Phishing esecutivo: l'e-mail del vostro CEO è falsa?

Gli eccezionali attacchi di phishing ai dirigenti sono uno dei modi più efficaci ed economici per violare la sicurezza di un'azienda. I dirigenti possono essere attirati tramite e-mail o telefonate, ma il risultato è quasi sempre lo stesso.

Un attacco di phishing esecutivo è una grande preoccupazione per tutti i tipi di aziende. È uno dei motivi principali per cui le organizzazioni hanno perso oltre 43 miliardi di dollari (USD) dal 2016 al 2021e le truffe specifiche a danno degli amministratori delegati hanno contribuito in modo significativo a queste perdite, diventando quello che l'FBI definisce un problema da svariati miliardi di dollari all'anno.

In questo articolo parleremo della definizione di phishing esecutivo, dei motivi per cui è una minaccia e di come evitare di diventare la prossima vittima.

I punti chiave da prendere in considerazione

Il phishing dei dirigenti, compresa la frode del CEO, prende di mira i leader di alto livello spacciandosi per fonti fidate per rubare dati o avviare trasferimenti fraudolenti.
Le tattiche più comuni includono la Business Email Compromise (BEC), le fatture false e l'ingegneria sociale, spesso creando urgenza o sfruttando la fiducia.
La vigilanza è fondamentale: Esaminate le e-mail alla ricerca di richieste insolite, grammatica scorretta o dettagli strani sul mittente e verificate i messaggi sospetti attraverso canali separati.
Difese tecniche come l'autenticazione delle e-mail DMARC/SPF/DKIM, l'autenticazione a più fattori (MFA) e il filtraggio avanzato delle e-mail sono essenziali.
Misure organizzative come la formazione sulla sicurezza, protocolli finanziari rigorosi, audit regolari e piani di risposta agli incidenti forniscono livelli critici di protezione.

Che cos'è il phishing esecutivo?

Il phishing dei dirigenti è un crimine informatico che prende di mira i dirigenti di alto livello e altri responsabili decisionali come il CEO, il CFO e i dirigenti di alto livello. Questa pratica ingannevole, a volte chiamata specificamente CEO Phishing quando il top executive viene impersonato, prevede che i criminali informatici imitino questi leader per ingannare i dipendenti o i dirigenti stessi. Il nome del dirigente, la firma e-mail, il biglietto da visita digitale, lo stile di scrittura e altri dettagli sono spesso utilizzati durante l'attacco di phishing per far sembrare il messaggio legittimo.

In 2020i crimini informatici come le frodi agli amministratori delegati e i ransomware costeranno oltre 4,1 miliardi di dollari, con un aumento dei casi segnalati del 69% dal 2019 al 2020, arrivando a oltre 791.000. Alcuni rapporti indicano che le truffe Business Email Compromise (BEC), che includono il phishing di CEO, sono quasi raddoppiate solo tra il 2018 e il 2019. Purtroppo, queste minacce informatiche non stanno rallentando, anzi si stanno aggravando e colpiscono le aziende a livello globale.

È progettato per ingannare la vittima facendole credere di ricevere un'e-mail da qualcuno della sua organizzazione o da un'altra fonte affidabile, sfruttando la fiducia e la natura gerarchica delle aziende.

Gli attacchi di phishing esecutivi prevedono solitamente un'e-mail ben confezionata da parte di un dipendente della vostra organizzazione, ma potrebbero anche includere un'e-mail proveniente da un soggetto esterno alla vostra organizzazione.

Le e-mail contengono spesso informazioni su una riunione imminente, come l'ordine del giorno o un contratto imminente, oppure richiedono azioni urgenti come bonifici bancari o la condivisione di dati riservati.

L'autore dell'attacco potrebbe anche tentare di accedere ai dati riservati archiviati nella rete aziendale fingendo di essere un dipendente fidato con accesso alle informazioni sensibili.

Il phishing esecutivo mira a rubare dati riservati, come password, documenti sensibili e credenziali di accesso, oppure a ingannare i dipendenti affinché trasferiscano fondi o forniscano accesso ai sistemi. L'aggressore utilizzerà poi le credenziali rubate o l'accesso ottenuto per scopi dannosi.

Leggete anche: Che cos'è un'e-mail di phishing?

Proteggetevi dal phishing esecutivo con PowerDMARC!

Prova di 15 giorni Prenota una demo

Perché gli attacchi di phishing colpiscono i dirigenti?

Prendere di mira i dirigenti consente agli hacker di accedere a informazioni preziose che potrebbero essere vendute sul Dark Web o utilizzate come ricatto contro l'azienda della vittima. Questi attacchi spesso sfruttano l'autorità e la fiducia associate alle posizioni dirigenziali per manipolare i dipendenti in azioni che altrimenti non farebbero, come il trasferimento di fondi o la rivelazione di credenziali.

Poiché i dirigenti di livello C hanno in genere accesso a dati sensibili come dati finanziari, informazioni di identificazione personale (PII) e altri documenti aziendali riservati, possono diventare bersagli privilegiati di attacchi di phishing che mirano a ottenere questi dati con qualsiasi mezzo. Inoltre, i loro account, se compromessi, possono essere utilizzati per lanciare attacchi molto convincenti contro altri dipendenti o partner. L'impatto potenziale di un attacco di phishing esecutivo riuscito è grave, e comprende perdite finanziarie significative, danni alla reputazione dell'organizzazione, conseguenze legali, interruzioni operative, violazioni di dati e notevole stress per i dipendenti coinvolti.

Esempio di attacco di phishing da parte di un dirigente

Un esempio di e-mail di phishing esecutivo è visibile nell'immagine seguente:

I principali tipi di attacchi di phishing esecutivo

Di seguito sono riportati alcuni dei principali tipi di attacchi di phishing esecutivo:

Attacchi BEC (Business Email Compromise)

Gli attacchi BEC prendono di mira amministratori delegati e altri funzionari di alto livello (spesso chiamati frodi CEO in questo caso specifico) impersonando le loro e-mail e richiedendo trasferimenti di denaro o informazioni sensibili.

Gli aggressori BEC inviano e-mail fraudolente con loghi aziendali falsi e indirizzi di mittenti spoofati, a volte imitando lo stile di scrittura del dirigente, per ingannare il destinatario e fargli credere che siano reali e agire in base alla richiesta fraudolenta.
Leggi anche: Strategia di difesa BEC di base per le piccole imprese

Attacchi alla fatturazione

Questo attacco mira a sottrarre denaro alle aziende creando fatture false che sembrano legittime ma contengono errori o discrepanze, spesso indirizzando i pagamenti verso conti controllati dall'aggressore.

L'aggressore richiederà quindi il pagamento di queste fatture utilizzando bonifici bancari o altri metodi di pagamento che richiedono tempo per essere verificati, a volte spacciandosi per un fornitore noto o per un dirigente che autorizza il pagamento.

Sfruttamento delle piattaforme di comunicazione video

In questo attacco, l'hacker sfrutta una piattaforma di comunicazione video per impersonare il dirigente. Ad esempio, potrebbe utilizzare Google Hangouts o strumenti simili per impersonare l'amministratore delegato e chiedere informazioni riservate durante una finta riunione o via chat.

L'hacker potrebbe anche inviare un'e-mail ai dipendenti indicando loro che si incontreranno con qualcuno del reparto finanziario in una videochiamata. Gli viene chiesto di scaricare un'applicazione (che potrebbe essere dannosa) e di inserire i propri dati di accesso, compromettendo potenzialmente le credenziali.

Ingegneria sociale è la tattica principale utilizzata in tutti questi attacchi per accedere a informazioni o dati sensibili, inducendo gli utenti a divulgare password, numeri di previdenza sociale, autorizzare pagamenti o altre azioni sensibili.

L'aggressore spesso finge di provenire dall'IT, da un dirigente di alto livello o da un altro reparto dell'organizzazione e chiede l'accesso al computer o alle risorse di rete, oppure richiede un'azione urgente quando le normali prassi aziendali non giustificano tale richiesta, sfruttando la fiducia, la gerarchia o l'urgenza.

Phishing esecutivo vs Whaling

Ricordate che sia il Phishing esecutivo che il Whaling sono attacchi informatici rivolti a personale di alto livello, con il Whaling che è una variante più specializzata, spesso sinonimo di attacchi rivolti agli individui di grado più elevato in assoluto (i "pesci più grossi"). Entrambe le forme di spear phishing sono altamente mirate e personalizzate. Per difendersi da queste minacce sono fondamentali misure di cybersecurity adeguate e la formazione dei dipendenti.

Diamo un'occhiata al phishing esecutivo e alla caccia alle balene:

Aspetto	Phishing esecutivo	La caccia alle balene
Obiettivo	Il phishing esecutivo prende di mira i dirigenti di alto livello di un'azienda.	Il Whaling si concentra sui dirigenti di altissimo livello, come i CEO e i CFO (le "balene").
Obiettivo	Il phishing esecutivo mira a ottenere un accesso non autorizzato, rubare dati, acquisire credenziali di accesso o avviare transazioni fraudolente.	Il whaling mira a estrarre informazioni altamente sensibili o grandi somme di denaro compromettendo o impersonando dirigenti di alto profilo.
Tipo di attacco	L'executive phishing è un tipo di attacco di spear phishing che inganna specificamente i dirigenti o utilizza il loro personaggio per ingannare gli altri.	Il whaling è una forma altamente specializzata di spear phishing, che prende di mira gli individui più influenti ("balene").
Impersonificazione	Nel phishing esecutivo, gli aggressori impersonano un dirigente o un collega per ingannare l'obiettivo.	Il whaling consiste nell'impersonare i dirigenti più anziani per sfruttare la loro autorità e fiducia ad alto livello.
Preparazione	Gli attaccanti ricercano il ruolo dell'obiettivo, il suo stile di comunicazione e le informazioni rilevanti sono comuni nel phishing esecutivo.	Gli autori del reato di whaling conducono ricerche approfondite sul dirigente target, sulle sue responsabilità, sulle relazioni e sull'ambiente aziendale.
Contenuto dell'e-mail	Le e-mail di phishing per dirigenti imitano le comunicazioni ufficiali. Spesso creano un senso di urgenza o affrontano questioni delicate relative al ruolo del dirigente.	Le e-mail di Whaling contengono messaggi altamente personalizzati e adattati specificamente alla posizione, alle responsabilità e al contesto attuale del destinatario.
Ingegneria sociale	Il phishing esecutivo sfrutta le dinamiche di potere, l'urgenza o la curiosità per manipolare gli obiettivi e indurli ad agire.	Il whaling sfrutta l'accesso e l'autorità percepita di alto livello del dirigente impersonato per manipolare la fiducia e la conformità dell'obiettivo.
Carico utile	Nel phishing esecutivo, link dannosi, allegati o richieste di informazioni o transazioni finanziarie sono payload comuni.	I payloads di whaling spesso cercano dati altamente confidenziali, grandi transazioni finanziarie o altri beni di valore accessibili solo ai livelli più alti.
Impatto	L'impatto del phishing esecutivo può variare da account compromessi e violazioni di dati a significative perdite finanziarie e danni alla reputazione.	L'impatto della caccia alle balene può essere estremamente significativo e comportare notevoli perdite finanziarie, gravi danni alla reputazione e potenziali conseguenze normative per le organizzazioni.
Contromisure	Le contromisure contro il phishing esecutivo includono la formazione dei dipendenti, l'uso di strumenti anti-phishing, un'autenticazione forte e pratiche di posta elettronica attente.	Per difendersi dal whaling è necessaria una solida formazione sulla sicurezza (soprattutto per i dirigenti), un rilevamento avanzato delle minacce, metodi di autenticazione forti e protocolli di verifica rigorosi.
Esempi	Esempi di phishing per dirigenti sono le false richieste di trasferimento di denaro o di condivisione di dati inviate a o apparentemente da dirigenti.	Il whaling consiste nell'invio di e-mail altamente mirate a dirigenti di alto livello, spesso con intenti malevoli convincenti e specifici del contesto o con richieste ingannevoli che sembrano provenire da colleghi o da entità esterne critiche.

Leggi correlate: Phishing balenare vs. Phishing regolare

Difesa e mitigazione degli attacchi di phishing esecutivo

Le seguenti misure di sicurezza possono aiutare a proteggere la vostra organizzazione dal phishing esecutivo:

Implementazione di DMARC, SPF e DKIM

DMARC (Domain-based Message Authentication, Reporting & Conformance), insieme a SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail), sono protocolli fondamentali per l'autenticazione delle e-mail. SPF specifica i server di posta autorizzati, DKIM aggiunge una firma digitale per verificare l'integrità delle e-mail e DMARC fornisce una politica per gestire le e-mail che non superano questi controlli, consentendo alle organizzazioni di istruire i server di posta riceventi su come gestire i messaggi fraudolenti che utilizzano il loro dominio e ottenere visibilità su tali tentativi. L'implementazione di questi criteri riduce significativamente il rischio di impersonificazione delle e-mail.

Formazione sulla sicurezza

La formazione sulla sicurezza aiuterà i dipendenti a identificare le potenziali minacce prima che diventino un problema. Questa formazione deve essere regolare e adattata a ruoli specifici, soprattutto per i dirigenti e il personale finanziario, che sono i primi bersagli.

La formazione sulla sicurezza insegna ai dipendenti come identificare le e-mail sospette in base al loro contenuto (ad esempio, richieste insolite, urgenza, grammatica/ortografia scorretta), ai dettagli del mittente (ad esempio, indirizzi e-mail leggermente alterati) e al contesto (ad esempio, richieste al di fuori delle normali procedure, metodi o orari di comunicazione inaspettati). Inoltre, insegna ai dipendenti come segnalare queste e-mail in modo sicuro e l'importanza di verificare le richieste attraverso canali di comunicazione separati e fidati prima di agire.

Autenticazione a più fattori (MFA)

L'autenticazione a più fattori (MFA) aggiunge un ulteriore livello di sicurezza oltre alla semplice password, richiedendo agli utenti di inserire un codice inviato al telefono, generato da un'app o di utilizzare una chiave di sicurezza fisica prima di accedere ad account e sistemi. L'implementazione dell'MFA su tutti gli account critici ostacola in modo significativo gli aggressori anche se rubano le credenziali.

Strumenti di filtraggio e-mail e anti-phishing

La prima linea di difesa consiste nell'utilizzare soluzioni avanzate di filtraggio delle e-mail e strumenti anti-phishing. Questi software utilizzano varie tecniche per identificare e bloccare o segnalare le e-mail sospette prima che raggiungano le caselle di posta dei dipendenti.

Questi strumenti analizzano la reputazione del mittente, il contenuto delle e-mail, i link, gli allegati e le informazioni di intestazione per rilevare gli indicatori di phishing noti, i tentativi di spoofing e le potenziali minacce informatiche.

Leggi correlate: Differenza tra Anti-Spam e DMARC

Aggiornamenti regolari del software e gestione delle patch

Assicuratevi che tutto il software, compresi i sistemi operativi, i browser, i client di posta elettronica e le applicazioni di terze parti, sia aggiornato con le ultime patch di sicurezza. Questo include sia le macchine fisiche che quelle virtuali.

Le patch spesso includono correzioni di sicurezza per le vulnerabilità che potrebbero essere sfruttate dagli aggressori attraverso link o allegati dannosi inviati tramite e-mail di phishing.

Protocolli finanziari rigorosi

Stabilire e applicare protocolli chiari e rigorosi per tutte le transazioni finanziarie, in particolare per i bonifici o le modifiche ai dettagli di pagamento. Ciò dovrebbe includere l'approvazione obbligatoria da parte di più persone per importi significativi o richieste insolite, indipendentemente dall'anzianità della fonte apparente.

Verifica delle richieste

Coltivate una cultura in cui i dipendenti si sentano responsabilizzati e siano tenuti a verificare le richieste insolite o sensibili (soprattutto quelle finanziarie o relative ai dati) attraverso un canale di comunicazione separato e fidato (ad esempio, una telefonata a un numero noto, una conversazione di persona) prima di agire, anche se la richiesta sembra provenire da un alto dirigente.

Sviluppare politiche di sicurezza informatica

Implementare politiche di cybersecurity complete che coprano le pratiche di posta elettronica sicura, la gestione dei dati, la gestione delle password, la segnalazione degli incidenti e l'uso accettabile delle piattaforme di comunicazione. Assicuratevi che queste politiche siano comunicate chiaramente e riviste regolarmente.

Audit di sicurezza regolari

Condurre audit di sicurezza periodici per valutare l'efficacia delle difese esistenti, identificare potenziali vulnerabilità nei sistemi e nei processi e garantire la conformità alle politiche di sicurezza.

Stabilire un piano di risposta agli incidenti

Disporre di un piano di risposta agli incidenti ben definito che affronti specificamente gli scenari di phishing e BEC. Questo piano deve delineare le fasi di contenimento, indagine, eliminazione, recupero e analisi post-incidente, garantendo una reazione rapida e organizzata per ridurre al minimo i danni.

Protocolli di comunicazione chiari

Definire protocolli chiari per la comunicazione e l'autorizzazione di informazioni sensibili e richieste finanziarie all'interno dell'organizzazione. Assicuratevi che i dipendenti comprendano questi protocolli e riconoscano le richieste che se ne discostano come potenziali segnali di allarme.

Parole finali

Sebbene non siano la forma più comune di phishing in assoluto, gli attacchi di phishing ai dirigenti, come le frodi ai danni degli amministratori delegati, sono altamente mirati e possono avere un impatto negativo sproporzionato su individui e aziende. Se ricevi messaggi da persone che non conosci, richieste che sembrano insolite o urgenti, o comunicazioni su situazioni che non sembrano immediatamente reali, non affrettarti a cliccare sui link, aprire file o seguire le istruzioni.

Potreste benissimo essere presi di mira da un attacco di phishing esecutivo. Rimanendo vigili, implementando solide difese tecniche e promuovendo una cultura della sicurezza supportata da procedure chiare, potete ridurre significativamente il rischio di cadere vittime. Seguite i nostri consigli per proteggere voi stessi e la vostra organizzazione.

Informazioni su
Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e delle e-mail presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

Attacchi di phishing per dirigenti - Approfondimenti pratici e strategie di prevenzione