Molteplici gli obiettivi dei criminali: lanciare campagne di phishing, vendita al mercato nero, attacchi di Business Email Compromise

La geografia del phishing: da dove partono e passano gli attacchi?

Nell’ultimo numero di Threat Spotlight, Barracuda analizza nel dettaglio motivazioni e dati demografici alla base degli episodi di Account Takeover – in cui i cyber criminali rubano le credenziali dei dipendenti e le usano per inviare e-mail dall’account reale dell’utente – che stanno aumentando in frequenza e portata.

La minaccia

Gli attacchi account takeover (ATO) hanno più obiettivi.

Alcuni criminali tentano di utilizzare l’account e-mail compromesso per lanciare campagne di phishing, altri rubano le credenziali di altri dipendenti e per venderle al mercato nero, altri ancora utilizzano l’account per lanciare attacchi personalizzati. I criminali più sofisticati rubano le credenziali di un dipendente chiave (ad esempio, CEO o CFO) e le utilizzano per lanciare un attacco di Business Email Compromise da un indirizzo email reale.

Per comprendere meglio l’entità di questa minaccia, il team Barracuda Sentinel ha condotto uno studio su 50 organizzazioni selezionate a caso. Queste organizzazioni, appartenenti a diversi settori, tra cui pubblico, privato e istituzioni, hanno segnalato furti di account nell’arco di tre mesi, dall’inizio di aprile a fine giugno 2018. Va considerato che questo studio potrebbe sottostimare il numero di sottrazioni di account, dal momento che alcuni attacchi potrebbero aver avuto luogo a insaputa dell’organizzazione.

Mese Aprile 2018 Maggio 2018 Giugno 2018 Totale
Numero di organizzazioni che hanno subito un account takeover 8 7 4 19
Numero di attacchi spam 3 5 2 10
Numero di attacchi phishing 13 30 4 47
Numero di attacchi mediante attachment 1 2 0 3
Numero totale di attacchi account takeover 17 37 6 60

La tabella sopra include un riepilogo degli episodi riportati da queste organizzazioni. Un account takeover ha luogo quando l’email di un dipendente viene utilizzata da un criminale per inviare email ad altri destinatari, sia all’interno sia all’esterno dell’azienda.

Complessivamente, ogni mese 4-8 organizzazioni hanno segnalato almeno un episodio di sottrazione di account, per un totale di 60 episodi segnalati. In media, quando un’azienda viene compromessa, subisce almeno tre episodi di account takeover, dove a essere colpiti possono essere gli stessi dipendenti o dipendenti diversi.

Barracuda ha inoltre analizzato il tipo di episodi. Su 60 attacchi, il 78% ha generato un’email di phishing, dove l’obiettivo dell’aggressore era tipicamente quello di infettare ulteriori account interni ed esterni. L’email di solito impersona il dipendente e chiede al destinatario di cliccare su un link. A volte, i criminali hanno fatto apparire l’e-mail come se il dipendente stesse inviando un invito a un link da un popolare servizio web, come OneDrive o Docusign.

Un altro 17% degli episodi è stato utilizzato per l’invio di campagne spam. La ragione per cui i criminali amano utilizzare account compromessi come veicoli per il lancio di spam è che gli account hanno spesso una buona reputazione: provengono da domini affidabili, dall’IP corretto e da persone reali che hanno una cronologia email legittima. Pertanto, è molto probabile che vengano bloccati dai sistemi di sicurezza della posta elettronica che si basano su dominio, mittente o reputazione IP.

Nel restante 5% degli episodi, l’aggressore chiedeva al destinatario di scaricare un allegato. Questi tentativi riguardavano tutti il traffico di posta elettronica interno. Si tratta di un attacco molto efficace perché la maggior parte dei sistemi di sicurezza delle e-mail non esegue la scansione del traffico interno alla ricerca di minacce. Pertanto, gli aggressori possono inviare malware con relativa facilità internamente e i destinatari spesso apriranno gli allegati, causando l’infezione dei loro endpoint.

Barracuda ha inoltre analizzato il ruolo dei dipendenti attaccati. Nell’arco di 3 mesi, 50 account email diversi sono stati compromessi (alcuni lo sono stati più volte):

Numero di dipendenti compromessi 60
Percentuale di executive 6%
Percentuale appartenente a dipartimenti sensibili 22%

Solo il 6% dei dipendenti compromessi era dirigente. Infatti, la stragrande maggioranza ricopriva ruoli entry-level e mid-management. Ciò dimostra che l’acquisizione di account è un fenomeno diffuso e non si rivolge solo ai livelli più alti. Spesso, i dipendenti di livello inferiore sono considerati obiettivi migliori, perché hanno meno formazione sulla sicurezza informatica. Inoltre, poiché molti episodi vengono utilizzati per phishing di altri dipendenti o di utenti esterni, gli hacker sono alla ricerca di qualsiasi modo per entrare nella rete. Una volta dentro, possono sfruttare a proprio vantaggio la reputazione dell’azienda e del suo marchio.

Il 22% degli episodi ha colpito dipendenti di reparti sensibili (risorse umane, IT, finance e legal). Il numero complessivo di dipendenti di questi dipartimenti all’interno delle organizzazioni prese in esame è molto inferiore al 22%. Pertanto, questo dimostra che mentre questi episodi sono diffusi, ci sono ancora reparti specifici preferiti dai criminali, in quanto obiettivi più redditizi per informazioni e furti finanziari.