Le minacce di natura Business Email Compromise sono in costante ascesa; Ryan Kalember, EVP Cybersecurity Strategy di Proofpoint ne traccia il profilo.
Se la BEC, o Business Email Compromise, è spesso considerata il problema più costoso in tema di cybersecurity, questo dipende non solo dalla sua crescita costante, ma anche dal suo tasso di successo particolarmente elevato.
Solo tra dicembre 2016 e maggio 2018, il valore delle perdite esposte identificate è aumentato del 136%. E lo stesso FBI ha lanciato lo scorso settembre un allarme sul tema, stimando in circa 26 miliardi di dollari il costo per le imprese di tutto il mondo, dal 2016 a oggi.
La domanda da 26 miliardi di dollari – come difendersi?
L’attacco BEC viene rivolto alle persone e richiede quindi una difesa umana. L’unico modo per proteggersi con successo è assicurarsi che tutti all’interno dell’organizzazione sappiano esattamente come riconoscerlo.
Certo, non è una cosa sempre facile. Il primo passo è quello di formare i dipendenti in modo che possano porsi il dubbio davanti a cambiamenti del comportamento di fornitori, manager, HR, uffici contabilità e simili. Ogni tipo di richiesta o modifica inattesa dovrebbe essere considerata con la massima attenzione.
Tutti i dipendenti di ogni livello dovrebbero praticare solide misure di sicurezza di base – utilizzando password forti e uniche per tutti gli account, non solo quelli connessi al lavoro e utilizzando, ove possibile, l’autenticazione a due fattori.
Sfortunatamente, per la natura stessa degli attacchi BEC, è improbabile che tutte le sessioni di formazione e i sistemi di protezione nel mondo siano in grado di evitare il 100% degli attacchi. Resta il fatto che anche con queste difese in atto, molte compromissioni BEC continuano a passare attraverso la rete – perché un attacco efficace è spesso indistinguibile da una vera richiesta via email.
C’è un semplice passo in più, tuttavia, che può dare un contributo importante per fare sì che un tentativo non diventi un attacco riuscito. Tutto ciò che serve è un cambiamento nelle policy aziendali.
Tutte le organizzazioni dovrebbero prendere in considerazione l’introduzione di sistemi di verifica per determinate richieste, come ad esempio variazioni dei dettagli di pagamento o nuove richieste di pagamento di qualsiasi tipo presentate via email. Semplicemente, se un’azione porta con sé una conseguenza finanziaria, non dovrebbe essere effettuata via email.
Richieste di questo tipo dovrebbero essere verificate in modo indipendente, non per forza all’interno del sistema di posta elettronica aziendale, ma tramite un numero di telefono noto e riconosciuto. Questo semplice passo può annullare settimane, se non mesi, di duro lavoro di un aggressore e mantenere i fondi aziendali fuori dalle loro mani.
Alla fine, gli attacchi BEC funzionano perché appaiono di basso profilo e poco appariscenti. Quindi, piuttosto che cercare di individuare uno specifico indizio, il consiglio è quello di formare i dipendenti a essere vigili su ogni forma di comunicazione via email.
Una verifica in più può comportare qualche minuto di ritardo quando si applica a una richiesta reale e giustificata, ma questo è niente in confronto agli effetti nefasti di un attacco BEC di successo.
