Sulle pagine del nostro blog denunciamo da tempo le innumerevoli trappole digitali che ogni giorno minacciano professionisti, PMI e grandi imprese, ponendo l’accento su come il vettore e-mail rimanga la porta d’ingresso preferita dagli attaccanti. L’ultima segnalazione in ordine di tempo arriva direttamente dal CSIRT Italia, che ha intercettato una pericolosa campagna di phishing pensata per sottrarre dati aziendali sensibili. Questa volta i cybercriminali hanno scelto di fare leva sul marchio del Registro Imprese e delle Camere di Commercio, costruendo un’architettura d’attacco pensata per insinuarsi nella routine quotidiana degli uffici amministrativi sfruttando falsi solleciti e presunte scadenze burocratiche.
Dal punto di vista tattico, l’esca si presenta sotto forma di una e-mail redatta in un italiano rivedibile, strutturata appositamente per creare, citando testualmente, un finto “contesto operativo di urgenza”. Nel testo si sostiene che il messaggio rappresenti già il terzo tentativo di contatto per richiedere l’aggiornamento o l’inserimento dei dati aziendali, spingendo la vittima ad agire d’impulso per evitare ipotetiche sanzioni o blocchi. Cliccando sul link malevolo fornito nel corpo del messaggio, l’utente viene indirizzato su una landing page fasulla che riproduce fedelmente l’interfaccia grafica e i loghi ufficiali delle Camere di Commercio. Una volta completato il modulo e inviate le informazioni richieste, il sistema compie un’azione particolarmente astuta: effettua un reindirizzamento al portale legittimo per rassicurare l’utente e nascondere l’avvenuta esfiltrazione dei dati.
Un elemento di grande interesse analitico risiede nell’infrastruttura di domini e indirizzi impiegata dagli aggressori, rivelata dagli Indicatori di Compromissione (IoC) rilasciati dalle autorità. Molto spesso le minacce informatiche utilizzano domini con tecniche di Typosquatting estremamente simili all’ente o azienda impersonata, ma in molti altri casi vengono usati nomi completamente estranei e scollegati al marchio usurpato. Nell’attacco specifico coesistono entrambe le tipologie: da un lato troviamo infatti il dominio dati[.]registroimprese[.]app, chiaramente studiato per trarre in inganno la vittima con una somiglianza ingannevole, mentre dall’altro emergono risorse del tutto fuori contesto come africansinmission[.]org e l’e-mail mittente registroimprese[.]it@arrowlawn[.]com. È proprio la presenza di questi dettagli visibilmente anomali negli indirizzi web e nelle caselle di posta a rappresentare il vero punto debole dei cybercriminali, rendendo l’attacco facilmente individuabile anche per un occhio meno attento.
Per limitare i danni di campagne di questo genere, l’Agenzia per la Cybersicurezza Nazionale raccomanda una serie di contromisure immediate sia individuali che organizzative. È fondamentale diffidare sempre da messaggi inattesi, specie se contengono solleciti pressanti o richieste di pagamento urgente, ed evitare assolutamente di accedere a servizi inserendo credenziali da link ricevuti per e-mail. La buona prassi prevede di digitare direttamente l’URL ufficiale nel browser e, qualora si sospetti di aver inserito coordinate di pagamento o credenziali finanziarie su pagine fraudolente, contattare tempestivamente il proprio istituto di credito per il blocco cautelativo dello strumento di pagamento e implementare gli opportuni IoC sulle infrastrutture di sicurezza aziendali.
Questa specifica vicenda dimostra come l’ingegneria sociale continui ad evolversi puntando non più e non solo sui singoli cittadini, ma sempre più sui processi burocratici che regolano il mondo produttivo. L’adozione impropria dell’identità di enti camerali ed istituzionali sfrutta la naturale tendenza ad adempiere agli obblighi di legge, ponendo le aziende di fronte a rischi sistemici d’impatto rilevante. La protezione del perimetro aziendale non può dunque basarsi esclusivamente su filtri antispam e firewall, ma deve necessariamente passare da una costante attività di formazione del personale e dalla diffusione di una cultura del dubbio. Solo allenando l’attenzione ai piccoli dettagli, come il controllo sistematico del nome di dominio prima di qualsiasi inserimento dati, è possibile trasformare ogni dipendente nel primo vero baluardo difensivo dell’organizzazione.
Fonte: 1