Che cos'è l'EchoSpoofing? Capire gli exploit di routing delle e-mail
di
Tempo di lettura: 4 min
Non è un segreto che l'autenticazione delle e-mail possa essere piuttosto vulnerabile. Ciò è particolarmente vero quando le e-mail vengono inoltrate con intestazioni modificate, righe dell'oggetto cambiate o allegati rimossi. Queste piccole modifiche possono compromettere la firma firma DKIM di un'e-mail.
Per risolvere questo problema sono stati introdotti diversi Secure Email Gateway (SEG). Questi SEG sono in grado di risolvere i problemi di autenticazione delle e-mail alterate, riautenticandole. Sebbene questo metodo sia sufficiente a mitigare i fallimenti di autenticazione, solleva nuovi rischi.
Purtroppo, nel marzo 2024 è stata notata una vulnerabilità nel servizio di relay e-mail di Proofpoint. Tale vulnerabilità ha permesso a diversi malintenzionati di sfruttare un'impostazione di configurazione. Questa falla nel routing delle e-mail ha permesso agli aggressori di inviare milioni di messaggi spoofed.
In questo articolo scoprirete tutto su EchoSpoofing e sul recente exploit di routing delle e-mail.
I punti chiave da prendere in considerazione
- Le vulnerabilità dell'autenticazione e-mail possono essere aggravate da difetti di configurazione nei servizi di relay e-mail.
- La tecnica dell'EchoSpoofing consente agli aggressori di sfruttare i servizi di posta elettronica affidabili per inviare messaggi di posta elettronica con effetto spoofing.
- Un recente problema di configurazione dei sistemi di relay e-mail ha permesso ad attori malintenzionati di impersonare domini legittimi senza filtri adeguati.
- Anche con le misure di sicurezza in atto, le organizzazioni devono rimanere vigili contro l'evoluzione delle minacce basate sulle e-mail.
- L'implementazione di politiche DMARC rigorose può aiutare a prevenire l'impersonificazione dei domini e a migliorare la sicurezza delle e-mail.
Comprendere l'exploit di routing delle e-mail
I malintenzionati hanno trovato il modo di sfruttare una vulnerabilità nei servizi di relay email, un'impostazione di configurazione che accetta le email da qualsiasi tenant di Microsoft 365. Dopo aver ricevuto queste e-mail, esse vengono autenticate nuovamente aggiungendo una nuova firma DKIM valida.
La falla nelle impostazioni di configurazione consente agli autori del reato di effettuare lo spoofing di qualsiasi nome di dominio. In questo modo possono inviare e-mail che sembrano provenire da fonti legittime, in una serie di campagne di phishing chiamate "EchoSpoofing".
Proteggetevi dall'EchoSpoofing con PowerDMARC!
Che cos'è l'EchoSpoofing?
L'exploit è stato denominato "EchoSpoofing" dai Gaurdio Labs. Si tratta di una tecnica con cui gli aggressori inviano e-mail da server SMTP. Questi server SMTP sono ospitati su server privati virtuali (VPS) e i messaggi inviati passano facilmente i controlli di autenticazione delle e-mail, tra cui SPF e DKIM. Queste e-mail di EchoSpoofing imitano e-mail legittime provenienti da mittenti affidabili.
Microsoft 365 consente di inviare e-mail da qualsiasi dominio a scelta dell'utente. Sebbene sia noto per consentire l'invio di e-mail anche da tenant dall'aspetto sospetto, gli hacker dell'exploit EchoSpoofing hanno utilizzato questa falla per instradare i messaggi da tenant di Office 365 controllati dagli aggressori. Ad esempio, i clienti di Proofpoint che autorizzavano Microsoft 365 come mittente legittimo, si sono trovati inavvertitamente nei guai. Questi tenant di Office 365 controllati dagli aggressori hanno avuto il via libera per inoltrare le e-mail di EchoSpoofing attraverso il loro servizio di relay con un tag di autenticazione e firme DKIM valide.
Conseguenze dell'EchoSpoofing
Se siete utenti di Microsoft 365 e utilizzate i Secure Email Gateway per bloccare le e-mail dannose attraverso un sistema di relay, dovete prestare attenzione perché qualsiasi altro tenant di Microsoft 365 può potenzialmente impersonare il vostro dominio. Poiché la maggior parte di questi SEG non è in grado di filtrare esplicitamente specifici tenant di Office 365 e li autorizza tutti, se avete definito Microsoft come mittente legittimo, i malintenzionati possono facilmente impersonare il vostro dominio per inviare e-mail di phishing.
Le e-mail spoofate inviate attraverso questo sistema non vengono segnalate come sospette, anche se superano il controllo DMARC. controllo DMARCe arrivano direttamente nella casella di posta del destinatario.
L'entità dello sfruttamento
Gli attacchi hanno avuto una portata significativamente ampia.
Aziende mirate
Il nuovo metodo di "Ecospoofing" ha preso di mira diversi marchi famosi. Tra queste aziende figurano Nike, IBM, Walt Disney, Best Buy e altre.
Strategie di risposta e mitigazione
Dopo aver notato il problema, sono state prontamente rilasciate varie misure per contrastare questa vulnerabilità. Tra queste, la possibilità per i clienti di specificare i tenant Microsoft 365 consentiti. I clienti sono stati inoltre rassicurati sul fatto che, sebbene ogni sistema di routing delle e-mail sia vulnerabile in una certa misura, i dati dei clienti non sono stati esposti o compromessi durante gli attacchi.
Optare per una sicurezza e-mail completa con PowerDMARC
La piattaforma avanzata di autenticazione delle e-mail di PowerDMARC, basata sull'intelligenza artificiale, offre sicurezza e visibilità per quanto riguarda la maggior parte degli exploit e delle minacce basati sulle e-mail. La nostra tecnologia di Threat Intelligence è in grado di fare previsioni guidate dai dati sugli schemi e le tendenze delle minacce, mentre un team di esperti vi guiderà nel rafforzamento della postura di autenticazione delle e-mail.
Le API dettagliate di PowerDMARC consentono ai clienti di integrare perfettamente la nostra piattaforma con i loro sistemi di sicurezza esistenti, garantendo una maggiore sicurezza!
Inoltre, aiutiamo i proprietari di domini a passare a politiche DMARC obbligatorie come "reject", consentendo loro di combattere efficacemente gli attacchi di spoofing.
Parole finali
L'exploit di EchoSpoofing mette in luce una vulnerabilità significativa nei sistemi di routing delle e-mail, dimostrando che anche le soluzioni di sicurezza affidabili possono avere dei punti ciechi.
Gli aggressori non sono nuovi a sfruttare le configurazioni errate dei sistemi di posta elettronica per aggirare i controlli di autenticazione, lanciando campagne di phishing su larga scala. Sebbene siano state adottate misure correttive, questo incidente sottolinea l'importanza di una sicurezza proattiva delle e-mail affidata a un team di esperti.
Per esplorare le strategie di protezione per il vostro nome di dominio e per applicare correttamente l'autenticazione delle vostre e-mail contattateci per parlare con uno dei nostri esperti professionisti.
Esperto di sicurezza dei domini e delle e-mail presso PowerDMARC
Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.
Ultimi messaggi di Ahona Rudra (vedi tutti)
- Configurazione DKIM: Guida passo-passo alla configurazione di DKIM per la sicurezza delle e-mail (2025) - 31 marzo 2025
- PowerDMARC riconosciuto come leader di rete per DMARC nei rapporti G2 Spring 2025 - 26 marzo 2025
- Come identificare le false e-mail di conferma dell'ordine e come proteggersi - 25 marzo 2025
