L'anno è iniziato come non è finito il 2020. Vivere in lockdown si è rivelato piuttosto difficile per tutti noi e i criminali informatici sono là fuori a peggiorare ulteriormente la situazione. Sono impegnati a sfruttare le organizzazioni che stanno cercando di definire il proprio percorso verso la trasformazione digitale, l'adozione del cloud e il lavoro da remoto.
Combinando la rapida adozione delle applicazioni SaaS e i potenziali errori di configurazione che inevitabilmente emergono, insieme a vulnerabilità sconosciute provenienti da fornitori terzi, otteniamo una ricetta per il disastro per i "buoni".
Attacchi informatici recenti
Iniziamo dando un'occhiata al attacco di spoofing contro microsoft.com recentemente segnalato, che ha raggiunto oltre 200 milioni di utenti. Il phishing di tipo Business Email Compromise (BEC) induceva gli utenti a controllare email in quarantena tramite un link contenuto nell'email. Poiché l'email proveniva da un dominio Microsoft legittimo, gli utenti presumevano si trattasse di un messaggio autentico. I criminali informatici sono stati quindi in grado di rubare le loro credenziali O365 quando queste venivano inserite in una pagina speculare dell'applicazione.
Attacchi come questo non sono un caso isolato. Se guardiamo indietro di 12 mesi, Check Point Software ha riportato che l'attacco Florentine Banker è iniziato con un'impersonificazione, questa volta da un dominio simile a quello di Microsoft. Gli avversari sono stati in grado di compromettere le credenziali O365 e lanciare un attacco man-in-the-middle contro due organizzazioni di servizi finanziari nel Regno Unito, arrivando infine a frodarle finanziariamente per 1 milione di sterline.
Questi attacchi stanno diventando sempre più diffusi, e credo che ne vedremo molti altri in arrivo. Verizon ha rivelato nel suo 2020 Data Breach Investigations Report che le prime 3 fonti di violazioni sono state il phishing, l'uso di credenziali rubate e gli errori di configurazione. Questo ci mostra un modello che sfrutta l'ingegneria sociale attraverso avanzati attacchi Business Email Compromise per rubare le credenziali di applicazioni cloud in cui le aziende archiviano o scambiano informazioni e dati sensibili.
In 2021, organizations must prioritize the protection of their domains against direct impersonation attacks and identifying then removing look-alike domains.
DMARC può combattere lo spoofing
DMARC (Domain-based Message Authentication, Reporting & Conformance) utilizza due protocolli precedentemente definiti, SPF e DKIM, per consentire ai proprietari di domini di indicare esplicitamente al server di posta ricevente cosa fare con un'email che non supera l'autenticazione. L'applicazione di DMARC dovrebbe essere effettuata sia nel DNS che nel gateway email. Quando si configura un gateway con DMARC, si sta istruendo il gateway a rispettare la policy del dominio del mittente, il che significa che garantirà la protezione dei tuoi utenti contro le impersonificazioni in entrata di altri domini. Tuttavia, applicando DMARC sul tuo DNS proteggerai anche i tuoi domini contro attacchi di spoofing diretti, proteggendo così i tuoi clienti, partner commerciali, utenti interni e l'intera supply chain.
Gartner recentemente ha identificato DMARC come uno dei “Top 10 Security Projects for 2020-2021”. Hanno determinato che “le organizzazioni utilizzano l'email come unica fonte di verifica, e gli utenti faticano a distinguere i messaggi reali da quelli falsi.” Il consiglio contenuto nel report è che le organizzazioni dovrebbero valutare di implementare e applicare l'uso del protocollo DMARC per aggiungere un ulteriore livello di fiducia e verifica con il dominio del mittente.
L'implementazione e l'applicazione del protocollo sono fondamentali per chiudere la falla attualmente sfruttata dai criminali informatici, tuttavia, ciò rappresenta solo una parte di una soluzione a più livelli. Con attacchi meglio mirati e ben pianificati, ed email che assomigliano più che mai a quelle legittime, è estremamente importante dare agli utenti interni gli strumenti per identificare le email dannose. Sfruttare il machine learning e l'analisi comportamentale per evidenziare le potenziali minacce all'interno della casella di posta di un utente è chiaramente la direzione verso cui si sta muovendo il settore per offrire una migliore protezione contro questi tipi di minacce.
È inoltre importante assicurarsi che le organizzazioni utilizzino strumenti che si completino a vicenda e che consentano una visione olistica della propria superficie di attacco email. Ottenendo una visibilità a 360°, il team delle operazioni di sicurezza può adottare un modello operativo più dinamico che consente un rilevamento e una risposta più rapidi e, in definitiva, un recupero più veloce dagli incidenti di sicurezza.
Gli attacchi attraverso le supply chain, come SolarWinds, non sono molto distanti da ciò che può accadere attraverso l'impersonificazione di domini legittimi e attacchi avanzati di Business Email Compromise. Se desideri discutere di come Red Sift possa aiutare la tua organizzazione a proteggere il proprio brand e i propri domini dall'impersonificazione, così come i propri utenti interni da avanzati attacchi di Business Email Compromise, contattaci qui sotto.
