Check Point Software Technologies, specialista globale nelle soluzioni di sicurezza informatica, rivela di aver individuato e bloccato una campagna di phishing via e-mail su larga scala che utilizzava offerte fraudolente, facendo leva sulle difficoltà economiche delle vittime e promettendo la cancellazione del debito, al fine di indurre i destinatari a chiamare numeri di telefono controllati dagli autori dell’attacco. Nelle ultime due settimane, Check Point ha rilevato circa 24.700 e-mail associate alla campagna, rivolte a utenti di oltre 9.000 organizzazioni, a dimostrazione sia della portata dell’operazione sia della continua evoluzione del phishing, che va ormai oltre i link e gli allegati dannosi.
La campagna evidenzia un rischio aziendale in crescita: il phishing non ha più bisogno di un link malevolo evidente, di un allegato o di un mittente falsificato per essere efficace. Gli autori degli attacchi stanno trasformando e-mail dall’aspetto banale in un punto di accesso per conversazioni apparentemente affidabili per portare gli utenti al di fuori dei controlli tradizionali.
L’attacco: trasformare l’ansia economico-finanziaria in un vettore di ingegneria sociale
I messaggi sono concepiti per sembrare comunicazioni legittime relative ad assistenza finanziaria o alla riduzione del debito. Informano i destinatari che potrebbero avere diritto a programmi di sostegno in caso di difficoltà, consolidamento del debito, riduzioni delle rate o altre forme di assistenza finanziaria e li incoraggiano a chiamare un numero di telefono indicato per ulteriori informazioni.
Anziché fare affidamento su un sito per il furto di credenziali o su un payload di malware, l’e-mail è progettata per creare un senso di urgenza e spingere il destinatario a una conversazione in tempo reale con l’autore dell’attacco.
Una volta che il destinatario chiama il numero, l’autore dell’attacco può proseguire l’interazione per telefono, dove i tradizionali controlli di sicurezza delle e-mail non hanno più alcuna visibilità. L’obiettivo può essere quello di ottenere informazioni personali o finanziarie sensibili, raccogliere dati di pagamento, instaurare un rapporto di fiducia in vista di successive frodi o spostare la vittima su un altro canale di comunicazione controllato dall’autore dell’attacco.
Il numero di telefono è il percorso di conversione, l’attacco di phishing ha inizio nella casella di posta in arrivo.
Immagine 1 – esempio di e-mail fraudolenta
Rilevare il phishing senza i soliti indicatori
Molti controlli tradizionali di sicurezza delle e-mail sono stati sviluppati sulla base di indicatori quali URL malevoli, malware noti, allegati sospetti, reputazione del dominio e autenticazione del mittente. Questi segnali rimangono importanti, ma campagne come questa dimostrano perché non sono più sufficienti da soli.
Un messaggio di phishing relativo alla cancellazione dei debiti potrebbe non contenere alcun allegato eseguibile né alcun link di phishing convenzionale. Il linguaggio può assomigliare molto a quello utilizzato nel marketing finanziario legittimo e l’azione richiesta, ovvero chiamare un numero di telefono, è di per sé una pratica comune. La decisione in materia di sicurezza dipende quindi in larga misura dalla comprensione dell’intento e del contesto del messaggio, piuttosto che dalla semplice identificazione di un oggetto dannoso noto.
Considerando la portata osservata da Check Point (circa 24.700 messaggi inviati a oltre 9.000 organizzazioni in soli 14 giorni) questi attacchi dimostrano la rapidità con cui gli autori possono diffondere campagne di ingegneria sociale a un ampio numero di aziende.
Check Point Email Security è progettato per rilevare e prevenire il phishing in base all’intento del messaggio, al rischio per l’utente e al contesto della campagna, non solo alla presenza di link o allegati dannosi noti. L’analisi basata sull’intelligenza artificiale identifica l’intento, non solo gli indicatori. Check Point valuta il linguaggio del messaggio, la struttura, il comportamento del mittente, il contesto e l’azione richiesta per rilevare il phishing nei casi in cui l’elemento dannoso sia lo scopo stesso del messaggio piuttosto che un file o un link.
Le informazioni sulle minacce forniscono un contesto più ampio della campagna. I segnali provenienti dall’intelligenza artificiale di Check Point ThreatCloud aiutano a collegare le attività osservate in diversi ambienti, consentendo di valutare i singoli messaggi come parte di un modello di attacco più ampio piuttosto che come e-mail isolate.
La protezione copre le tattiche attualmente utilizzate dagli aggressori. Check Point Email Security valuta l’intero messaggio e l’azione che è destinato a innescare, comprese le campagne che si avvalgono di numeri di telefono, codici QR, servizi cloud legittimi, account compromessi o altre tattiche che eludono i modelli di rilevamento tradizionali.
La prevenzione avviene prima che l’utente interagisca. Check Point Email Security blocca i messaggi malevoli prima che raggiungano la posta in arrivo, riducendo il rischio che gli utenti vengano coinvolti in conversazioni controllate dagli autori degli attacchi, dove i team di sicurezza hanno minore visibilità e meno punti di intervento.
Il phishing riguarda sempre più la fiducia, non solo le infrastrutture dannose
Questa campagna riflette un cambiamento più ampio nel panorama delle minacce. Gli autori degli attacchi riconoscono sempre più spesso che non è sempre necessario creare infrastrutture palesemente dannose. Possono invece sfruttare processi aziendali familiari, canali di comunicazione affidabili, preoccupazioni finanziarie e comportamenti umani. Per i team di sicurezza, ciò sposta l’attenzione dal semplice chiedersi se un’e-mail contenga qualcosa di dannoso al determinare se l’e-mail stia tentando di provocare un’azione malevola.
La distinzione è sempre più importante man mano che le organizzazioni introducono assistenti basati sull’intelligenza artificiale e flussi di lavoro automatizzati in grado di leggere, riassumere, dare priorità e agire sui messaggi insieme agli utenti umani. La sicurezza delle e-mail deve quindi comprendere sia le componenti tecniche di un messaggio sia l’intento che vi sta dietro.
Prevenire l’attacco prima che diventi una conversazione
Sulla scala osservata da Check Point, questa campagna dimostra quanto rapidamente gli autori degli attacchi possano mettere in atto tecniche di ingegneria sociale basate sulle e-mail senza ricorrere ai tradizionali payload dannosi. Inoltre, ribadisce il motivo per cui le organizzazioni necessitano di una sicurezza e-mail in grado di interpretare le intenzioni, riconoscere le manipolazioni e prevenire azioni rischiose da parte degli utenti prima ancora che abbiano inizio.
Check Point Email Security combina il rilevamento del phishing basato sull’intelligenza artificiale, l’intelligence globale sulle minacce, l’analisi comportamentale e una protezione incentrata sulla prevenzione per identificare e bloccare questi attacchi prima che raggiungano gli utenti.
