Secondo il report reso noto da Darktrace dal titolo Cyber AI – An Immune System for Email oggi il 94% delle minacce informatiche ha ancora origine nella email e le soluzioni di sicurezza informatica tradizionali fatichino a tenere il passo con le innovazioni delle minacce, sempre più complesse e sofisticate.
Peter Firstbrook, VP Analyst di Gartner, ben riassume le dinamiche del mercato affermando che: “I sistemi di controllo tradizionali, come gli antivirus standard, basati sulla reputation e sulle signature e l’anti-spam, possono funzionare per le campagne diffuse ma non sono abbastanza efficaci contro gli attacchi più mirati, sofisticati e avanzati. Oggi più che mai, nella progettazione dei sistemi di sicurezza della posta elettronica, è necessario un cambiamento di mentalità per stare al passo con l’evoluzione del panorama delle minacce in rete”.
Nello studio Darktrace rivela come nell’email security di oggi questo cambiamento di paradigma consista in una reale comprensione unificata e personalizzata del traffico di rete, del cloud e della posta elettronica, che grazie all’applicazione dell’intelligenza artificiale su scala aziendale si è finalmente concretizzata in un approccio ‘immune system’ alla cyber-difesa.
Le 4 tipologie di minacce identificate da Darktrace
Nel report, Darktrace ha identificato quattro tipologie di attacco email altamente sofisticate, generalmente in grado di bypassare i sistemi di sicurezza informatici aziendali, ma che grazie all’intelligenza artificiale possono essere facilmente neutralizzati in pochi secondi e ha incluso alcuni esempi significativi di casi che il suo sistema è stato in grado di bloccare, prevenendo ogni possibile danno.
Spear Phishing e Payload Delivery – l’attacco WeTransfer all’università di Singapore
La maggior parte delle campagne di phishing tenta di ingannare gli utenti invitandoli a cliccare su un link o aprire allegati dannosi contenuti nell’email, con l’obiettivo finale di raccogliere credenziali o di diffondere malware. I numeri del fenomeno sono decisamente allarmanti se si pensa che una email su 99 cela al suo interno un attacco phishing. Questo genere di attacchi può essere lanciato massivamente oppure sotto forma di “spear phishing”, personalizzando il messaggio per un particolare destinatario o azienda.
È il caso della minaccia lanciata tramite email phishing ai danni di un’università di Singapore che ha utilizzato le tipiche notifiche di WeTransfer per inserire all’interno della mail un link malevolo. Negli header del messaggio non erano presenti segnali evidenti che l’email avesse un mittente diverso da WeTransfer, il che l’avrebbe fatta apparire perfettamente normale agli occhi del destinatario. L’attacco aveva aggirato ogni altro sistema di sicurezza signature-based che l’università aveva in atto. Inoltre, il link utilizzava un dominio completamente benigno e non portava a un payload evidentemente dannoso, per questo anche l’analisi euristica e il sandboxing avrebbero fallito.
Antigena Email è stata in grado di cogliere una serie di sottili anomalie, tra cui l’indirizzo IP e la presenza di un link altamente incoerente con quelli solitamente individuati da Darktrace nelle mail WeTransfer autentiche, identificando quest’ultimo come il payload dannoso.
Supply Chain Account Takeover: quando la minaccia arriva dai fornitori più fidati
Sottrarre e sfruttare i dettagli dell’account di un contatto a partire dai fornitori aziendali con il quale i dipendenti intrattengono spesso scambi di email, è un’altra tecnica sempre più diffusa perché porta chi attacca a guadagnarsi facilmente la fiducia del destinatario inducendolo a cliccare su link dannosi o, nella peggiore delle ipotesi, a trasferire milioni di euro dall’attività.
Si stima che le perdite derivanti da account takeover siano più che triplicate nell’ultimo anno, raggiungendo la cifra di 5,1 miliardi di dollari.
I criminali che effettuano la sottrazione dell’account a partire da un fornitore aziendale sono in grado di studiare le precedenti interazioni via email e di generare risposte mirate in base agli ultimi messaggi scambiati. Il linguaggio usato spesso appare benevolo e innocuo, ed è il motivo per cui gli strumenti di sicurezza tradizionali basati sulla ricerca di parole chiave o frasi indicative di phishing non sono in grado di cogliere queste minacce.
In uno dei casi riportati da Darktrace nell’Email Threat Report, il mittente della mail – una società di consulenza con sede nel Regno Unito, era ben noto all’azienda, e diversi utenti interni avevano intrattenuto scambi di email in precedenza. Uno dei dipendenti era impegnato in una normale corrispondenza con l’account incriminato. Meno di due ore dopo questo scambio di routine, sono state inviate email a 39 utenti aziendali, ciascuna contenente un link di phishing. Le variabili di rischio tipicamente associate agli account takeover della supply chain e indentificate da Antigena Email sono state, oltre all’insolita localizzazione dell’accesso (non nel Regno Unito ma negli Stati Uniti), anche l’”inconsistency” dei link inviati; nonostante fossero ospitati su Microsoft Azure, il dominio risultava essere altamente incoerente per il mittente sulla base della storia della corrispondenza precedente. Infine, l’anomalia del gruppo dei destinatari della mail, che abitualmente non ricevevano mail dallo stesso mittente, e la devianza dagli argomenti solitamente discussi intercettata da Antigena Email hanno permesso l’individuazione e l’eliminazione immediata della minaccia.
Social Engineering e Solicitation – Attacchi di impersonificazione: quando è un finto capo a chiedere le informazioni
Gli attacchi di social engineering implicano tipicamente un tentativo sofisticato di impersonificazione, in cui gli aggressori inducono il destinatario a rispondere e intrattenere una comunicazione o eseguire una transazione offline. Solitamente, questo tipo di attacco non prevede l’invio di link o allegati dannosi, ma email “pulite”, contenenti solo del testo. Si stima infatti che il 98% degli attacchi informatici scagliati tramite email non contengano malware.
All’interno di una multinazionale operante nel settore tecnologico, per esempio, Darktrace ha individuato un attacco a 30 dipendenti, durante il quale il cybercriminale ha accuratamente impersonificato il dirigente in azienda con cui era maggiormente probabile che i dipendenti comunicassero. L’oggetto di ogni email includeva il nome del dipendente interessato e proveniva da un indirizzo Gmail apparentemente non correlato, ma con un nome di dominio molto somigliante a quello dell’executive. Darktrace non solo ha identificato i tentativi di impersonificazione riconoscendo che non vi era mai stata una relazione tra il mittente e l’organizzazione ma ha anche stabilito che l’aggressore stava usando una parodia del legittimo indirizzo personale esterno del capo.
Compromissione delle credenziali del dipendente: sventato furto in una banca di Panama
Tra il 2016 e il 2019, gli episodi di credenziali violate a danno dei dipendenti aziendali sono aumentati del 280%. A ben vedere però i leader aziendali raramente si rendono conto di quanto sia preziosa una casella di posta elettronica aziendale fino a quando non finisce nelle mani sbagliate. Una volta dentro, gli attori delle minacce godono di un’ampia gamma di opzioni di attacco tra cui scegliere. La facilità con cui gli aggressori possono accedere – sia attraverso campagne di phishing, attacchi brute force, o scambi sul Dark Web – dovrebbe essere motivo di allarme.
Passando a un caso concreto, è stato proprio un account Office 365 compromesso il punto di origine di un attacco brute force contro una nota banca di Panama, con accessi provenienti da un Paese che discostava ampiamente dai normali percorsi delle operazioni della società. Darktrace ha identificato 885 accessi in un periodo di 7 giorni. Mentre la maggior parte delle autenticazioni aveva avuto origine da indirizzi IP di Panama, il 15% di esse partiva da un indirizzo IP in India. Un’ulteriore analisi aveva rivelato che questo endpoint esterno era stato incluso in diverse black list di spam e che era stato associato recentemente a comportamenti illeciti online. Darktrace ha poi intercettato ciò che sembrava essere un abuso della funzione di reimpostazione della password. Infatti, dopo il reset della password sospetto, sono stati osservati tentativi di log-in falliti da un IP normalmente associato all’organizzazione, suggerendo che l’utente legittimo fosse stato bloccato.
