, d’altra parte, non è un argomento di cui la gente ama parlare. Succede spesso quando sono stati truffati e, di conseguenza, si sentono in imbarazzo. Di conseguenza, l’opinione pubblica ne sente parlare molto meno. Tuttavia, si tratta di un problema altrettanto diffuso in termini di volume quanto gli attacchi ransomware di tipo “ ” — se non di più.”
Una minaccia che cresce silenziosamente
Infatti, l’Internet Crime Complaint Center (IC3) dell’FBI indica il BEC come il reato informatico che causa i danni economici più ingenti. Nel 2021, le truffe di tipo BEC ed EAC (compromissione degli account e-mail) hanno causato circa 2,4 miliardi di dollari di perdite informatiche a livello globale (si apre in una nuova scheda), rispetto ai 49,2 milioni di dollari causati dal ransomware, secondo l’FBI. Inoltre, secondo quanto riferito dall’FBI, tra il luglio 2019 e il dicembre 2021, gli attacchi BEC/EAC hanno registrato un’impennata del 65% e sono costati alle organizzazioni circa 43,3 miliardi di dollari a partire dal 2016 (si apre in una nuova scheda).
«Il ransomware attira tutta l’attenzione perché si tratta di attacchi più accattivanti, più “cool” e dal carattere misterioso.”Eric Gyasi, vicepresidente responsabile della gestione dei rapporti con i clienti presso Stroz Friedberg
Il BEC prende di mira, in genere, le aziende che effettuano regolarmente bonifici bancari. I truffatori ottengono l'accesso a un account di posta elettronica di un dipendente per raccogliere informazioni sui fornitori dell'azienda. Successivamente inviano una richiesta fraudolenta di pagamento tramite bonifico bancario a un fornitore. Il venditore viene quindi indotto con l'inganno a trasferire denaro su un conto controllato dall'autore del reato.
Un tempo, queste cose erano piuttosto facili da individuare. L'utente potrebbe individuare loghi di marchi riprodotti in modo approssimativo, un inglese scorretto o frasi di adescamento ridicole nelle e-mail e supporre che si tratti di tentativi di phishing. Tuttavia, oggigiorno i criminali informatici riescono a coprire le proprie tracce con maggiore efficacia. Stanno falsificando gli indirizzi e-mail di CEO e del direttore finanziario (CFO) e inviando ai destinatari comunicazioni fasulle che risultano indistinguibili da quelle autentiche.
Stanno inoltre analizzando le attività delle aziende e dei dipendenti per inserirsi con naturalezza nelle conversazioni chiave nei momenti cruciali. Se venissero a conoscenza, ad esempio, di una fusione, potrebbero sfruttare tale informazione per presentarsi come parte dell’operazione e indurre le persone a inviare loro denaro.
Succede più spesso di quanto le organizzazioni vogliano ammettere in quasi tutti i settori, tra cui:
- Settore immobiliare, , dove i truffatori hanno sottratto centinaia di migliaia di dollari dai fondi di venditori e acquirenti. Circa 13.638 persone sono state vittime di frodi immobiliari tramite bonifico nel 2020, con perdite per un totale di oltre 213 milioni di dollari, secondo quanto riferisce l’FBI. Il BEC ha contribuito in misura determinante a tale risultato.
- Settore sanitario, : in questo ambito i criminali informatici hanno sferrato attacchi BEC contro i gestori dei pagamenti per reindirizzare i pagamenti delle vittime. Ad aprile, ad esempio, un’azienda del settore sanitario con oltre 175 operatori sanitari ha scoperto che qualcuno, spacciandosi per un dipendente, aveva modificato le istruzioni relative al sistema ACH (Automated Clearing House) per uno dei propri fornitori di servizi di elaborazione dei pagamenti, al fine di destinare circa 840.000 dollari al malvivente anziché ai destinatari previsti, secondo quanto riferito dall’FBI.
- Filantropia, : un ambito in cui i criminali informatici hanno sottratto fondi destinati ad aiutare le persone in tutto il mondo. Durante le festività del 2020, ad esempio, alcuni hacker hanno falsificato una fattura dall’aspetto autentico, l’hanno inviata a One Treasure Island, un’organizzazione no profit di San Francisco che opera a favore dei senzatetto, e hanno convinto qualcuno a versare 650.000 dollari su un conto bancario a Odessa, in Texas, in tre versamenti distinti. L'organizzazione ha recuperato 37.000 dollari da un conto congelato, ma ha perso il resto.
«Data la natura umana, queste truffe sono più facili da mettere in atto di quanto si possa pensare.”Frank Dickson, vicepresidente del gruppo e analista in materia di sicurezza e affidabilità presso IDC
Considerato il livello di sofisticazione raggiunto dagli hacker, è evidente che gli attacchi BEC non sono destinati a scomparire. Semmai, i progressi nelle tecnologie automatizzate quali l’intelligenza artificiale (IA) e l’apprendimento automatico (ML), nonché la continua evoluzione dei deepfake audio e video, stanno accelerando i loro sforzi.
Ma, oltre a ciò, il BEC continua ad avere successo perché sfrutta la natura fiduciosa degli esseri umani. La maggior parte delle persone esita a mettere in discussione le e-mail che sembrano provenire da alti dirigenti, partner di fiducia, clienti o dai media. E non sempre controllano attentamente ogni indirizzo e-mail per verificare che sia scritto secondo il formato aziendale corretto perché, ammettiamolo, non ne hanno il tempo — e probabilmente non lo avranno mai.
Contromisure fondamentali
Gli osservatori sostengono che le organizzazioni debbano controbilanciare le tendenze umane adottando le seguenti migliori pratiche tecnologiche e procedurali:
Investite nell'istruzione e nella sensibilizzazione. Secondo il rapporto “Verizon 2022 Data Breach Investigations Report”, il 82% delle violazioni dei dati “ha coinvolto il fattore umano”, inclusi attacchi basati sui social, errori e uso improprio. Infatti, a differenza del ransomware o di altri attacchi, il BEC non necessita nemmeno di malware per avere successo, afferma Frank Dickson, vicepresidente di gruppo e analista di sicurezza e affidabilità presso la società di ricerca IDC. «Data la natura umana, queste truffe sono più facili da mettere in atto di quanto si possa pensare», afferma.
Dickson sostiene che sia essenziale investire in programmi di formazione volti ad aiutare i dipendenti a individuare e reagire a possibili tentativi di BEC.
Implementare l’autenticazione a più fattori (MFA). L’autenticazione a più fattori ha contribuito a ridurre al minimo gli attacchi ransomware ed è ormai un requisito fondamentale nelle polizze assicurative contro i rischi informatici. Ciò avviene per un motivo ben preciso: l’adozione di ulteriori controlli e verifiche prima che qualcuno possa accedere a una rete, a un account di posta elettronica o a un conto finanziario può bloccare sul nascere un tentativo di BEC. Al contrario, la mancanza dell’autenticazione a più fattori (MFA) può portare a conseguenze disastrose. Infatti, tra tutti i casi di BEC monitorati dalla società di sicurezza informatica Arctic Wolf nella prima parte dell’anno, il 80% delle organizzazioni colpite non disponeva di autenticazione a più fattori (MFA).
Adottate una strategia di difesa a più livelli. Sebbene gli attacchi BEC non siano necessariamente tecnologicamente sofisticati, l’adozione di contromisure di sicurezza di base e l’aggiornamento regolare dei sistemi informatici possono rivelarsi utili. Gli analisti raccomandano di utilizzare filtri antispam, di implementare procedure sicure per la condivisione dei file e di adottare approcci “zero-trust” di tipo “ ”, in cui ogni persona o dispositivo che tenti di accedere a una rete viene considerato sospetto fino a prova contraria.
Sebbene il ransomware continui a catturare l’attenzione mondiale, gli osservatori sostengono che le organizzazioni non possano sottovalutare il fenomeno del Business Email Compromise. Questa minaccia sottovalutata non è destinata a scomparire. Semmai, sta aumentando in termini di frequenza, complessità e gravità. È fondamentale affrontare la questione sin da ora.
