La business email compromise (BEC) è una categoria distinta di reato finanziario, non una variante del phishing che per caso prende di mira i dirigenti. Il phishing ha successo inducendo qualcuno a fare clic su qualcosa su cui non dovrebbe cliccare. La business email compromise funziona senza tutto questo meccanismo: l’intero attacco consiste in un’email ben architettata che chiede a una persona specifica di compiere un’azione perfettamente plausibile all’interno di una normale giornata lavorativa. Gli incidenti più gravi possono comportare il trasferimento di cifre a sei zeri in una sola transazione e, nel momento in cui qualcuno se ne accorge, il denaro ha solitamente già lasciato il Paese.

Nessuno dei segnali solitamente rilevati da un filtro anti-phishing o da un dipendente ben addestrato viene identificato. Questo è ciò che distingue la business email compromise dal phishing ordinario, ed è il motivo per cui la consapevolezza generale sul phishing può fare ben poco per fermarla. Ti mostreremo come individuare la business email compromise e proteggere la tua organizzazione.

Cos’è la business email compromise?

La business email compromise è un attacco mirato in cui un criminale si finge una persona di cui il bersaglio si fida, solitamente un dirigente di alto livello, un fornitore o un collega interno, e richiede un bonifico bancario, una modifica ai dettagli di pagamento o credenziali riservate.

In genere non sono coinvolti né malware(nuova finestra) né link dannosi. Ciò che varia è il modo in cui l’identità del mittente viene falsificata, e gli aggressori hanno a disposizione più opzioni di quante la maggior parte delle persone immagini:

  • Domini lookalike: l’aggressore registra un dominio quasi identico a quello reale, scambiando una singola lettera o aggiungendo un trattino, e fa affidamento sul fatto che nessuno leggerà l’indirizzo con attenzione.
  • Spoofing del nome visualizzato: il nome visualizzato “da” viene impostato in modo da corrispondere alla persona attendibile — “Mario Rossi” — mentre l’indirizzo reale è del tutto diverso. Molti client di posta per dispositivi mobili mostrano per impostazione predefinita solo il nome visualizzato, quindi l’indirizzo reale non compare nemmeno sullo schermo.
  • Spoofing dell’intestazione: SMTP, il protocollo che gestisce le email, non verifica autonomamente l’intestazione “Da”, quindi un aggressore può inviare un messaggio che afferma di provenire dall’indirizzo reale senza averne mai avuto il controllo. Il fatto che arrivi o meno nella posta in arrivo dipende dai controlli di autenticazione del dominio di destinazione.
  • Manipolazione dell’indirizzo di risposta: l’indirizzo “Da” visibile sembra legittimo, ma dietro di esso è impostato un indirizzo Reply-To diverso, così nel momento in cui il destinatario risponde, la conversazione viene reindirizzata in silenzio verso l’aggressore.
  • Compromissione dell’account: l’aggressore ottiene l’accesso a un account email autentico e invia la richiesta direttamente dall’interno.

L’ultima di queste opzioni, la compromissione dell’account, è la più difficile da individuare, perché tecnicamente non c’è assolutamente nulla di anomalo nell’email. Proviene dall’indirizzo reale, sul vero dominio email personalizzato, e può persino proseguire un thread già noto al destinatario.

Come funziona la strategia della business email compromise

Gli attacchi di business email compromise sono pianificati con cura, non improvvisati, ed è nella preparazione che si concentra solitamente la maggior parte degli sforzi dei criminali.

Ricerca

Tutto inizia con la ricognizione: i profili LinkedIn rivelano ruoli e gerarchie aziendali, i comunicati stampa annunciano fusioni, round di finanziamento o nuovi accordi con i fornitori, e una risposta automatica di assenza può fornire all’aggressore l’informazione fondamentale: la conferma che il dirigente reale è attualmente irraggiungibile.

Scelta del bersaglio

Da lì, l’aggressore passa alla selezione del bersaglio. Non tutti i dipendenti sono utili per un tentativo di business email compromise; il bersaglio deve essere qualcuno che ha l’autorità per trasferire denaro o modificare i dettagli di pagamento, il che di solito restringe il campo all’amministrazione, alla contabilità fornitori, alle risorse umane o alla gestione stipendi.

Inizio dell’usurpazione d’identità

Una volta scelti il bersaglio e una storia plausibile, si passa all’usurpazione d’identità, tramite un dominio simile contraffatto o una casella email effettivamente compromessa, adattando il tono, la firma e il livello di formalità a quelli che userebbe il vero mittente.

Presa di contatto

L’aggressore interagisce con qualcuno all’interno dell’azienda, avanzando una richiesta urgente. Può trattarsi di un’acquisizione che deve essere conclusa oggi stesso, di un revisore che ha bisogno di dati finanziari immediati o di un collega in difficoltà che non riesce a comunicare al telefono.

Di solito, la richiesta riguarda un bonifico bancario, una modifica delle coordinate bancarie o credenziali di login, presentata come un’operazione che deve essere eseguita immediatamente e senza indugi.

Quattro scenari comuni di business email compromise

Ecco alcune delle tattiche di business email compromise più comuni utilizzate dagli aggressori.

Frode del CEO

Un’email sembra provenire dal CEO, dall’amministratore delegato o da un altro dirigente di alto livello e chiede a un membro del team finanziario di elaborare un pagamento urgente e spesso riservato. L’apparente importanza del mittente gioca un ruolo decisivo, poiché pochi dipendenti si sentono a proprio agio nel mettere in discussione una richiesta proveniente dai vertici.

Frode della fattura

Un fornitore con cui l’azienda lavora già sembra comunicare una modifica delle coordinate bancarie, solitamente poco prima della scadenza di una fattura reale. Poiché esistono già una relazione commerciale e un pagamento autentici, questa variante è spesso la più difficile da intercettare per il team finanziario ed è responsabile di alcune delle perdite più ingenti registrate dalle aziende.

Deviazione dello stipendio

Un’email che impersona un dipendente, o talvolta l’ufficio risorse umane stesso, chiede all’amministrazione del personale di aggiornare le coordinate bancarie prima della successiva elaborazione delle buste paga. La richiesta è abbastanza comune e ordinaria da passare spesso inosservata, ed è proprio per questo che funziona.

Impersonificazione del supporto IT

Un messaggio che finge di provenire dall’IT interno o dall’helpdesk chiede a un dipendente di confermare una password o approvare una richiesta di accesso prima di un aggiornamento di sistema. A differenza degli altri tre casi, questo scenario non punta direttamente al denaro, ma alle credenziali che rendono molto più facile condurre qualsiasi altra forma di business email compromise.

Quanto costa realmente la business email compromise

Le perdite dovute alla business email compromise vengono segnalate in modo diverso rispetto alle normali frodi con carta di credito, ed è anche per questo che l’entità del problema viene spesso sottovalutata. L’Internet Crime Complaint Center dell’FBI ha registrato perdite per 2,77 miliardi di dollari(nuova finestra) derivanti dalla business email compromise su 21.442 incidenti segnalati nel 2024, e il bilancio complessivo della truffa stima le perdite globali a oltre 55 miliardi di dollari(nuova finestra) nell’ultimo decennio. Tuttavia, le medie nascondono la realtà dei fatti: i casi finiti sulle prime pagine mostrano cosa può provocare una singola email ben studiata.

Tra il 2013 e il 2015, un truffatore lituano ha sottratto a Facebook e Google una somma complessiva di 121 milioni di dollari(nuova finestra) utilizzando fatture false di una società che fingeva di essere Quanta Computer, un fornitore hardware realmente utilizzato da entrambe le aziende. Poiché le fatture corrispondevano a un rapporto commerciale effettivo, i team contabili le hanno pagate per due anni consecutivi.

Nel 2016, il fornitore aerospaziale austriaco FACC è stato colpito da un’email che impersonava l’allora CEO, con la richiesta di un bonifico di circa 50 milioni di euro(nuova finestra) per un presunto progetto di acquisizione, esattamente il pretesto descritto all’inizio di questo articolo. L’azienda è riuscita a bloccare parte del trasferimento dopo aver scoperto la frode, ma il resto della somma non è mai stato recuperato.

Questi casi descrivono una categoria di reato che si comporta diversamente dalla maggior parte delle statistiche sul phishing. Il phishing si misura in termini di volume: milioni di email quasi identiche, la maggior parte delle quali bloccata da un filtro prima che chiunque le veda.

La business email compromise si misura invece in singoli incidenti, ciascuno costruito attorno a un bersaglio e a un pagamento precisi, e ognuno capace di provocare più danni in un solo pomeriggio di quanti non potrebbero mai farne mille email di phishing bloccate.

Qualsiasi organizzazione che abbia trasferito denaro tramite bonifico bancario o modificato i dettagli bancari di un fornitore in passato dovrebbe considerare questo come un rischio finanziario concreto e segnalare i presunti incidenti al proprio centro nazionale per le segnalazioni di frodi, l’IC3 dell’FBI negli Stati Uniti, Action Fraud nel Regno Unito ed equivalenti altrove.

I controlli che fermano davvero la business email compromise

Poiché la business email compromise aggira i segnali d’allarme tecnici su cui si basa la formazione anti-phishing, anche le misure di controllo per contrastarla sono diverse. La consapevolezza è utile, ma le difese realmente efficaci sono procedurali e tecniche, non si limitano a chiedere ai dipendenti di leggere le email con maggiore attenzione.

Doppia autorizzazione

La doppia autorizzazione per qualsiasi pagamento superiore a una determinata soglia deve essere obbligatoria, non una cortesia applicata solo quando qualcuno si ricorda di richiederla. L’approvazione di una sola persona non dovrebbe mai essere sufficiente per trasferire una somma ingente, a prescindere dal livello di urgenza o dall’importanza di chi invia la richiesta.

Verifica tramite richiamata

La verifica tramite richiamata chiude il cerchio dove l’email da sola fallisce. Qualsiasi richiesta di modifica delle coordinate bancarie o di emissione di un pagamento dovrebbe essere confermata per telefono, utilizzando un numero già registrato nei file aziendali e mai quello fornito nell’email stessa, poiché un numero fornito dall’aggressore metterebbe semplicemente in contatto il destinatario con l’aggressore stesso.

Rivedere le procedure di approvazione dei pagamenti

Anche una revisione periodica delle procedure di approvazione dei pagamenti aiuta a ridurre nel tempo il rischio di business email compromise. Con la crescita delle aziende, eccezioni temporanee e scorciatoie informali spesso entrano a far parte delle attività quotidiane senza che nessuno si chieda se siano ancora adeguate. Verificare chi può autorizzare i pagamenti, come vengono approvate le modifiche alle coordinate bancarie e quali transazioni richiedono un’ulteriore verifica garantisce che i controlli finanziari continuino a corrispondere all’attuale livello di rischio dell’organizzazione. Anche le procedure meglio strutturate perdono efficacia se non vengono aggiornate man mano che l’azienda si evolve.

Autenticazione delle email

L’autenticazione delle email a livello tecnico è un componente fondamentale per la sicurezza delle email e assume qui un’importanza cruciale rispetto alla maggior parte degli attacchi di phishing, poiché la business email compromise si basa spesso sullo spoofing del dominio stesso dell’organizzazione per impersonarne i dirigenti.

DMARC, insieme a SPF e DKIM, indica ai server di posta riceventi come gestire i messaggi che non superano l’autenticazione rispetto al tuo dominio, rendendo molto più difficile per un aggressore inviare un’email che sembri provenire dal tuo CEO.

Cultura della sicurezza aperta

Niente di tutto questo funziona senza una solida base culturale: deve essere sempre accettabile fermarsi e verificare una richiesta, a prescindere da chi sembri averla inoltrata. I dipendenti che temono di apparire ostili o diffidenti nei confronti di un superiore sono esattamente il bersaglio ideale di un tentativo di business email compromise; questo timore svanisce solo quando la dirigenza ribadisce con chiarezza che mettere in discussione una richiesta insolita è una prassi attesa, non una mancanza di fiducia.

Come individuare i segnali d’allarme di un tentativo di business email compromise

La business email compromise si manifesta raramente con evidenti segnali d’allarme tecnici. L’email può provenire da un indirizzo familiare, fare riferimento a un progetto reale e utilizzare un linguaggio coerente con le conversazioni precedenti. Ecco perché il contesto della richiesta è spesso più rilevante dell’email stessa.

Diversi schemi ricorrono regolarmente nelle indagini sulla business email compromise. Una richiesta che aggira le normali procedure di approvazione dovrebbe sempre destare sospetti. Lo stesso vale per istruzioni inaspettate volte a mantenere riservato un pagamento, modifiche alle coordinate bancarie di un fornitore a ridosso della scadenza di una fattura o richieste che arrivano mentre un dirigente è in viaggio e difficile da contattare. Gli aggressori scelgono deliberatamente contesti in cui è meno probabile che i dipendenti verifichino la richiesta attraverso un altro canale.

Anche piccoli cambiamenti nello stile di comunicazione possono fornire indizi. Un dirigente che di solito delega le approvazioni finanziarie potrebbe improvvisamente richiedere un pagamento di persona. Un fornitore che solitamente comunica tramite un account manager potrebbe inviare istruzioni bancarie da un contatto diverso. Nessuno di questi segnali costituisce da solo una prova certa di un attacco, ma dovrebbe spingere a una verifica supplementare prima di trasferire denaro o modificare i dettagli dell’account.

L’approccio più sicuro è trattare le richieste finanziarie insolite come eccezioni ai processi aziendali anziché come situazioni che richiedono decisioni urgenti. Una breve telefonata a un numero attendibile o una conferma attraverso un canale di comunicazione interno ufficiale può prevenire perdite che altrimenti richiederebbero settimane o mesi per essere recuperate.

In che modo le credenziali facilitano la business email compromise?

Non tutti i tentativi di business email compromise si basano su un dominio lookalike contraffatto. A volte hanno origine da un account email realmente compromesso, in cui l’aggressore ha semplicemente effettuato l’accesso utilizzando una password già esposta altrove.

Una volta all’interno, non c’è bisogno di falsificare nulla. Gli aggressori possono leggere i vecchi thread, riprodurre fedelmente tono e formattazione e inviare la richiesta fraudolenta da un indirizzo che supera qualsiasi controllo di autenticazione, perché si tratta a tutti gli effetti dell’account del mittente reale.

È qui che l’igiene delle password e la prevenzione della business email compromise si incontrano direttamente. Il Data Breach Observatory di Proton monitora la frequenza con cui le credenziali aziendali compaiono nei database criminali molto prima che chiunque all’interno dell’azienda colpita se ne accorga, e la compromissione dell’account è esattamente il risultato favorito da questi dati.

Un’email sicura per la tua azienda e password uniche per ogni account, combinate con l’autenticazione a più fattori (MFA), garantiscono che una password trapelata da una violazione non possa essere riutilizzata per accedere a una casella email e lanciare un attacco di business email compromise dall’interno.

Un gestore di password aziendale come Proton Pass for Business consente di mantenere questo standard in modo concreto in tutta l’organizzazione, evitando di dover fare affidamento sulla memoria dei singoli dipendenti per non riutilizzare le password. Quando le credenziali vengono generate e archiviate correttamente, le vulnerabilità alle violazioni dei dati e ai furti di account si riducono notevolmente.

Proteggi gli account aziendali da compromissioni con un gestore di password aziendale sicuro.