Attacchi di Business Email Compromise (BEC) e Email Account Compromise (EAC) colpiscono aziende di ogni dimensione e settore e causano la maggior perdita di denaro alle aziende. L’FBI ha evidenziato che da giugno 2016 a giugno 2019 le società hanno registrato perdite pari a 26,2 miliardi di dollari e solo nel 2019, le truffe BEC hanno rappresentato più della metà di tutte le perdite causate della cyber criminalità, stimata in 1,77 miliardi di dollari, con una media per incidente pari a 74.723 dollari nel 2019.

A conferma della gravità del problema ci sono i 15.000 messaggi fittizi/BEC bloccati ogni giorno da Proofpoint, circa 4 milioni all’anno.

Le truffe BEC/EAC con gift card sono simili agli altri attacchi BEC/EAC, in quanto si basano sulla personificazione e e sull’ingegneria sociale per convincere gli utenti a inviare denaro agli aggressori tramite buoni regalo, o gift card, e non con richieste di bonifici. Ricordiamo che il social engineering è una pratica piuttosto diffusa tra gli hacker in quanto non richiede competenze a livello tecnico ma consiste semplicemente nell’immagazzinare informazioni sensibili degli utenti guadagnandosi la loro fiducia, magari impersonando un impiegato di un’azienda piuttosto importante o qualcuno di più influente.
Per i cyber criminali sono attacchi più veloci e facili, in quanto gli utenti colpiti non devono seguire complicate istruzioni per effettuare un bonifico, ma acquistano un buono da un rivenditore conosciuto e di fiducia. Sfruttare le gift card è un anche modo rapido e semplice per riciclare efficacemente il denaro rubato e ha un altro vantaggio: le potenziali vittime potrebbero non essere consapevoli del ruolo delle gift card negli attacchi, perché generalmente si associano ai bonifici bancari, quindi è più probabile che cadano nella trappola, soprattutto quando l’e-mail di truffa impersona l’amministratore delegato o un altro dirigente di alto livello. Gli attacchi BEC/EAC sono molto simili ai classici esempi di phishing, dove l’utente inconsapevole clicca su un link apparentemente autorevole e invia i propri dati ad un server esterno.

Attacco BEC
Procedura di un attacco BEC

L’abuso di gift card non è una novità o un’esclusiva degli attacchi BEC/EAC. I criminali informatici le utilizzano efficacemente come metodo di pagamento e di riciclaggio da diversi anni in altri attacchi. Come tutti gli attacchi BEC/EAC, anche queste truffe si basano su una combinazione di autorità e urgenza e impersonare il CEO è una tattica comune. La ricerca di Proofpoint ha dimostrato che da marzo 2020 sono stati impersonati oltre 7.000 CEO o altro ruolo direttivo. Nel 2020 oltre il 50% dei clienti di Proofpoint ha subìto la personificazione di ruoli VIP. Guardando agli ultimi 90 giorni, in media un CEO è stato personificato 102 volte. L’unico modo per potersi difendere da questo genere di attacchi è utilizzare un po’ di buon senso e verificare sempre con chi ci troviamo a parlare.

Di Marco Nisticò

Sviluppatore informatico, cerco sempre di stare al passo con i tempi in un mondo ormai circondato dalla tecnologia.

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Questo sito usa Akismet per ridurre lo spam. Scopri come i tuoi dati vengono elaborati.