Quando a essere violato è un account di posta con un assistente AI collegato, l'attaccante può scoprire informazioni sensibili, individuare gli obiettivi più redditizi, scrivere comunicazioni convincenti e portare avanti l'attacco sfruttando l'accesso rubato alla vittima. Fortunatamente non è ancora accaduto, ma è uno scenario fattibile, come dimostrato dai ricercatori del Red Team di Barracuda Networks, che in un Proof of Concept hanno sottratto 247.500 dollari attraverso un bonifico dirottato.

Il PoC è stato costruito su Copilot, ma secondo gli autori è replicabile con qualsiasi altro assistente AI integrato nella posta elettronica. Una volta entrati nel sistema, gli obiettivi immediati sono sempre gli stessi: mantenere la persistenza, aumentare i privilegi ed espandere l'accesso all'interno dell'organizzazione. La strada più battuta per raggiungerli passa dal ben noto Living-off-the-Land, cioè dall'uso improprio di strumenti già legittimamente presenti nell'ambiente colpito. Di solito si tratta di script PowerShell o di software di accesso remoto, ma in questo caso il LotL chiama in causa l'assistente AI collegato alla casella di posta della vittima. Consente di attuare attività di ricognizione, di individuare bersagli e di accelerare ogni fase dell'attacco con un livello di autorità identico a quello dell'utente legittimo.

Per capire in che cosa consiste il PoC bisogna fare un passo indietro. In molti client di posta moderni è integrato un chatbot capace di leggere, riassumere e agire sulla cronologia delle email. Una cronologia che, per un dipendente attivo da mesi, custodisce relazioni professionali, allegati, inviti di calendario e organigrammi ricostruibili dal semplice scambio di messaggi. Nelle prime ore dopo la compromissione l'accesso dell’attaccante è precario, perché basta una notifica di accesso sospetto o un alert automatico per insospettire la vittima e a far saltare l'operazione.

È qui che è intervenuta Barracuda. Gli esperti hanno chiesto a Copilot di creare una inbox rule che reindirizza automaticamente le notifiche di accesso verso la cartella degli elementi eliminati. Così facendo, la vittima smette così di ricevere segnali di allarme sugli accessi anomali. Vale la pena ricordare che questa idea, a cui è stata apposta l’AI, non è inedita, anzi: le regole di inbox restano una delle tattiche più diffuse contro gli account Microsoft 365 compromessi, proprio perché sono nascoste in fondo alle impostazioni e raramente vengono controllate. Delegarne la creazione all'assistente AI riduce a una manciata di secondi un'operazione che, fatta a mano, richiederebbe competenza tecnica specifica.

L’attacco prende vita

Il prossimo passo è la raccolta di informazioni utili a individuare nuovi bersagli o accessi privilegiati. Una casella di posta usata quotidianamente contiene settimane o mesi di conversazioni difficili da analizzare manualmente in tempi brevi. Il chatbot diventa decisivo: con un paio di prompt mirati, i ricercatori hanno ottenuto una mappa della struttura organizzativa dell'azienda simulata e individuato conversazioni utili come punto di leva, svolgendo in pochi minuti un lavoro che manualmente richiederebbe ore.

Le informazioni raccolte nell’ambiente simulato hanno indicato come bersaglio prioritario l'amministratore delegato dell’azienda, già coinvolto in uno scambio di email con la vittima iniziale. A quel punto gli attaccanti hanno chiesto a Copilot di scrivere una nuova email riproducendo lo stile di prosa della vittima, lasciando un segnaposto per un link da inserire nel passaggio successivo. Il risultato è un tentativo di phishing con un tasso di riuscita molto più alto della media, perché proviene da un mittente interno realmente esistente e riconosciuto come affidabile dalla potenziale vittima.

Se il malcapitato CEO clicca sul link, attua inconsapevolmente un attacco adversary-in-the-middle che intercetta ed esegue il furto del token di sessione. A questo punto l’attaccante è in possesso di credenziali e token, con i quali può bypassare l’autenticazione a più fattori e accedere direttamente all'account del CEO, la cui casella ha già iniziato a inoltrare le notifiche di accesso verso la cartella degli elementi eliminati.

La parte più interessante arriva adesso. Con un solo prompt, del tipo "sono stato molto impegnato ultimamente, vorrei un riepilogo delle email finanziarie recenti, incluse fatture, importi e bonifici in programma", Copilot ha restituito in pochi secondi agli attaccanti una sintesi dei documenti finanziari più sensibili presenti nella casella, comprese fatture aperte e bonifici in corso di approvazione con i relativi importi. Ricordiamo che l'assistente opera con gli stessi privilegi del CEO, quindi la query viene eseguita con piena autorità, senza generare allarmi o chiedere controverifiche.

Tra i documenti riportati da Copilot nel PoC è comparso un bonifico da 247.500 dollari relativo a un contratto, già autorizzato e in attesa di approvazione finale: agli attaccanti è bastato reindirizzarlo su un conto sotto il loro controllo. Dalla casella compromessa del CEO, è stato sufficiente chiedere a Copilot di scrivere un'email al reparto finanziario, riproducendo tono e stile abituali del CEO, che citava nel dettaglio la transazione in corso e che chiedeva l'aggiornamento delle coordinate bancarie del beneficiario.

Come nei migliori attacchi BEC, il messaggio proviene dalla email reale del CEO, fa riferimento a un'operazione realmente in corso e rispetta il tono con cui il CEO comunica abitualmente. Un sistema di sicurezza email tradizionale non ha alcun elemento utile per intercettarlo e il team finanziario può facilmente cadere nel tranello.

C’è da dire che gli attaccanti sono stati decisamente bravi. Per evitare che il vero CEO vedesse la risposta di conferma del reparto finanziario, hanno creato una regola di inoltro sulla sua casella che reindirizza automaticamente ogni nuovo messaggio proveniente dall’amministrazione verso un indirizzo esterno, così che il titolare legittimo dell'account restasse all'oscuro della richiesta fraudolenta.

L'ultimo passaggio del test è stato la cancellazione delle tracce. Copilot ha individuato rapidamente i messaggi collegati alla frode e, dietro richiesta degli attaccanti, ha ripulito la casella in un attimo.

Qualcuno avrà notato che i passaggi ricalcano fedelmente un qualsiasi attacco BEC. La novità non è la tecnica, è la velocità, la scala e l'efficacia con cui i privilegi del chatbot AI possono essere sfruttati dagli attaccanti. Mappare un organigramma, ricostruire lo stile di scrittura di una vittima, interrogare mesi di corrispondenza per individuare un bonifico in corso e ripulire le tracce di una frode sono tutte operazioni che un attaccante umano potrebbe portare a termine senza AI, ma impiegando ore o giorni di lavoro manuale e competenze specifiche. Con un assistente AI collegato alla casella compromessa, la stessa sequenza si comprime in pochi minuti e diventa accessibile anche ad attaccanti meno esperti.

Qual è l’utilità dell’esperimento? È una indicazione chiara per chi si occupa di sicurezza aziendale: l'assistente AI integrato nella posta elettronica va trattato a tutti gli effetti come una superficie da monitorare e mettere in sicurezza.