Come proteggere il tuo brand con DMARC contro le minacce email: Riepilogo del webinar

L'IA ha reso gli attacchi di phishing più economici, più veloci e quasi impossibili da individuare a occhio nudo. In questo webinar, Antony Seedhouse, Eric Johnson e Natalie Hays di Red Sift spiegano perché l'enforcement di DMARC (Domain-based Message Authentication, Reporting and Conformance) è l'unica difesa affidabile contro lo spoofing esatto del dominio, e come OnDMARC porti le organizzazioni da p=none a p=reject in sei-otto settimane.

• Le email di phishing generate dall'IA presentano ora una grammatica quasi perfetta, una personalizzazione reale e un design professionale, eliminando i vecchi segnali d'allarme su cui si basavano gli utenti
• I record DMARC sono raddoppiati da 8 a 15 milioni in meno di due anni, ma la maggior parte dei domini si trova ancora a p=none, il che non offre alcuna protezione contro lo spoofing
• Red Sift OnDMARC porta le organizzazioni al pieno enforcement DMARC in una media di sei-otto settimane, con monitoraggio proattivo tramite DNS Guardian e insight basati sull'IA di Red Sift Radar

I numeri sono difficili da ignorare. Gli attacchi di phishing sono aumentati vertiginosamente nell'ultimo anno, spinti quasi interamente dagli strumenti di IA generativa che rendono banale lanciare campagne sofisticate su larga scala.

“Quello che una volta richiedeva giorni o settimane per essere impostato ora può praticamente essere fatto in un colpo solo,” ha dichiarato Antony Seedhouse, Product Manager per OnDMARC presso Red Sift. “La barriera d'ingresso è ora assurdamente bassa per condurre un attacco di phishing molto più efficiente, automatizzato ed efficace.”

E non è cambiato solo il volume. Anche la qualità è schizzata alle stelle. Gli aggressori hanno ora accesso a piattaforme di phishing-as-a-service raffinate e basate su interfaccia grafica, che assomigliano a prodotti SaaS legittimi. Strumenti come “SpamGPT” offrono la stessa interfaccia pulita che ci si aspetterebbe da un prodotto IA commerciale, solo costruita per la frode. Il costo d'ingresso è diminuito. La competenza tecnica richiesta è diminuita. E la qualità dell'output è salita alle stelle.

Il webinar ha messo in chiaro questo cambiamento con un confronto affiancato. Da un lato: i classici tentativi di phishing. Pensa a “ATTENTION BENEFICIARY” tutto in maiuscolo da un indirizzo email Yahoo, o un falso avviso PayPal pieno di errori ortografici da “paypie-verify.com.” Sono quasi simpatici per quanto sono evidenti.

Dall'altro lato: email di phishing generate dall'IA su cui persino i professionisti della sicurezza dovrebbero fermarsi a riflettere. Un esempio imitava un avviso di sicurezza legittimo di Microsoft con grammatica quasi perfetta, il vero nome e la vera email del destinatario, un sottodominio plausibile (microsoft-alerts.com) e dettagli di accesso realistici con timestamp e dati di geolocalizzazione. La call-to-action era sottile piuttosto che urgente, e il footer includeva un indirizzo corretto e link.

Il secondo esempio colpiva ancora più da vicino. Impersonava la stessa piattaforma di Red Sift utilizzando un dominio simile (redsift-notifications.com), faceva riferimento a funzionalità reali del prodotto come i report aggregati, l'accesso API e l'integrazione SIEM, e utilizzava persino il vero indirizzo dell'ufficio di Londra dell'azienda.

“L'IA ha generato entrambe queste email in pochi secondi, non ore, non giorni,” ha detto Antony. “La grammatica è quasi perfetta, il design è pulito, la personalizzazione è reale. L'unica difesa affidabile contro questo tipo di spoofing esatto del dominio è l'enforcement DMARC.”

I requisiti per i mittenti di massa introdotti da Google, Yahoo e Microsoft hanno determinato un vero e proprio picco nell'adozione di DMARC. Il numero totale di record DMARC è raddoppiato da 8 a 15 milioni in circa 18 mesi. I mandati chiaramente fanno la differenza.

Ma ecco il problema: la maggior parte di questi domini è bloccata a p=none.

Circa il 18% dei domini ha ora una policy DMARC di qualche tipo. Una frazione di questi la applica effettivamente con p=quarantine o p=reject. E p=none, sebbene utile per la visibilità, non fa nulla per impedire a un aggressore di spoofare il tuo dominio e finire nella casella di posta di qualcuno.

“Anche se configuri una policy DMARC, se è impostata su none, in realtà non fornisce alcuna sicurezza,” ha detto Antony. “Sta semplicemente dicendo che va bene se le persone impersonano il mio dominio.”

I principali provider di caselle di posta finora hanno imposto solo il minimo indispensabile. Ma la direzione è chiara. I requisiti stanno diventando più severi, e BIMI (Brand Indicators for Message Identification) richiede già p=reject. Le organizzazioni che aspettano di essere costrette all'enforcement lasciano nel frattempo esposti i propri brand e i propri clienti.

Gartner conferma questo dato. La società di analisi raccomanda DMARC come elemento fondamentale di qualsiasi strategia di sicurezza email, insieme alla crittografia email e all'MFA. Eppure meno del 10% delle organizzazioni ha effettivamente raggiunto l'enforcement.

Eric Johnson, Lead Senior Customer Success Engineer presso Red Sift, sente le stesse obiezioni in quasi ogni chiamata:

“Ci abbiamo provato e ha rotto la nostra email.” Questa è la più comune, ed è comprensibile. L'enforcement DMARC senza una preparazione adeguata è come attivare un firewall che blocca tutto il traffico e stupirsi quando nulla funziona. Ma con l'approccio giusto (modifiche graduali alla policy, test adeguati e guida esperta) puoi arrivare a p=reject senza interrompere nemmeno un singolo flusso email legittimo.

“Abbiamo p=none, quindi siamo conformi.” Non proprio. I requisiti per i mittenti di massa non impongono semplicemente di avere un record DMARC. Richiedono email correttamente autenticate. Se invii volumi di massa che falliscono l'autenticazione, provider come Google e Yahoo tratteranno comunque la tua email come se fossi a p=reject e la scarteranno, indipendentemente da quale sia la tua policy effettiva.

“Il nostro provider di sicurezza si occupa già di DMARC.” Molte piattaforme di sicurezza aggiungono DMARC come ripensamento. È manuale, complesso e difficile da gestire su larga scala. Una piattaforma DMARC costruita appositamente è progettata dalle fondamenta per risolvere questo specifico problema, non aggiunta come funzionalità secondaria.

Eric ha usato un'analogia memorabile per le organizzazioni che si fermano a p=quarantine: “P=quarantine è un po' come premere il pulsante snooze su qualsiasi problema esistente.”

Ecco perché. Quarantine invia le email sospette nella cartella spam o posta indesiderata invece di bloccarle completamente. Il messaggio viene comunque consegnato. E le persone controllano davvero le loro cartelle spam. Eric ha indicato uno scenario reale: “Dare, sapete, alla mamma di Natalie o a mio padre l'opportunità di controllare la loro cartella spam e vedere un'email urgente, cliccarci sopra, agire, e poco dopo hanno perso 10.000 dollari o più.”

Quarantine nasconde anche problemi legittimi di deliverability. Se le tue stesse email autenticate falliscono DMARC e vengono contrassegnate come spam, non lo saprai a meno che un destinatario non ti contatti per dirtelo. Con p=reject, quei fallimenti sono evidenti e immediati, il che significa che li individui e li risolvi rapidamente.

Da una prospettiva di marketing, Natalie Hays, Senior Product Marketing Manager presso Red Sift, ha aggiunto un'altra angolazione: “Niente è più mortificante per un marketer di uno stakeholder che vede un'email del tuo brand nella cartella spam e ti chiede cosa stai sbagliando.”

Red Sift OnDMARC è una piattaforma tutto-in-uno per la gestione della configurazione della sicurezza email che porta le organizzazioni da p=none fino all'enforcement p=reject, e poi oltre verso protocolli come MTA-STS (Mail Transfer Agent Strict Transport Security) e BIMI.

Il percorso tipico verso l'enforcement richiede sei-otto settimane, anche per grandi domini con milioni di email e decine di servizi di invio. Il processo inizia con il reporting DMARC per scoprire tutti i flussi email, i mittenti autorizzati e i sottodomini. Da lì, il team interno di customer success di Red Sift (nessun supporto esternalizzato) lavora al tuo fianco per risolvere flussi di posta complicati e problemi di autenticazione difficili.

Una volta raggiunto l'enforcement, OnDMARC continua a lavorare. Due funzionalità si distinguono:

DNS Guardian monitora tutte le impostazioni DNS sui tuoi domini e identifica configurazioni errate che potrebbero creare vulnerabilità. Se un provider di servizi email che hai autorizzato anni fa cessa l'attività, un aggressore potrebbe impadronirsi di quel dominio e ottenere la capacità di inviare email per tuo conto. DNS Guardian individua questi record DNS pendenti prima che diventino vettori di attacco.

Red Sift Radar è un assistente basato sull'IA addestrato specificamente sull'autenticazione email. Funziona come un esperto di cybersecurity a disposizione, dove puoi porre domande in linguaggio naturale. Devi capire un report DMARC complesso? Vuoi sapere cosa significa una configurazione errata e come risolverla? Radar se ne occupa. Come ha detto Eric: “Se non sono in giro per farmi una domanda, Radar è lì per te.”

E per gli attacchi con domini simili (come quell'esempio di redsift-notifications.com), Red Sift Brand Trust fornisce rilevamento e monitoraggio in modo da poter individuare le minacce prima che vengano armate.

Una domanda chiave dal pubblico: se l'IA rende le email di phishing impossibili da riconoscere, la formazione sulla sensibilizzazione alla sicurezza vale ancora qualcosa?

Il panel è stato unanime: sì. DMARC elimina lo spoofing esatto del dominio, il che rimuove uno dei segnali di phishing più forti. Ma le minacce si evolvono. I domini simili, gli attacchi basati su SMS e le tattiche di ingegneria sociale si trovano tutti al di fuori dell'ambito dell'autenticazione email. Formare le tue persone a individuare la differenza tra redsift.com e redsift-notifications.com è ancora importante.

“Anche se hai implementato DMARC, gli attacchi si stanno evolvendo, stanno diventando più sofisticati,” ha detto Eric. “Avere gli utenti finali formati per individuare queste sfumature è qualcosa che la formazione sulla sensibilizzazione alla sicurezza può effettivamente rendere possibile.”

Se vuoi vedere a che punto è il tuo dominio in questo momento, Red Sift offre una scansione gratuita della configurazione di DMARC, SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail) attraverso Red Sift Investigate.