In appena quattordici giorni oltre 9.000 aziende sono state raggiunte da circa 24.700 email malevole, che sono state individuate e bloccate da Check Point. Comune denominatore era la leva della campagna: la preoccupazione economica delle vittime. Infatti, le email imitavano comunicazioni legittime di assistenza finanziaria e informavano i destinatari di poter accedere a un programma di supporto, al consolidamento del debito, a una riduzione di importo delle rate o ad altre forme di sostegno, e invitavano i malcapitati a contattare il numero fornito nel messaggio per ricevere maggiori informazioni.

Nota bene: non c'era alcun sito per il furto delle credenziali, né un payload da scaricare. Il testo aveva come unico obiettivo approfittare della posizione di debolezza psicologica e al contempo creare un senso di urgenza sufficiente a spingere il destinatario verso una conversazione telefonica diretta con l'attaccante. Una volta avviata la chiamata, il cybercriminale può proseguire l'interazione per telefono, bypassando del tutto qualsiasi sistema per la sicurezza informatica.

Gli obiettivi ultimi sono la sottrazione di dati personali o finanziari, la raccolta di informazioni sui pagamenti, la costruzione di una relazione di fiducia da sfruttare per frodi successive, oppure lo spostamento della vittima verso un ulteriore canale controllato dall'attaccante, come un servizio di messaggistica o una piattaforma esterna.

Un attacco così configurato mette in difficoltà gli strumenti di difesa costruiti sugli indicatori tradizionali perché non ci sono URL sospetti, malware noto, allegati pericolosi, reputazione del dominio mittente. Il messaggio può essere privo di qualsiasi elemento dannoso riconducibile direttamente al phishing, tramite un linguaggio (sviluppato con il supporto dell’AI) che ricalca la comunicazione commerciale ordinaria del settore finanziario. L’unica difesa in questo caso è la capacità della vittima di interpretare intento e contesto del messaggio.

Le soluzioni di email più avanzate sono in grado di identificare comunque il rischio dietro a messaggi di questo tipo perché, sfruttando l’AI, valutano l'intento del messaggio, il rischio associato all'utente e il contesto della campagna. In particolare, l'analisi basata su AI ed esamina linguaggio, struttura, comportamento del mittente, contesto e azione richiesta e alla fine “unisce i puntini” e identifica l’intento malevolo.

Questo caso è importante perché riflette un cambiamento nel modo di agire degli attaccanti, che mantengono un approccio opportunistico ma lo adattano per ottenere il massimo risultato con il minimo sforzo. Prima di tutto aggiornano i pretesti con l’attualità: le difficoltà economiche globali sono note; la probabilità di incappare in aziende che si sono indebitate è alta. In secondo luogo, spesso non serve costruire un'intera infrastruttura malevola quando si possono sfruttare processi aziendali familiari, canali di comunicazione considerati affidabili e la componente emotiva legata alle preoccupazioni economiche. Quello che dovrebbero fare di conseguenza i team di difesa è adattarsi di conseguenza, andando oltre il link malevolo nella email e indagando la volontà del messaggio di indurre un'azione dannosa.

Purtroppo non c’è ancora un’attribuzione per la campagna oggetto di questo articolo, quindi è necessario stare allerta. Ovviamente vale il consiglio principe di igiene cyber: un'email non richiesta deve destare sospetti. La promessa di assistenza sui debiti deve destare sospetti e deve indurre a verificare l'offerta attraverso i canali ufficiali dell'ente finanziario che si è presentato. Nessuna comunicazione dovrebbe portare alla condivisione di credenziali di accesso, dati delle carte di credito, coordinate bancarie o documenti sensibili con un interlocutore telefonico non verificato.