Business Email Compromise: attenzione alle nuove truffe via mail

Si chiamano Business Email Compromise (BCE) e sono uno dei metodi preferiti negli ultimi tempi dagli hacker per truffare inconsapevoli, o poco attenti, utenti, siano questi privati o intere aziende. L’obiettivo delle Business Email Compromise è quella di indurre chi casca nella rete di trasferire fondi dai conti bancari  ai criminali.

Secondo l’Internet Crime Report 2019 dell’FBI, il totale delle perdite annuali generate dalle truffe BEC nei soli Stati Uniti ha raggiunto 1,7 miliardi di dollari. Le truffe BEC hanno anche rappresentato la metà di tutte le perdite derivanti dalle attività della criminalità informatica negli Stati Uniti nel 2019, facendo di questo tipo di attacchi la prima minaccia informatica, in termini di danni economici. Il gigante delle assicurazioni AIG lo ha confermato, segnalando le truffe BEC come la principale ragione alla base delle richieste di risarcimento assicurativo per crimini informatici nel 2018, seguita da ransomware e violazioni di dati.

Come agisce Business Email Compromise

Inizialmente, le Business Email Compromise utilizzavano l’hacking o lo spoofing degli account e-mail dei CEO o dei CFO delle aziende al fine di richiedere il trasferimento di fondi su conti correnti controllati dai criminali. Nel corso degli anni, questi attacchi sono diventati sempre più sofisticati, soprattutto sotto il profilo del social engineering. Invece di prendere di mira direttamente le aziende, gli attacchi si rivolgono ora a clienti, dipartimenti HR, fornitori, commercialisti e studi legali, e persino alle autorità fiscali. Oltre a generare o a deviare direttamente le transazioni in valuta, le truffe BEC sono state utilizzate per acquistare in modo fraudolento gift card, deviare le dichiarazioni dei redditi e persino trasferire hardware e attrezzature per milioni di dollari sotto il controllo dei criminali informatici.

I trasferimenti di denaro non sono l’unico modo per rubare soldi attraverso gli attacchi Business Email Compromise. In molti casi è stato più facile persuadere i funzionari dell’azienda ad acquistare gift card piuttosto che effettuare un trasferimento diretto di fondi. In questo modo, i criminali non sono tenuti a creare conti bancari fraudolenti e i dati delle gift card possono essere venduti online nei forum per circa il 70% del loro valore effettivo. Le truffe BEC con le gift card sono particolarmente diffuse durante le festività natalizie e il recupero dei soldi è quasi impossibile. I fornitori di gift card più popolari utilizzati nelle frodi BEC sono Google Play, eBay, Target e Walmart e, secondo i ricercatori, le gift card sono utilizzate in oltre il 60% delle truffe BEC.

LEGGI ANCHE; COVID-19, gli aiuti finanziari ci sono, ma attenzione alle truffe

Nessuno è immune

Le truffe BEC colpiscono tutti i settori da quello immobiliare a quello dell’arte, a quello governativo, a quello degli enti locali e persino all’esercito. In una di queste frodi, resa nota nel 2019, un appaltatore della difesa statunitense ha inviato apparecchiature per un ordine falso del valore di oltre 10 milioni di dollari, inclusi 3,2 milioni di dollari di apparecchiature di intercettazione delle comunicazioni altamente sensibili. Il criminale ha inviato un falso ordine di acquisto utilizzando un falso indirizzo e-mail Yahoo! che terminava con “navy-mil.us”. L’attrezzatura è stata spedita e ricevuta in un ufficio che, dopo ulteriori indagini, ha rivelato l’identità della persona che l’ha contrattata, portando al suo arresto. Il successo delle truffe BEC richiede, oltre al falso account e-mail, la conoscenza dettagliata dell’identità dei funzionari da contattare, il tono e il fraseggio dell’ordine di acquisto e del gergo di comunicazione, e la conoscenza dell’attrezzatura giusta da ordinare.

I consigli di Check Point

Per proteggere la propria azienda o semplicemente per essere meno soggetti a questi tipi di email fraudolente, Check Point Software consiglia di:

• Proteggere il traffico e-mail con almeno una soluzione avanzata di sicurezza e-mail di un fornitore conosciuto. I vendor di nicchia e le soluzioni open-source potrebbero causare più danni che benefici.
• Proteggere la navigazione mobile ed endpoint con soluzioni avanzate di sicurezza informatica, che impediscono la navigazione verso siti web di phishing, conosciuti o sconosciuti.
• Utilizzare l’autenticazione a due fattori per verificare qualsiasi modifica delle informazioni dell’account o delle istruzioni per i bonifici.
• Educare continuamente i propri utenti finali: ogni volta che vengono effettuate azioni irreversibili come il trasferimento di denaro, i dettagli della transazione devono essere verificati con mezzi aggiuntivi come la comunicazione verbale e non devono basarsi esclusivamente sulle informazioni provenienti dalla corrispondenza via e-mail.
• Controllare l’indirizzo e-mail completo di ogni messaggio e prestare attenzione ai collegamenti ipertestuali che possono contenere errori di ortografia del nome del dominio.
• Non fornire credenziali di accesso o informazioni personali in risposta a un testo o a una e-mail.
• Seguire le best practice di sicurezza.
• Monitorare regolarmente i conti bancari.
• Aggiornare costantemente i software e i sistemi.
• Assicurarsi di utilizzare una soluzione avanzata di sicurezza e-mail che blocchi gli attacchi di phishing sofisticati come quelli BEC, per evitare che raggiungano le caselle e-mail dei dipendenti.