Un documento condiviso, una pagina di accesso identica a quella vera, un collega che non sospetta nulla. Ricostruiamo passo dopo passo un attacco tipico, e i punti in cui si poteva fermare.
Questo è uno scenario costruito su schemi di attacco molto diffusi. Nomi e dettagli sono inventati, ma la dinamica è quella che si osserva in moltissimi casi reali. Lo raccontiamo passo per passo per mostrare dove si poteva interrompere.
Laura lavora nell'ufficio acquisti di un'azienda di medie dimensioni. Riceve un'email da un fornitore con cui l'azienda lavora da anni: "Ti ho condiviso il nuovo listino, puoi visualizzarlo qui". Il messaggio arriva dall'indirizzo vero del fornitore, perché la sua casella è stata violata qualche giorno prima.
Primo punto di arresto. Il fornitore di solito allega il listino in PDF. Un "documento condiviso" su una piattaforma esterna è un piccolo cambiamento di abitudine che meritava una verifica.
Laura clicca. Si apre una pagina con il logo di Microsoft, identica a quella che vede ogni mattina, che chiede di accedere per vedere il documento. L'indirizzo nella barra però non è quello di Microsoft: è un dominio sconosciuto, con il nome del servizio inserito a metà per sembrare credibile.
Secondo punto di arresto. Il gestore di password di Laura non propone le credenziali su quella pagina. È un segnale chiaro, se si sa leggerlo.
Laura inserisce email e password. Poi la pagina chiede il codice dell'app di autenticazione, come succede di solito. Lei lo inserisce.
Quello che non vede è che la pagina falsa sta facendo da intermediario: passa in tempo reale password e codice al sito vero e cattura la sessione di accesso. Da questo momento l'attaccante è dentro la sua casella, anche se il secondo fattore era attivo.
Terzo punto di arresto. Un documento che, dopo l'accesso, non si apre o rimanda a una pagina vuota è un segnale da segnalare subito.
L'attaccante crea una regola che sposta in una cartella nascosta le email contenenti parole come "fattura", "pagamento", "IBAN". Legge le conversazioni in corso e, tre giorni dopo, scrive a un cliente dell'azienda annunciando un cambio di coordinate bancarie. Contemporaneamente invia lo stesso finto listino a decine di contatti di Laura.
Quarto punto di arresto. Un collega che riceve il "listino" da Laura lo trova strano e lo segnala. L'assistenza nota l'accesso da un Paese insolito, blocca l'account e revoca le sessioni.
Il danno è stato limitato perché qualcuno ha segnalato in fretta e perché l'assistenza ha potuto ricostruire gli accessi. Ma ogni punto di arresto precedente avrebbe potuto evitarlo del tutto:
Esistono anche metodi di autenticazione più resistenti a questo tipo di attacco, come le passkey e le chiavette di sicurezza fisiche, che funzionano solo sul sito vero. E controlli come gli avvisi sugli accessi da luoghi insoliti e sulle nuove regole di inoltro della posta aiutano l'assistenza a intervenire prima. Sono scelte che spettano all'organizzazione, ma vale la pena chiederle.
Nessuno dei passaggi di questo attacco era impossibile da notare. È la somma di piccole disattenzioni comprensibili a renderlo efficace, e la somma di piccole abitudini a fermarlo.
Una pagina di accesso può essere identica all'originale in ogni dettaglio, tranne uno: l'indirizzo. Come controllarlo in pochi secondi e quali abitudini evitano la trappola.
Colleghi che ricevono messaggi che non hai scritto, regole di inoltro sconosciute, accessi da luoghi lontani. I segnali di un account compromesso e i passaggi per riprenderne il controllo.
Gli errori di grammatica non bastano più a smascherarla. Cinque controlli da fare prima di cliccare, validi per ogni casella di posta di lavoro.