Immaginiamo di aprire la casella di posta e trovare, in un solo giorno, 1.500 nuove email non lette provenienti da newsletter di aziende diverse. Non si tratta di semplice spam fastidioso, ma di una versione di una tattica di denial of service (DoS) calcolata e aggiornata che sta rapidamente guadagnando popolarità come sofisticato vettore di attacco.
Mentre l’utente si affanna a eliminare tanta posta indesiderata per liberare la casella di posta, si perde una singola notifica importante: forse un avviso di cambio password o di avvio di un bonifico bancario. In questo consistono gli attacchi di subscription bombing, che avvengono in raffiche brevi e a una velocità di migliaia di email all’ora, per sopraffare la vittima, rendendo la sua casella di posta inutilizzabile e distraendola dall’attività malevola, come l’appropriazione di account o il blocco dell’accesso.
A differenza degli attacchi tradizionali che si basano su payload come link dannosi o malware, il subscription bombing sfrutta il marketing legittimo. I cybercriminali utilizzano bot automatizzati per scansionare il web alla ricerca di moduli di iscrizione a newsletter non protetti – ovvero quelli privi di captcha – e inseriscono l’indirizzo email della vittima in migliaia in modo simultaneo.
Le email che l’utente riceve provengono da domini legittimi, come Mailchimp, HubSpot e aziende reali, e dispongono della corretta autenticazione (SPF/DKIM), rendendole invisibili ai filtri antispam tradizionali e anche ai gateway di sicurezza email legacy, dando così l’impressione che l’utente si sia iscritto volontariamente.
Un’ulteriore tecnica è quella messa in atto dal gruppo ransomware Black Basta. Mentre l’utente è disorientato da tante email di iscrizione, i cybercriminali lo contattano tramite Microsoft Teams, spacciandosi per un team di supporto IT per aiutarlo a risolvere il problema dello spam. Il risultato è quello di indurre la vittima con l’inganno a scaricare strumenti di accesso remoto, come AnyDesk o Quick Assist, compromettendo in questo modo le prestazioni della rete.
La tattica del subscription bombing si è estesa ad altri canali, amplificando ulteriormente il volume già elevato registrato di questi attacchi di distrazione. Attraverso l’uso di moduli transazionali, le vittime possono ricevere migliaia di risposte automatiche del tipo “grazie per averci contattato”, più difficili da bloccare poiché non richiedono un clic di conferma come passaggio preliminare.
Un altro esempio è la cosiddetta MFA fatigue, in cui il dispositivo mobile della vittima riceve un numero infinito di SMS o codici finché non accetta una richiesta di accesso fraudolenta pur di far cessare le notifiche.
Di fronte ad attaccanti che trasformano il traffico legittimo in un’arma per nascondere le prove delle loro attività criminali, la difesa deve concentrarsi sulla comprensione del comportamento e non solo sulla cattiva reputazione, insieme a sistemi di verifica robusti affinché, indipendentemente da quanto rumore generino i cybercriminali, la sicurezza rimanga chiara, trasformando un attacco DoS paralizzante in un incidente senza impatto.
Di Marco Zani, country manager di Proofpoint
