Case Study · Servizi alle imprese
Frode via Business Email Compromise in un’azienda di servizi
- 1 casellaCompromessa e usata per la frode
- ~4 settimaneIndagine e remediation dei controlli
- 2 controlliVerifica fuori banda resa obbligatoria
La sfida
Un’azienda di servizi ha saldato quella che sembrava una fattura ordinaria di un fornitore abituale, su coordinate bancarie aggiornate. Le coordinate erano fraudolente: un attaccante aveva accesso a una casella di posta e aveva seguito lo scambio per settimane prima di intervenire.
La direzione doveva capire come fosse potuto accadere, se altri pagamenti fossero a rischio e quali dati fossero stati esposti — senza trasformare l’episodio in una caccia alle colpe interna.
Contava anche la tenuta delle evidenze: gli stessi log e messaggi utili a ricostruire l’accaduto potevano servire, in seguito, per un’azione di recupero, una comunicazione alle autorità o una controversia. Trattarli con rigore fin dall’inizio significava non doversene pentire dopo.
Il mio approccio
Ho ricostruito l’accesso alla casella dai log di autenticazione e dalle regole di posta, individuando le regole nascoste con cui l’attaccante intercettava e deviava i messaggi rilevanti, e delimitato con precisione la finestra della compromissione.
Dall’indagine è emerso il vero punto debole: la modifica delle coordinate bancarie di un fornitore non richiedeva alcuna verifica indipendente. Ho introdotto una verifica fuori banda obbligatoria e una doppia approvazione per i cambi di anagrafica e i pagamenti oltre soglia.
Sul fronte del rilevamento ho attivato l’allerta sulle regole di posta anomale e sugli accessi improbabili, e sintetizzato l’accaduto in una nota per la direzione con le azioni immediate verso banca e assicurazione.
