Oltre il 40% delle aziende di servizi essenziali resta vulnerabile al phishing

Una nuova analisi di Red Sift su 840 aziende dei settori chimico, energetico e idrico e dei rifiuti rivela una preoccupante lacuna nell'adozione della sicurezza email, con il 42% ancora non protetto contro minacce email sofisticate.

Mentre i fornitori di infrastrutture critiche affrontano una pressione crescente da parte dei regolatori e minacce cyber sempre più sofisticate, i dati mostrano che molte aziende di servizi essenziali non hanno ancora implementato protocolli di autenticazione email di base che potrebbero prevenire attacchi devastanti.

La nostra analisi ha esaminato 840 aziende in tre settori vitali, valutando la loro implementazione di DMARC (Domain-based Message Authentication, Reporting, and Conformance), un protocollo fondamentale di autenticazione email che previene lo spoofing di dominio e gli attacchi di phishing.

I risultati rivelano che, mentre il 58% delle aziende ha raggiunto l'enforcement DMARC (politiche p=reject o p=quarantine), un significativo 42% resta non protetto, con configurazioni senza alcuna politica o solo di monitoraggio.

Statistiche generali:

• 112 aziende (13%) non hanno alcuna politica DMARC
• 244 aziende (29%) sono in modalità di monitoraggio (p=none)
• 198 aziende (24%) hanno implementato politiche di quarantena
• 286 aziende (34%) hanno un enforcement completo con politiche di rifiuto

Ciò significa che 356 aziende, che rappresentano il 42% di quelle analizzate, si lasciano esposte ad attacchi basati sull'email che potrebbero compromettere le operazioni, la fiducia dei clienti e la conformità normativa.

Il settore energetico dimostra la posizione più solida in termini di sicurezza email tra i tre settori analizzati.

Statistiche chiave:

• 274 aziende esaminate
• Solo il 6% (17 aziende) non ha alcuna politica DMARC
• Il 26% (72 aziende) resta in modalità di monitoraggio
• Il 23% (63 aziende) ha raggiunto un certo livello di protezione
• Il 44,5% ha raggiunto l'enforcement completo (122 in reject)

La performance relativamente solida del settore energetico probabilmente riflette una maggiore consapevolezza in seguito ad attacchi di alto profilo contro le infrastrutture critiche. Tuttavia, il 32% ancora non protetto rappresenta una vulnerabilità significativa, soprattutto considerando il ruolo del settore nella sicurezza nazionale e nella stabilità economica.

Le aziende energetiche affrontano minacce costanti da parte di attori statali e criminali informatici che cercano di interrompere le catene di approvvigionamento o rubare dati operativi sensibili. Senza un'adeguata autenticazione email, queste organizzazioni restano vulnerabili al Business Email Compromise (BEC), all'impersonificazione di fornitori e agli attacchi di credential harvesting.

L'industria chimica mostra lacune più preoccupanti nell'adozione della sicurezza email.

Statistiche chiave:

• 266 aziende esaminate
• Il 14% (36 aziende) non ha alcuna politica DMARC
• Il 28% (75 aziende) resta in modalità di monitoraggio
• Il 22,6% (60 aziende) ha raggiunto una certa protezione
• Solo il 35,7% ha raggiunto l'enforcement completo (95 in reject)

Il tasso del 42% non protetto nel settore chimico è particolarmente preoccupante data la natura sensibile del settore. Le aziende chimiche gestiscono materiali pericolosi, mantengono catene di approvvigionamento complesse e gestiscono impianti dove le violazioni della sicurezza potrebbero avere conseguenze catastrofiche.

L'email resta un vettore di attacco primario per lo spionaggio industriale, con concorrenti e attori ostili che cercano formule, processi produttivi ed elenchi clienti. La mancanza di enforcement DMARC lascia queste aziende vulnerabili a sofisticati attacchi di impersonificazione che potrebbero compromettere la proprietà intellettuale o interrompere le operazioni.

Il settore idrico e dei rifiuti mostra le lacune di sicurezza più significative, con il tasso di enforcement più basso tra tutti i settori analizzati.

Statistiche chiave:

• 300 aziende esaminate
• Il 20% (59 aziende) non ha alcuna politica DMARC
• Il 32% (97 aziende) resta in modalità di monitoraggio
• Il 25% (75 aziende) ha raggiunto un certo livello di protezione
• Solo il 23% ha raggiunto l'enforcement completo (69 in reject)

Ciò significa che il 52% delle aziende del settore idrico e dei rifiuti resta non protetto, il tasso di vulnerabilità più alto tra tutti i settori esaminati.

Questo risultato è particolarmente preoccupante data la natura critica delle infrastrutture idriche. Gli impianti di trattamento delle acque e dei reflui sono considerati servizi essenziali, con attacchi che potrebbero potenzialmente influire sulla salute pubblica, sulla sicurezza ambientale e sul benessere della comunità.

Il settore è diventato sempre più un obiettivo per attacchi ransomware e interruzioni operative. Negli ultimi anni si sono verificati numerosi incidenti in cui gli attaccanti hanno ottenuto l'accesso ai sistemi di trattamento delle acque, compromettendo potenzialmente i controlli sulla qualità dell'acqua. L'email resta il vettore di accesso iniziale più comune per questi attacchi.

Il tasso del 42% non protetto in questi settori rappresenta più di una semplice lacuna tecnica. È una vulnerabilità critica in un'infrastruttura da cui la società dipende quotidianamente.

Le aziende di servizi essenziali affrontano un controllo normativo sempre più stringente in materia di cybersecurity:

• Direttiva NIS2: le normative europee ora impongono misure specifiche di cybersecurity per le infrastrutture critiche
• Linee guida CISA: le agenzie statunitensi hanno emesso direttive operative vincolanti che richiedono l'autenticazione email
• Requisiti specifici del settore: gli impianti energetici, idrici e chimici affrontano obblighi di conformità specifici del settore

Le aziende senza un'adeguata autenticazione email potrebbero risultare non conformi alle normative emergenti, affrontando potenziali sanzioni e una maggiore supervisione.

Gli attacchi basati sull'email contro i servizi essenziali possono avere conseguenze di vasta portata:

• Interruzione operativa: il ransomware o la compromissione dei sistemi possono bloccare operazioni critiche
• Impatto sulla catena di approvvigionamento: le comunicazioni compromesse possono interrompere la logistica e i rapporti con i fornitori
• Rischi per la sicurezza pubblica: gli attacchi contro impianti idrici o chimici potrebbero minacciare la salute pubblica
• Perdite finanziarie: gli attacchi BEC hanno costato a singole aziende milioni in trasferimenti fraudolenti
• Danno reputazionale: le violazioni della sicurezza erodono la fiducia dei clienti e del pubblico

Sebbene DMARC sia spesso presentato come uno strumento di protezione del brand, per le aziende di servizi essenziali riguarda fondamentalmente la sicurezza operativa. L'email resta il vettore di attacco primario per l'accesso iniziale, con gli attaccanti che utilizzano tecniche di impersonificazione sofisticate per:

• Indurre i dipendenti a rivelare credenziali
• Autorizzare pagamenti o trasferimenti fraudolenti
• Installare malware che garantisce un accesso persistente
• Raccogliere informazioni per attacchi più mirati

Senza l'enforcement DMARC, gli attaccanti possono facilmente falsificare domini legittimi, rendendo le email di phishing praticamente indistinguibili dalle comunicazioni autentiche.

La buona notizia è che il 58% delle aziende ha già implementato l'enforcement DMARC, dimostrando che l'implementazione è realizzabile anche per organizzazioni complesse con flussi email diversificati.

Per il 42% ancora non protetto, il percorso da seguire prevede:

1. Valutazione immediata: comprendere lo stato attuale dell'autenticazione email e identificare tutte le fonti email legittime
2. Implementazione graduale: passare da nessuna politica al monitoraggio (p=none) per iniziare a raccogliere dati
3. Validazione delle fonti: assicurarsi che tutte le fonti email legittime siano correttamente autenticate
4. Enforcement progressivo: passare alla quarantena (p=quarantine) e infine all'enforcement completo (p=reject)
5. Monitoraggio continuo: mantenere visibilità sui risultati dell'autenticazione email e sulle potenziali minacce

L'analisi rivela una vulnerabilità a livello di settore che richiede un'attenzione urgente. Con il 42% delle aziende di servizi essenziali che resta non protetto contro gli attacchi basati sull'email, il rischio si estende oltre le singole organizzazioni fino a coinvolgere l'infrastruttura critica da cui la società dipende.

Per i fornitori di servizi essenziali, il messaggio è chiaro: la sicurezza email non riguarda solo la protezione del proprio brand, ma la protezione dei servizi critici che fornisci e delle comunità che servi.

Vuoi comprendere la posizione della tua organizzazione in termini di sicurezza email? Red Sift OnDMARC offre la visibilità e gli strumenti necessari per raggiungere l'enforcement DMARC e proteggerti dalle minacce basate sull'email.