Compromissione delle email aziendali: come l'IA cambia gli attacchi BEC e come prevenirli

Compromissione della posta elettronica aziendale: Come gli attacchi personalizzati dall'IA prendono di mira persone specifiche

BEC spesso non richiede malware, exploit o allegati sospetti. Negli attacchi di impersonificazione, l’attaccante ha bisogno di un dominio simile o di un indirizzo contraffatto e di qualcuno disposto ad agire sul messaggio. In account takeover, l’attaccante entra in una casella reale, a volte tramite malware che ruba informazioni o kit di phishing che catturano sessioni di accesso, e scrive da un account affidabile. L’IA rende entrambi più economici da creare e facili da ripetere su centinaia di obiettivi contemporaneamente.

Cos'è il business email compromise?

In una truffa BEC, l’attaccante si spaccia per qualcuno di cui la vittima si fida: un dirigente, un fornitore, un collega. L’obiettivo è denaro, credenziali o dati. Alcuni attacchi usano domini contraffatti o simili. Altri sfruttano la compromissione dell’account email, dove l’attaccante accede a una casella reale e scrive da essa. Questa versione è più difficile da individuare. Il messaggio proviene dall’indirizzo autentico, spesso all’interno di una conversazione esistente.

Esempi comuni di attacchi BEC

Quattro modelli ricorrono continuamente.

• Frode nelle fatture fornitori: Un attaccante con accesso alla casella di posta di un fornitore risponde a una conversazione reale di fatture con dettagli bancari aggiornati. Contabilità vede un mittente familiare in una conversazione nota e il pagamento va all'attaccante.
• Frode da esecutivo: Un messaggio che sembra provenire dal CEO chiede a un dipendente finanziario un bonifico urgente e scoraggia le chiamate di follow-up.
• Dirottamento della busta paga: Qualcuno che si spaccia per un dipendente chiede alle Risorse Umane di modificare i dettagli del deposito diretto.
• Dirottamento del thread: Con un account compromesso, l'attaccante legge le conversazioni in corso e aspetta il momento giusto per intervenire.

Come l'IA cambia le frodi BEC

Il BEC tradizionale si basava su sforzi manuali. Gli attaccanti studiavano un’azienda, identificavano chi approva i pagamenti e scrivevano ogni messaggio a mano. Questo manteneva basso il volume e limitava quanti obiettivi un singolo attaccante poteva gestire. L’IA cambia l’economia in ogni fase.

Molti dirigenti, nessuna pausa

Il BEC mirato ai dirigenti era manuale. Un attaccante sceglieva uno o due dirigenti e continuava a provare finché l’obiettivo rispondeva o l’attaccante si arrendeva. Ogni tentativo richiedeva tempo, quindi le liste degli obiettivi restavano brevi.

Con l’IA, un attaccante può creare una lista di centinaia di contatti C-level e senior finance, generare un messaggio distinto per ciascuno e continuare a inviare senza sosta. Ignora uno e ricevi un follow-up con un pretesto diverso. L’automazione traccia chi ha risposto, chi no e cosa provare dopo. I dirigenti di solito hanno accesso ampio, quindi un successo può raggiungere approvazioni di pagamento, materiali del consiglio e dati sensibili.

Ricerca su scala organizzativa

I siti web aziendali, i comunicati stampa, le offerte di lavoro e i profili di networking professionale rivelano nomi, titoli, linee di riporto e relazioni con i fornitori. Gli strumenti automatizzati raccolgono queste informazioni per un’intera azienda in pochi minuti. Se l’attaccante controlla già una casella di posta, la posta in arrivo aggiunge nomi reali di progetti, numeri di fatture e il modo in cui i colleghi si parlano realmente.

Scrittura che corrisponde al mittente

Un modello linguistico può leggere alcune decine di email da un account compromesso e riprodurre il saluto, la chiusura e la lunghezza delle frasi del mittente. Il risultato è un testo pulito e fluente nella lingua che il destinatario legge. Gli errori di ortografia e le frasi goffe erano i segni di avvertimento standard. Stanno scomparendo.

Temporizzazione dall'interno del thread

Un modello può riassumere una lunga conversazione e individuare il momento importante: una fattura approvata, un bonifico in sospeso, un rinnovo contrattuale. Il messaggio dell’attaccante arriva proprio mentre è in corso una discussione sul pagamento, quando i nuovi dati bancari sembrano routine.

Attacchi alle credenziali più rapidi

Il takeover degli account è ciò che rende possibile il dirottamento dei thread, e l'IA accelera anche questo processo. Nomi, animali domestici, compleanni e datori di lavoro estratti da profili pubblici alimentano generatori di ipotesi che producono password probabili per una persona specifica. Le credenziali compromesse vengono testate su molti account in sequenza, e l'automazione gestisce i tentativi ripetuti.

Affiancati:

La compromissione dell’account email inizia con le credenziali

I domini simili possono essere bloccati o segnalati. Un account reale compromesso è più difficile da rilevare perché il mittente è legittimo. La maggior parte delle compromissioni inizia con una credenziale: una password riutilizzata da un sito violato, una frase d’accesso costruita con dati personali o un login condiviso salvato in un foglio di calcolo che possono aprire decine di persone.

I dirigenti affrontano rischi maggiori perché gli attaccanti non si fermano. Una password debole o riutilizzata può resistere a pochi tentativi. Migliaia sono un'altra cosa.

Una volta dentro, gli aggressori leggono la posta, cercano parole come "invoice", "wire" e "payment" e impostano regole che nascondono la loro attività. Una regola di inoltro, o una regola che sposta le risposte in una cartella nascosta, può tenere il vero proprietario all’oscuro per settimane.

Prevenzione BEC: Rafforza il livello della password

Il filtro delle email e la formazione degli utenti sono importanti. Due controlli a livello di credenziali riducono le probabilità che una password rubata o riutilizzata comprometta una casella di posta.

Netwrix Password Policy Enforcer supera ampiamente le regole di complessità native di Active Directory. Controlla le nuove password rispetto a elenchi di violazioni come Have I Been Pwned, blocca parole del dizionario e schemi prevedibili, e applica politiche diverse a utenti, gruppi e OU differenti. Il feedback in tempo reale spiega perché una password è stata rifiutata, così gli utenti possono scegliere una più forte sul momento. Poiché le politiche possono essere assegnate per gruppo, dirigenti e team finanziari possono avere una politica più severa rispetto agli altri.

Netwrix Password Secure copre credenziali che le policy centrali/AD non raggiungono: accessi a caselle condivise, portali fornitori, account privilegiati. Le memorizza in una cassaforte crittografata, concede accesso in base al ruolo e supporta flussi di approvazione per account sensibili. Ogni accesso è registrato, e MFA aggiunge un ulteriore controllo alla vault stessa. Le credenziali escono da fogli di calcolo e chat, e ottieni un registro di chi ha usato cosa e quando.

Netwrix Data Classification mostra quali caselle di posta e repository contengono i contenuti più sensibili, così sai cosa potrebbe raggiungere un singolo account compromesso.

Checklist per la prevenzione della compromissione delle email aziendali

1. Applica una password policy che blocca password violate, di dizionario e prevedibili, con una versione più severa per dirigenti e team finanziari.
2. Sposta gli accessi condivisi e privilegiati fuori dai fogli di calcolo e in un vault con accesso basato sui ruoli.
3. Richiedi MFA resistente al phishing su email, sistemi finanziari e il vault.
4. Verifica qualsiasi modifica ai dati bancari o alle istruzioni di pagamento tramite un canale separato, come una chiamata a un numero noto.
5. Verifica le regole di inoltro e della posta in arrivo, e controlla l’attività di accesso per le caselle di finanza, HR e dirigenti.
6. Dì alle persone che i messaggi scritti dall’IA si leggono chiaramente. Gli errori di battitura non sono più il principale segnale di avvertimento.