Cisco Talos ha osservato nell’ultimo anno abusi su oltre 25 piattaforme legittime. I criminali inseriscono numeri telefonici e contenuti ingannevoli nelle notifiche automatiche: l’autenticazione del mittente non garantisce la sicurezza del messaggio.

Un’email può provenire da un’infrastruttura legittima, superare i controlli di autenticazione e contenere comunque una truffa. È il meccanismo descritto da Cisco Talos nello studio «Parasitizing trust: How legitimate infrastructure becomes a delivery pipeline for attackers», pubblicato il 21 ottobre. Nell’ultimo anno, i ricercatori hanno osservato abusi su oltre 25 piattaforme di collaborazione, produttività, condivisione file, pagamenti e servizi collegati all’intelligenza artificiale.

La tecnica sfrutta una distinzione spesso trascurata: la fiducia nel sistema che invia una comunicazione non può essere estesa automaticamente al suo contenuto. Gli aggressori inseriscono istruzioni ingannevoli nei dati che le piattaforme riportano nelle notifiche automatiche, utilizzando così servizi conosciuti come veicolo di distribuzione. Questo non implica necessariamente la compromissione dei sistemi delle aziende coinvolte.

Acquisti inattesi e numeri di assistenza fraudolenti

Talos ha analizzato due campagne che abusavano dei sistemi di notifica degli ordini di Staples e Dell, per un totale di circa 1.400 messaggi osservati. Le comunicazioni presentavano acquisti di valore elevato: un Apple iPad nel primo caso e Microsoft Project Standard 2024, per 736,09 dollari, nel secondo.

L’elemento fraudolento era inserito nei campi relativi alla transazione, normalmente destinati a informazioni di spedizione o fatturazione. Qui comparivano numeri telefonici presentati come linee di assistenza, con l’obiettivo di indurre il destinatario a chiamare per contestare un acquisto mai effettuato.

Il passaggio dall’email alla conversazione telefonica consentiva di proseguire attraverso tecniche di ingegneria sociale, potenzialmente finalizzate a manipolare pagamenti, sottrarre credenziali o convincere la vittima ad autorizzare un accesso remoto. I circa 1.400 messaggi indicano il traffico osservato nelle due campagne, non il numero di persone truffate.

Anche registrazioni e avvisi di mancata consegna diventano esche

Lo stesso principio viene applicato ai moduli di registrazione. Se una piattaforma non controlla adeguatamente i dati inseriti, un criminale può collocare contenuti ingannevoli nei campi destinati a nome, azienda o titolo di un progetto. Il servizio li riproduce poi nelle proprie email di benvenuto o verifica, conferendo al messaggio un’apparenza amministrativa credibile.

Un ulteriore caso riguarda gli avvisi di mancata consegna. Talos ha individuato una notifica del sistema di posta che conteneva un’esca riferita a WeTransfer: il contenitore sembrava un normale messaggio tecnico, mentre il contenuto incorporato invitava a interagire con una presunta procedura di trasferimento file. Il richiamo al marchio non dimostra, di per sé, che la notifica fosse stata inviata dal servizio di condivisione.

I controlli sul mittente non bastano

Nei campioni analizzati, le verifiche di autenticazione dei domini, tra cui DKIM e DMARC, risultavano superate. Questi strumenti aiutano a verificare l’origine del messaggio, ma non certificano la legittimità della transazione, del numero telefonico riportato o dell’azione richiesta al destinatario.

Per i gestori delle piattaforme, Talos raccomanda quindi di controllare i dati forniti dagli utenti prima della memorizzazione e prima dell’inserimento nelle notifiche. Numeri telefonici, collegamenti e istruzioni urgenti collocati in campi anomali dovrebbero essere respinti o segnalati. I sistemi di sicurezza della posta devono invece analizzare l’intero contenuto, compresi allegati, reindirizzamenti e messaggi incorporati negli avvisi di errore.

Il rischio riguarda anche la continuità delle comunicazioni aziendali: l’abuso delle infrastrutture può deteriorare la reputazione del mittente e favorire il blocco delle email legittime della piattaforma. Per gli utenti, il comunicato invita a verificare acquisti inattesi e richieste urgenti attraverso canali ufficiali reperiti autonomamente, senza utilizzare i recapiti presenti nel messaggio sospetto.blog.talosintelligence

© Riproduzione riservata