Costruire una difesa efficace per email e brand: recap del webinar

L'email è il canale di comunicazione più affidabile per la maggior parte delle organizzazioni, ed è anche il più abusato. Gli attaccanti non si limitano più a sfruttare l'email. Registrano domini simili, dirottano sottodomini dimenticati, creano falsi profili di dirigenti su LinkedIn e usano tutti e tre insieme per condurre attacchi che aggirano completamente i controlli tecnici.

Nel nostro ultimo webinar, Natalie Hays e Billy McKenna di Red Sift hanno analizzato come dovrebbe essere una vera difesa nel 2026, dal raggiungimento dell'enforcement di DMARC alla protezione del tuo brand su ogni canale effettivamente utilizzato dagli attaccanti.

• Il 93% dei domini mondiali è ancora esposto allo spoofing perché non ha DMARC impostato su quarantine o reject
• Solo l'1% delle organizzazioni di servizi finanziari e assicurativi statunitensi analizzate utilizza tutti i protocolli di autenticazione email disponibili
• L'enforcement di DMARC blocca lo spoofing esatto del dominio, ma gli attaccanti si sono adattati. Domini simili, takeover DNS e impersonificazione sui social media richiedono una difesa più ampia
• Un modello di difesa pratico procede per fasi: prima ottenere visibilità, poi configurare le fonti di invio, applicare l'enforcement, quindi estendersi al monitoraggio dei domini simili e dei social media

Una email su quattro inviata nel 2025 era dannosa o spam, ed è facile capire perché. Le persone controllano costantemente la propria casella email e tendono a fidarsi istintivamente delle informazioni che vi trovano.

Quando un dominio non è protetto, gli attaccanti possono creare qualcosa che sembra completamente legittimo. Non un sospetto indirizzo Yahoo o un errore di ortografia evidente. Qualcosa che supera un rapido controllo da parte di chi ha già ricevuto le tue vere email in passato. Aggiungi il fatto che gli strumenti di IA hanno drasticamente ridotto il costo e lo sforzo necessari per produrre contenuti di phishing convincenti, e sia il volume che la qualità degli attacchi sono in aumento.

Sappiamo che i mandati funzionano. Quando Google, Yahoo e Microsoft hanno implementato i loro requisiti di autenticazione, hanno guidato un progresso reale nell'adozione di DMARC, passando da soli 8 milioni di domini che effettuavano reporting a circa 15 milioni in 18 mesi.

Ma avere un record DMARC e avere una policy DMARC che fa effettivamente qualcosa sono due cose diverse. Il 93% dei domini a livello globale è ancora esposto allo sfruttamento perché non è impostato su p=quarantine o p=reject. Un record impostato su p=none offre visibilità di reporting, ma non fa nulla per impedire a un attaccante di spoofare il tuo dominio.

Il settore finanziario è un buon punto di osservazione. In uno studio su 1.385 organizzazioni statunitensi di servizi finanziari e assicurativi, solo l'1% utilizza tutti i protocolli di autenticazione disponibili. Quasi 500 hanno raggiunto p=reject e considerano il lavoro concluso. Non lo è. Altre 549 sono a p=quarantine, il che le protegge solo parzialmente. E circa il 28% presenta SPF non funzionante o altre configurazioni errate di base che rendono lo spoofing semplice.

Parliamo di banche, assicuratori e processori di pagamenti. Come ha detto Billy: “Se non prendono sul serio la sicurezza delle email, stanno prendendo sul serio il resto della loro sicurezza? È davvero un indicatore.”

L'enforcement ti protegge dallo spoofing esatto del dominio, ma gli attaccanti non si fermano lì.

Debolezze DNS e takeover dei sottodomini. All'inizio del 2024, SubdoMailing ha dimostrato quanto sia facile sfruttare configurazioni DNS obsolete. Gli attaccanti hanno trovato domini scaduti che comparivano ancora nei record SPF delle organizzazioni, li hanno registrati e li hanno usati per inviare email che tecnicamente superavano i controlli DMARC.

Domini simili. DMARC non può impedire a qualcuno di registrare un dominio con errori di ortografia e costruire un portale di phishing convincente. Il 59% degli attacchi di phishing utilizza domini simili. Le varianti vanno da corrispondenze esatte del brand in un TLS diverso, al nome del brand incorporato in un sottodominio, fino a typosquat che la maggior parte delle persone scorre senza notare.

Impersonificazione sui social media. Sulla base di un'analisi dei 10.000 siti web più importanti, quasi 3.000 brand avevano oltre 1,3 milioni di account social media che utilizzavano i loro nomi su X, Instagram, Telegram e YouTube. Di questi, quasi 9.500 account impersonavano attivamente 1.700 brand utilizzando i loro loghi ufficiali.

Questi tre vettori vengono spesso utilizzati insieme: un falso profilo LinkedIn di un dirigente costruisce credibilità, un messaggio urgente rimanda a un dominio simile, e il target invia le proprie credenziali. Basta questo perché l'attaccante ottenga l'accesso all'account e inizi a mettere in atto un business email compromise.

Natalie ha illustrato una progressione pratica per team a diversi punti di partenza.

Inizia con la visibilità. Imposta DMARC su p=none e ottieni un quadro completo di tutto ciò che invia email per tuo conto. Piattaforme di marketing, sistemi HR, strumenti finanziari, servizi di terze parti. Questo passaggio non influisce sul flusso della posta.

Configura le tue fonti di invio. Assicurati che SPF e DKIM siano corretti su tutte prima di passare all'enforcement. Saltare questo passaggio è il motivo per cui le implementazioni causano problemi.

Passa all'enforcement. Una volta configurate le fonti di invio, passa a p=quarantine, e poi a p=reject. Fatto questo, inizierai a bloccare le email spoofate.

Estendi oltre l'email. Questo significa monitoraggio DNS continuo per individuare record obsoleti prima degli attaccanti, rilevamento proattivo dei domini simili e monitoraggio dei social media per falsi profili di brand e dirigenti.

Se vuoi scoprire a che punto è il tuo dominio adesso, esegui una scansione gratuita con Red Sift Radar Lite. Richiede due minuti e ti mostra cosa è configurato, cosa manca e dove sono le lacune.