Business Email Compromise: la minaccia che non usa malware

Molti immaginano un attacco informatico come codice malevolo che sfonda le difese. Il Business Email Compromise non funziona così: non c’è un exploit, spesso non c’è alcun malware. C’è una persona convinta a fare qualcosa che sembra del tutto normale — approvare un bonifico, aggiornare le coordinate bancarie di un fornitore — verso il destinatario sbagliato.

Proprio perché non usa strumenti tecnici, il BEC scivola sotto i controlli pensati per il malware. L’antivirus non ha nulla da segnalare: l’email è autentica o quasi, la richiesta è plausibile, il tono è quello di sempre. È un attacco al processo e alla fiducia, non al sistema — e per questo si difende soprattutto con il processo.

Come si presenta

Le varianti ricorrono. La frode del CEO: un dirigente sembra chiedere con urgenza e riservatezza un pagamento fuori procedura. La frode del fornitore: qualcuno, a nome di un fornitore reale, comunica un cambio di coordinate bancarie poco prima di una fattura attesa. Il dirottamento del pagamento: l’attaccante, dopo aver letto per settimane la corrispondenza reale, si inserisce nel momento esatto della transazione. In tutti i casi la leva è la stessa: una richiesta credibile che aggira i controlli abituali.

Spesso c’è un account compromesso dietro

Il BEC più efficace non spoofa soltanto un indirizzo: parte da una casella reale già compromessa, di solito via phishing delle credenziali. Da lì l’attaccante osserva, impara il linguaggio e i tempi, e colpisce dall’interno. Un segnale ricorrente è la creazione di regole di posta nascoste che spostano o cancellano automaticamente certi messaggi, così la vittima non vede le risposte che smaschererebbero la frode.

La difesa è nel processo di pagamento

Contro un attacco al processo, il controllo più efficace è di processo. Ogni cambio di coordinate bancarie e ogni pagamento sopra soglia va verificato su un canale indipendente: una telefonata a un numero già noto — mai quello indicato nell’email sospetta — verso un referente confermato. Aggiunga la doppia autorizzazione per i pagamenti rilevanti, così nessuna singola persona può disporre un trasferimento da sola. Sono controlli semplici che neutralizzano proprio la leva su cui il BEC fa affidamento: l’urgenza e l’aggiramento della verifica.

Rilevamento e riduzione della superficie

Sul piano tecnico, l’autenticazione a più fattori riduce il valore delle credenziali rubate; il monitoraggio delle regole di posta e degli accessi anomali — come login da luoghi geograficamente incompatibili nello stesso arco di tempo — aiuta a scoprire un account compromesso prima che agisca. Autenticare il proprio dominio con SPF, DKIM e DMARC rende più difficile lo spoofing verso l’esterno. Nessuno di questi controlli, da solo, ferma il BEC: insieme ne riducono la superficie e ne accelerano la scoperta.

Se il bonifico è già partito

La velocità è tutto. Se se ne accorge in fretta, contatti subito la Sua banca per tentare il richiamo dei fondi: nelle prime ore le probabilità di bloccarli o recuperarli sono molto più alte. Segnali l’accaduto alle autorità competenti, cambi le credenziali compromesse e cerchi le regole di posta lasciate dall’attaccante. E lo tratti come un incidente vero, con la stessa cura per le prove: capire come è successo evita che accada di nuovo.

Il problema non è la persona che ha cliccato

Dopo una frode è facile puntare il dito su chi ha disposto il pagamento. È un errore, e per due motivi. Primo, gli attacchi migliori sono costruiti apposta per ingannare persone attente: colpiscono nel momento giusto, con il tono giusto, sfruttando una transazione reale e attesa. Secondo, se una singola persona che si fida può muovere fondi da sola, il difetto è nel processo, non nell’individuo. La formazione aiuta a riconoscere i segnali, ma è un controllo fragile se è l’unico: le persone hanno giornate storte, e gli attaccanti contano proprio su quelle. I controlli di processo, invece, tengono anche quando l’attenzione cala.

In sintesi

Il Business Email Compromise è una minaccia informatica che non usa quasi mai strumenti informatici: sfrutta la fiducia e i buchi nel processo di pagamento. Si difende meno con un prodotto e più con una regola: verifichi ogni cambio di coordinate e ogni pagamento rilevante su un canale indipendente, esiga una doppia autorizzazione, e consideri normale la verifica. Se la richiesta è legittima, una telefonata non costa nulla. Se non lo è, quella telefonata è tutto.