Senza DMARC, l'email è l'anello più debole della cybersecurity

La mancanza di protezione dall'impersonificazione esatta è una falla nel modo in cui funziona l'infrastruttura email globale, esponendo ogni azienda ai cybercriminali. DMARC è il protocollo di sicurezza che protegge la tua email, tutela i tuoi clienti e migliora la deliverability di ogni email che invii.

Quando abbiamo fondato Red Sift, volevamo sbloccare i dati nascosti in ogni azienda e aiutare i decision-maker a fare scelte migliori mentre crescono e si adattano a condizioni in continuo cambiamento. Abbiamo iniziato con una profonda integrazione dell'email – semplicemente perché è un archivio di dati che ogni singola persona in ogni azienda possiede. Tutti abbiamo migliaia di email con to-do list, contatti clienti, meeting e allegati che dovremmo esaminare. Questa è una straordinaria visione consolidata delle nostre vite digitali.

Mentre costruivamo una piattaforma per trasformare questi dati in insight, sapevamo che la sicurezza sarebbe stata una preoccupazione primaria. Nessuna azienda vuole dare a un programma di terze parti, seppur rispettabile, una visione della propria email. Abbiamo costruito e contribuito con codice alle varie librerie di sicurezza email esistenti, ma siamo rapidamente incappati in un grosso problema.

È del tutto semplice e molto facile impersonare efficacemente qualcuno online. Non intendo in una chatroom, o tramite il dark web. Con solo poche righe di codice, è possibile 'falsificare' un indirizzo email e inviare un'email di phishing malevola che appare genuina. Basta guardare qui sotto.

Banco Popular non ha inviato questa email. L'ho fatto io, usando uno strumento che probabilmente hai installato sul tuo computer. A sinistra, ho usato telnet (un semplice programma esistente dal 1969 e preinstallato su ogni Mac, Linux e sulla maggior parte delle macchine Windows), ed ho emulato il protocollo email, impersonando efficacemente qualcun altro – in questo caso, una delle più grandi istituzioni finanziarie della Spagna.

A differenza degli attacchi di phishing standard – quelle email che appaiono legittime ma con un indirizzo di risposta chiaramente sospetto (sai, 'theocb@sgsfg.id', o simili) – l'indirizzo email in questo attacco appare completamente legittimo ('customer-support@bancopopular.es').

Con una sola email su cui basarsi, il tuo server email penserà che sia tutto ok e la lascerà passare attraverso il tuo filtro spam. E se hai un conto Banco Popular, probabilmente penserai anche tu che sia legittima!

Questa tattica funziona con quasi tutti gli indirizzi email, e molti cybercriminali la usano per condurre attacchi BEC. Qui impersonano qualcuno importante all'interno di un'azienda, e phishano i dipendenti per ottenere accesso a denaro, credenziali e altro ancora.

Cosa succederebbe se ricevessi un'email come quella sopra dal Presidente, dal Co-Fondatore, o dal tuo Direttore Generale della tua azienda che ti chiede di revisionare un documento su cui stanno lavorando? Saresti in grado di capire se è falsa se provenisse da un indirizzo email legittimo?

Probabilmente no, e probabilmente ci cliccheresti sopra. Perché non dovresti? Ha persino il nome e la foto del tuo presidente – l'app Gmail per iOS ti fa persino la cortesia di riempire la foto del profilo Google+ incoraggiandoti ad agire.

È fondamentale, e terrificante, sapere che non serve violare account o rubare password per impersonare un'azienda. Non ho dovuto andare sul dark web e trovare exploit esotici o comprare liste di server email compromessi. Per realizzare l'esempio sopra, tutto ciò di cui avevo bisogno era telnet e un po' di social engineering – cercare il presidente o i direttori dell'azienda su LinkedIn per ottenere i loro nomi e titoli professionali è sufficiente.

Tutti ci fidiamo dei nostri provider email (Google, Microsoft, ecc.) per gestire efficacemente la sicurezza delle nostre identità email online. Ma questa tecnica di impersonificazione è parte di un problema profondamente radicato, che emerge dal modo sfortunato in cui il relay della posta funziona sin dagli albori di internet.

Potresti aver investito in misure di cybersecurity, avere una moderna e robusta politica sulle password, scanner di file e rilevatori di spam, e aver attivato l'autenticazione a due fattori (2FA). Ma nulla di tutto ciò fa la differenza quando si tratta di impersonificazione. Tutto questo può essere eluso sfruttando la debolezza pervasiva nell'email, portando a ulteriori compromissioni nel resto della tua infrastruttura di sicurezza. È come proteggere la tua casa con i più moderni sistemi di allarme e poi lasciare la porta principale spalancata.

Solo perché fa parte del modo in cui funziona internet, non significa che l'impersonificazione esatta sia irrisolvibile. Se oggi provassi a falsificare un indirizzo email Red Sift, il server Gmail rifiuterebbe attivamente la tua sessione telnet e ti disconnetterebbe. In pratica, la porta principale ti verrebbe sbattuta in faccia e il tuo tentativo di impersonare il dominio sarebbe sventato. Questo perché abbiamo adottato DMARC e l'abbiamo abilitato per rifiutare il traffico non autorizzato. E sempre più aziende stanno facendo lo stesso.

DMARC è un protocollo di sicurezza email che impedisce a chiunque di impersonare il tuo dominio per inviare email di phishing malevole ai tuoi clienti, dipendenti e supply chain. Quando hai DMARC completamente implementato con una policy p=reject, è impossibile per chiunque impersonare il tuo dominio email, e non possono fingere di essere nessun altro all'interno della tua azienda. Quindi non c'è preoccupazione che gli hacker possano usare il tuo dominio email per inviare email false ai tuoi dipendenti o clienti.

Il National Cyber Security Centre ne parla continuamente, e una vasta gamma di governi ne raccomanda l'utilizzo. Eppure molte organizzazioni a livello globale non hanno ancora adottato una policy DMARC con p=reject. Perché? Perché abilitare DMARC per rifiutare attivamente il traffico non autorizzato richiede un po' di know-how, e senza gli strumenti giusti basati su AI, può essere un compito complicato.

Utilizzando la piattaforma Red Sift, abbiamo costruito OnDMARC, il software as a service (SaaS) che funge da guida passo-passo per chiunque voglia rendere sicura la propria email abilitando DMARC con p=reject. OnDMARC analizza automaticamente il traffico email sul tuo dominio, e poi ti indica come configurare il protocollo per bloccare gli hacker mentre lascia passare attraverso la rete le email legittime.

OnDMARC elimina la complessità e le congetture dall'implementazione di DMARC. Non vuoi immergerti nell'arte oscura dei protocolli di sicurezza email, vuoi una soluzione semplice al problema così puoi tornare alla tua attività. Abbiamo costruito OnDMARC con questa visione in mente: è talmente semplice che chiunque può farlo, anche senza esperienza informatica.

Il tempo medio che serve ai clienti OnDMARC per arrivare a p=reject è di 4 – 8 settimane, contro i mesi.

La sicurezza non è l'unico vantaggio di OnDMARC. Ti è mai capitato che le tue email finissero direttamente nella cartella spam di un cliente? Hai una newsletter con tassi di apertura davvero bassi? Questo perché la maggior parte dei domini email è configurata male, il che significa che le email che inviano nel mondo appaiono un po' sospette ad altri domini. Le email legittime possono restare bloccate perché appaiono sospette — anche se in realtà sei proprio tu!

OnDMARC fa molto per risolvere questo problema. Riconfigura le tue impostazioni, il che rende le email che invii al di sopra di ogni sospetto e le fa arrivare direttamente in cima alle inbox dei tuoi clienti. Questo è un business enabler che ti evita di sprecare denaro.

DMARC funziona meglio quando tutti lo adottiamo. Più domini email e aziende hanno questa protezione, più difficile sarà per gli hacker sfruttare questa falla in internet.

Per questo in Red Sift, vogliamo assicurarci che non ci siano barriere all'adozione. Prezziamo il nostro prodotto in modo che scali con il tuo volume email e offriamo anche una prova gratuita. OnDMARC basic è gratuito per tutte le organizzazioni benefiche, con il 50% di sconto sui pacchetti più grandi. OnDMARC può inoltre essere integrato con il tuo SSO o con le dashboard operative esistenti tramite la nostra API, quindi ti abbiamo pensato a tutto.

OnDMARC protegge la tua email dallo sfruttamento, tutela i tuoi clienti, sbarra la porta principale agli hacker, e migliora la deliverability di ogni email che invii. È difficile fare meglio di così. Perché non provarlo con una prova gratuita di 14 giorni, e iniziare a proteggere oggi la tua email aziendale?