Cos'è una Beg Bounty? Come Evitare Pagamenti per Vulnerabilità DMARC

Ogni azienda ha delle vulnerabilità, e la superficie di attacco per le organizzazioni più grandi e a livello enterprise è vasta. In un mondo ideale, saresti in grado di individuare, mitigare, eliminare e proteggere ognuna di queste vulnerabilità da solo. Ma nell'era in continua evoluzione del digitale, questo semplicemente non è realizzabile. È qui che entrano in gioco la divulgazione responsabile e i programmi di bug bounty. Danno alle organizzazioni una visione delle potenziali vulnerabilità, mentre i bug bounty hunter (spesso hacker etici appassionati e ricercatori di sicurezza attenti) guadagnano anche qualche soldo.

I bug bounty e i programmi di divulgazione responsabile sono importanti per mantenere la sicurezza e mitigare le numerose vulnerabilità nell'armatura delle organizzazioni globali. Ma come per la maggior parte delle cose, dove ci sono opportunità di sfruttamento, alcune persone lo faranno. Esatto, stiamo parlando della sempre più fastidiosa mania del 'beg bounty hunting', dove i cosiddetti 'bounty beggar' (mendicanti di bounty) segnalano alle organizzazioni problemi facilmente individuabili nella speranza di guadagnare rapidamente qualche soldo.

Quindi come possono le aziende evitare di cadere vittima delle beg bounty? Un modo è implementare DMARC a p=reject per impostazione predefinita, mitigando definitivamente la vulnerabilità DMARC. DMARC (Domain-Based Message Authentication, Reporting, and Conformance) è fondamentale per la sicurezza organizzativa, e con gli strumenti giusti, è molto più facile da implementare di quanto si possa pensare.

Un programma di divulgazione responsabile (a volte chiamato programma di divulgazione delle vulnerabilità o programma di bug bounty) è essenzialmente un accordo che un'organizzazione stipula con ricercatori di sicurezza (bug bounty hunter), compensandoli se trovano vulnerabilità all'interno dei loro siti web, sistemi, piattaforme o superficie di attacco più ampia.

La divulgazione responsabile non è nulla di nuovo. Da quando è iniziata nel 1983, sono state segnalate più di 181.000 vulnerabilità, e sono stati pagati ben 100 milioni di dollari in stipendi ai bug bounty hunter. In sostanza, la divulgazione responsabile è un vantaggio per entrambe le parti: le organizzazioni possono correggere rapidamente e discretamente le vulnerabilità, e i bug bounty hunter vengono equamente ricompensati. Le aziende tecnologiche più in vista hanno programmi di divulgazione responsabile, tra cui Mozilla, Facebook, Yahoo, Google, Reddit e Microsoft.

La maggior parte delle aziende avrà una politica di divulgazione delle vulnerabilità in atto, con una serie specifica di regole o accordi che i bug bounty hunter devono rispettare. L'NCSC (National Cyber Security Centre) offre un utile toolkit per la scoperta delle vulnerabilità per le aziende qui.

Una beg bounty è un termine usato per descrivere la segnalazione di un problema facilmente individuabile da parte di un 'bounty beggar'. Questi non sono considerati meritevoli di pagamento, sia perché non si tratta di una vulnerabilità legittima, sia perché considerati un problema che l'azienda stessa avrebbe potuto facilmente individuare. A volte, i bounty beggar richiedono anche il pagamento prima di rivelare il presunto 'bug'. Esempi di beg bounty includono record DMARC non funzionanti, record SPF non funzionanti, o un CSP mancante.

I record DMARC mancanti sono considerati beg bounty. Le ragioni di ciò vanno dal fatto che DMARC è facilmente individuabile, all'idea che sia poco importante, troppo complesso da implementare, e persino la convinzione errata che DMARC sia sinonimo di SPF e DKIM – non lo è.

Sebbene siamo d'accordo sul fatto che le aziende non dovrebbero pagare per beg bounty relative a DMARC, riteniamo anche che, considerando DMARC come 'poco importante', i professionisti della Sicurezza e dell'IT stiano perdendo un'occasione. Sebbene DMARC non sia specificamente una vulnerabilità del sito web o un 'bug', non averlo completamente configurato rende il tuo dominio – e la tua organizzazione – estremamente vulnerabile ad attacchi di impersonificazione e phishing, come il BEC.

• Il phishing rappresenta il 90% di tutte le violazioni di dati, con il 65% degli attaccanti informatici che utilizza lo spear phishing come vettore primario di infezione.
• Il BEC ha rappresentato circa 2,4 miliardi di dollari USA in perdite segnalate – in aumento del 28% dal 2020.
• Gli attacchi di impersonificazione sono stati definiti i secondi più dannosi per un'azienda dal UK Government Cyber Security Breaches Survey del 2021.

Non avere un record DMARC (o avere un record impostato su none/quarantine) significa essere vulnerabili all'impersonificazione. È un protocollo che dovrebbe essere fondamentale per la sicurezza delle tue email e l'infrastruttura del tuo dominio, e le organizzazioni dovrebbero proteggerlo per impostazione predefinita.

DMARC è un protocollo riconosciuto a livello globale che, se configurato correttamente a p=reject, impedisce ai malintenzionati di impersonare (spoofing) il tuo dominio per inviare email di phishing e condurre attacchi di phishing e impersonificazione, come il Business Email Compromise (BEC).

Spesso combinate con l'ingegneria sociale, le email contraffatte sono incredibilmente difficili da individuare. Del resto, perché non dovresti fidarti di un'email ben scritta e personalizzata se proviene esattamente dal dominio della tua organizzazione? È per questo che non implementare una solida politica DMARC è uno dei più grandi errori che un'azienda possa fare, poiché lascia il tuo dominio aperto agli attaccanti che possono dirottarlo e inviare email di phishing mirate ai tuoi dipendenti, clienti e a tutta la catena di fornitura.

Utilizzando i dati di Red Sift's BIMI Radar, che copre 64 milioni di apex domain, abbiamo scoperto che la vulnerabilità DMARC in tutto il mondo è elevata. Sulla base dei dati provenienti da più di 64 milioni di apex domain:

• Solo il 2,1% ha DMARC in modalità di enforcement, il che significa che il 97,9% è a rischio di attacchi di impersonificazione.
• Su 2.380 domini posseduti dalle più grandi società quotate in borsa nelle maggiori economie del mondo, il 70,5% non è protetto da DMARC.
• Il 51% delle società pubbliche negli Stati Uniti, misurate secondo la classifica Fortune 500, non ha in atto una politica DMARC adeguata.

I record SPF e DKIM sono importanti, ma averli configurati correttamente non è sufficiente quando si tratta di migliorare la propria vulnerabilità DMARC e fermare lo spoofing del dominio. Il tuo record DMARC combina i segnali provenienti da questi e fornisce istruzioni ai server destinatari, indicando loro cosa fare con le email dal tuo dominio che non superano l'autenticazione. Questo può avvenire solo quando DMARC è impostato su p=reject.

DMARC è il pane quotidiano della sicurezza delle email e dei domini, il primo strato fondamentale di protezione per una delle tue risorse digitali più preziose e vulnerabili: il tuo dominio. È pronto e in attesa di proteggere il tuo vettore di minacce più sensibile (l'email) e, a sua volta, di salvaguardare l'intera organizzazione.

Il prodotto di punta di Red Sift, OnDMARC, aiuta le organizzazioni in tutto il mondo a raggiungere p=reject in modo rapido, semplice e affidabile. Perché non iniziare oggi a proteggere la tua vulnerabilità DMARC con una prova gratuita di OnDMARC?