Nell'ottobre 1971, l'ingegnere informatico Ray Tomlinson riuscì con successo a far inviare un messaggio email da un computer a un altro seduto vicino tramite ARPANET, una rete di computer che fungeva da precursore di internet.
Sebbene l'email abbia compiuto 50 anni nel novembre 2021, è stato solo con la commercializzazione di internet a metà degli anni '90 che è davvero decollata come uno degli strumenti di comunicazione più importanti al mondo. Purtroppo, la sua ascesa ha anche generato un uso improprio vertiginoso, poiché truffatori senza scrupoli hanno iniziato a proporre prodotti indesiderati, offerte fraudolente e persino virus informatici alle masse.
La truffa del phishing ha più di 20 anni
Sì, le truffe via email hanno più di due decenni. In realtà, le truffe di phishing, da tempo associate all'email, sono in realtà iniziate alcuni anni prima tramite la messaggistica istantanea AOL, con attaccanti che si spacciavano per personale AOL e chiedevano agli utenti di verificare i propri account fornendo password o informazioni di fatturazione.
Tuttavia, con l'email che prendeva il sopravvento come mezzo preferito di coinvolgimento di clienti e organizzazioni, i truffatori passarono rapidamente a sfruttare questo canale. E-gold, una valuta digitale in oro fondata nel 1996, fu uno di questi obiettivi per exploit di phishing e malware finanziario mentre le truffe via email erano ancora agli inizi.
Gli attacchi contro l'azienda culminarono in una grande truffa di phishing nel giugno 2001, mirata ai membri della sua mailing list. Questo fu seguito, dopo l'11 settembre, da una seconda ondata di phishing, camuffata da 'controlli di identità'.
Le istituzioni finanziarie sono una gioia per i truffatori
Le istituzioni finanziarie sono sempre state un obiettivo ovvio per i truffatori. Queste organizzazioni non solo detengono ricchi set di dati sui propri clienti, ma se i truffatori riescono a impossessarsi anche dei dettagli degli account dei clienti, possono facilmente rubare direttamente da loro. Non sorprende quindi che la tecnica utilizzata nella truffa di phishing di e-gold sia stata rapidamente adottata anche contro i clienti di altre istituzioni finanziarie.
eBay e PayPal furono altre due aziende che si trovarono dalla parte sbagliata delle truffe via email un decennio fa, e stanno ancora combattendo per liberarsi dall'impersonificazione via email oggi. Già nel 2006, fu rivelato che il 75% di tutte le truffe di phishing erano concentrate su eBay e Paypal, con email di phishing che portavano i destinatari a siti web imitativi e utilizzavano i loro dati di accesso per commettere frodi d'identità.
Un'altra vittima popolare della truffa via email fu HMRC. Non solo era un'entità 'fidata' agli occhi dei destinatari delle email, ma poteva legittimamente richiedere specifiche informazioni personali o finanziarie ai destinatari. HMRC dovette aspettare fino al 2007 per pubblicare la sua prima guida riguardante le email di phishing e le comunicazioni fraudolente. Questo avvenne in risposta a un'ondata di email fraudolente che informavano i destinatari che, 'Dopo gli ultimi calcoli annuali della tua attività fiscale abbiamo determinato che hai diritto a ricevere un rimborso fiscale di £210. Si prega di inviare la richiesta di rimborso fiscale e concedere 6-9 giorni per elaborarla.'
La tattica adottata da questi truffatori era notevolmente diversa da alcune di quelle precedenti; invece di terrorizzare, gli autori tentavano di indurre i destinatari a fornire i propri dati sulla base della promessa di un rimborso finanziario. Fu un cambiamento di approccio estremamente efficace che portò a un notevole aumento delle truffe legate a HMRC, al punto che entro il 2016, un sondaggio di Which? rilevò che il 40% degli adulti aveva ricevuto email di phishing che si spacciavano per HMRC.
Spazio all'autenticazione DMARC
In risposta a ciò, HMRC ha implementato il protocollo di autenticazione email DMARC (Domain-based Message Authentication, Reporting, and Conformance). DMARC è riconosciuto a livello globale come l'unico modo per garantire la legittimità degli indirizzi 'from' delle email e ridurre gli attacchi di spoofing. Nel 2016 HMRC è stata in grado di bloccare 300 milioni di email di phishing che utilizzavano il proprio dominio semplicemente raggiungendo la protezione DMARC a p=reject.
DMARC è essenziale per tutte le aziende nel 2022
Quindi dove ci lascia tutto questo ora? Ebbene, i fornitori di sicurezza email continuano a cercare di bloccare messaggi fraudolenti provenienti da domini falsi che si spacciano per alcune delle nostre aziende più riconosciute. Tentano inoltre di identificare attacchi più personalizzati e mirati che cercano clienti noti di altre organizzazioni, forse meno note.
Ma dove questi sistemi fallisco è nel contrastare l'impersonificazione via email da domini email legittimi. Il dominio www.gov.uk potrebbe ora essere al sicuro dagli attacchi di spoofing grazie all'implementazione di DMARC, ma lo stesso non si può dire per molti altri domini del settore privato.
Sono passati 50 anni dalla prima email, e più di 20 anni dalla prima truffa via email, eppure questo punto cieco nelle defese di sicurezza email organizzative rimane preoccupantemente esposto. Per saperne di più su DMARC, come può aiutare a proteggere la tua azienda e la rete più ampia dalle truffe di phishing, e cosa cercare in una soluzione DMARC, scarica oggi la nostra Guida gratuita per l'acquirente.
