Darktrace: e-mail, anello debole della sicurezza aziendale

Nel suo report Darktrace afferma che molte minacce informatiche provengono dalle e-mail e identifica quattro tipologie di attacco particolarmente sofisticate. Posta elettronica e piattaforme collaborative rappresentano oggi il tessuto connettivo di qualsiasi business digitale. La corrispondenza scritta via mail è il luogo in cui le informazioni aziendali vengono condivise, dove sono elaborati i piani strategici e si formano nuove alleanze.

In Darktrace Cyber AI – An Immune System for E-mail, Darktrace rivela come nell’email security di oggi questo cambiamento di paradigma consista in una reale comprensione unificata e personalizzata del traffico di rete, del cloud e della posta elettronica, che grazie all’applicazione dell’intelligenza artificiale su scala aziendale si è finalmente concretizzata in un approccio ‘immune system’ alla cyber-difesa.

Darktrace ha identificato quattro tipologie di attacco e-mail altamente sofisticate, generalmente in grado di bypassare i sistemi di sicurezza informatici aziendali, ma che grazie all’intelligenza artificiale possono essere facilmente neutralizzati in pochi secondi e ha incluso alcuni esempi significativi di casi che il suo sistema è stato in grado di bloccare, prevenendo ogni possibile danno.

–Spear Phishing e Payload Delivery – l’attacco WeTransfer all’università di Singapore
La maggior parte delle campagne di phishing tenta di ingannare gli utenti invitandoli a cliccare su un link o aprire allegati dannosi contenuti nell’email, con l’obiettivo finale di raccogliere credenziali o di diffondere malware.

Questo genere di attacchi può essere lanciato massivamente oppure sotto forma di “spear phishing”, personalizzando il messaggio per un particolare destinatario o azienda. È il caso della minaccia lanciata tramite e-mail phishing ai danni di un’università di Singapore che ha utilizzato le tipiche notifiche di WeTransfer per inserire all’interno della mail un link malevolo.
Antigena E-mail è stata in grado di cogliere una serie di sottili anomalie, tra cui l’indirizzo IP e la presenza di un link altamente incoerente con quelli solitamente individuati da Darktrace nelle mail WeTransfer autentiche, identificando quest’ultimo come il payload dannoso.

–Supply Chain Account Takeover: quando la minaccia arriva dai fornitori più fidati
Sottrarre e sfruttare i dettagli dell’account di un contatto a partire dai fornitori aziendali con il quale i dipendenti intrattengono spesso scambi di email. I criminali che effettuano la sottrazione dell’account a partire da un fornitore aziendale sono in grado di studiare le precedenti interazioni via email e di generare risposte mirate in base agli ultimi messaggi scambiati.

Le variabili di rischio tipicamente associate agli account takeover della supply chain e indentificate da Antigena Email sono state, oltre all’insolita localizzazione dell’accesso (non nel Regno Unito ma negli Stati Uniti), anche l’”inconsistency” dei link inviati; nonostante fossero ospitati su Microsoft Azure, il dominio risultava essere altamente incoerente per il mittente sulla base della storia della corrispondenza precedente.

–Social Engineering e Solicitation – Attacchi di impersonificazione: quando è un finto capo a chiedere le informazioni
Gli attacchi di social engineering implicano tipicamente un tentativo sofisticato di impersonificazione, in cui gli aggressori inducono il destinatario a rispondere e intrattenere una comunicazione o eseguire una transazione offline. Solitamente, questo tipo di attacco non prevede l’invio di link o allegati dannosi, ma email “pulite”, contenenti solo del testo. Si stima infatti che il 98% degli attacchi informatici scagliati tramite email non contengano malware.

–Compromissione delle credenziali del dipendente: sventato furto in una banca di Panama
Tra il 2016 e il 2019, gli episodi di credenziali violate a danno dei dipendenti aziendali sono aumentati del 280%. A ben vedere però i leader aziendali raramente si rendono conto di quanto sia preziosa una casella di posta elettronica aziendale fino a quando non finisce nelle mani sbagliate. Una volta dentro, gli attori delle minacce godono di un’ampia gamma di opzioni di attacco tra cui scegliere. La facilità con cui gli aggressori possono accedere – sia attraverso campagne di phishing, attacchi brute force, o scambi sul Dark Web – dovrebbe essere motivo di allarme.