Il tuo antivirus non ha mai avuto una possibilità contro un'email vuota

Un impiegato della contabilità stipendi in un'azienda di medie dimensioni riceve un'email dal CEO. Nessun allegato. Nessun link. Solo cinque righe che chiedono di effettuare un bonifico urgente a un nuovo fornitore prima della scadenza di mezzogiorno, e per favore tienilo riservato, stiamo chiudendo l'acquisizione. Effettua un bonifico di $180,000. Il CEO non l'ha mai inviata. E ogni programma di sicurezza che l'azienda aveva pagato non ha visto assolutamente nulla di sbagliato, perché non c'era nulla da vedere.

Questo è il compromesso della posta elettronica aziendale, ed è il crimine più costoso nella tua casella di posta di gran lunga. L'Internet Crime Complaint Center dell'FBI ha registrato $2.9 miliardi in perdite BEC segnalate solo nel 2023. Il ransomware, la cosa di cui tutti hanno paura, la cosa con la grafica del teschio e i timer di conto alla rovescia? Si è attestato su circa $59.6 milioni in perdite segnalate lo stesso anno. Il BEC lo supera di un fattore di quasi cinquanta. Uno di questi ottiene i titoli dei giornali. L'altro ottiene i tuoi soldi.

Il motivo per cui l'antivirus fallisce qui è quasi imbarazzante. Gli scanner di malware funzionano esaminando il codice — un allegato, un eseguibile, una macro nascosta in un foglio di calcolo. Lo confrontano con firme note-cattive o lo osservano in una sandbox. Un'email BEC ti porge una nota in testo semplice scritta nel tono del tuo capo. Non c'è alcun payload da far detonare. L'arma è una frase.

Il che significa che la difesa non può essere uno scanner. Deve essere un'abitudine, e l'abitudine vive negli header.

Ecco il dettaglio che la maggior parte delle persone non cerca mai. Il campo From e il campo Reply-To sono due cose diverse, e i truffatori sfruttano il divario. La riga From mostra un nome e un indirizzo in cui ti fidi — ceo@yourcompany.com, scritto correttamente. Ma nel momento in cui fai clic su rispondi, il messaggio si instrada silenziosamente a ceo.finance@gmail-secure-mail.com o a un dominio usa-e-getta che l'attaccante controlla effettivamente. La tua risposta, con la conferma del bonifico, va direttamente al criminale. Il nome visualizzato ha mentito. Il Reply-To ha detto la verità.

Quindi allenati a espandere l'header prima di agire su qualsiasi richiesta di denaro. In Gmail, fai clic sulla piccola freccia sotto il nome del mittente. In Outlook, apri i dettagli del messaggio. Se Reply-To non corrisponde a From, fermati. Se il dominio è sbagliato di un carattere — rn al posto di m, un .co dove ti aspettavi .com — fermati.

La versione più sofisticata non si preoccupa nemmeno di effettuare lo spoofing del tuo dominio. Impersona un fornitore reale che paghi già. L'attaccante si siede su un account fornitore compromesso per settimane, legge il thread della fattura effettivo, quindi invia un'email nel momento perfetto: "Abbiamo aggiornato i nostri dettagli bancari, per favore usa il nuovo account". Questa variante è brutale proprio perché l'email è autentica — proviene dalla vera casella di posta compromessa del fornitore. SPF, DKIM e DMARC passano tutti pulitamente, perché il messaggio proviene genuinamente da dove dichiara. L'autenticazione conferma il mittente. Non può confermare l'onestà del mittente.

Questa è la verità scomoda che sta alla base di tutto questo: l'intera truffa si basa su fiducia e fretta, due cose che nessun database di firme può misurare. Un CEO che "non usa mai la posta elettronica così" improvvisamente lo fa. Un fornitore che ti ha fatturato nello stesso modo per tre anni improvvisamente cambia account. La richiesta arriva sempre con un motivo che non puoi verificare entro mezzogiorno.

Quindi verifica attraverso un altro canale. Chiama il numero che hai già — non quello nell'email. Una telefonata di dieci secondi ha annullato bonifici di sei cifre in modo più affidabile di qualsiasi prodotto con un firewall nel suo nome. I truffatori scommettono che non raccoglierai il telefono. Provale il contrario.