Nonostante siano passati molti mesi dall’accaduto, pochi giorni fa sono emersi alcuni dettagli di una truffa ai danni della Zecca di Stato avvenuta nel maggio scorso, quando alcuni hacker sono riusciti ad appropriarsi di una cifra milionaria sfruttando una delle truffe più banali e più diffuse nel web, capaci però al contempo di provocare grossi danni. La truffa viene indicata col diminutivo BEC, che significa Business Email Compromise ed avviene quando degli attori malevoli si fingono fornitori di un’importante azienda o ente ed inviano messaggi con i propri IBAN per farsi pagare ingenti somme di denaro.
A livello tecnico anche nei confronti della Zecca è successa la stessa cosa di quello che accade nei casi di Man in the Middle, ovvero gli attaccanti si sono inseriti in scambi di messaggi di posta elettronica tra l’ente ed alcuni fornitori che dovevano essere pagati. Questo, come anticipato, può avvenire anche in caso di scambi di cifre esigue, ma in questo caso sono stati messi a rischio ben 3 milioni di Euro, ma “per fortuna” la Polizia Postale è riuscita a sventare il furto limitando la perdita a 50mila Euro.
Non è la prima volta che accadono cose del genere ad aziende di grandi dimensioni, basti pensare che solo nel novembre scorso anche Poste Italiane stava per corrispondere 5 milioni di Euro in un giro di email con degli hacker che si facevano passare per Microsoft, in modo quasi efficace. Il caso però che in passato ha fatto più scalpore è quello dell’azienda automobilistica Toyota, che nel 2019 è riuscita a farsi rubare addirittura 37 milioni di Euro.
Tornando alla Zecca di Stato, nel maggio scorso gli hacker che si sono intrufolati nel giro di messaggi con i fornitori di tondini metallici per il conio delle monete hanno dapprima copiato il formato delle email dell’azienda e poi hanno dato comunicazione di un nuovo IBAN nel modo più convincente possibile. Gli addetti della Zecca non si sono sincerati della veridicità del messaggio provvedendo quindi all’emissione di due bonifici datati 19 e 25 maggio, uno da 1 milione e l’altro per i restanti 2 milioni, nei confronti di un conto presente nella banca MBH con sede in Ungheria.
I dubbi dei dipendenti della Zecca però nascono solo dopo il secondo bonifico, che viene stoppato prontamente dalla Polizia Postale, mentre l’altro era già stato prontamente incassato ma, diversamente dal solito, la cifra non era stata prelevata del tutto dagli hacker. A quel punto è entrata in aiuto la Banca d’Italia, che ha attivato i suoi meccanismi per congelare la cifra più alta possibile, ovvero 950mila Euro. Questo ha fatto sì che la cifra che è andata perduta si sia limitata ai 50mila Euro già citati in precedenza.
Per evitare questi attacchi è sicuramente necessario prestare molta attenzione a tutti i dettagli di ciò che si riceve via email, perdendo anche del tempo per avere la sicurezza che l’interlocutore sia quello realmente menzionato, ma è possibile anche coprirsi dal punto di vista tecnico configurando i domini di posta con i vari record DKIM, SPF e DMARC evitando così l’uscita di messaggi illeciti dal proprio dominio. Per evitare accessi fraudolenti alle proprie caselle invece si consiglia sempre di più almeno l’autenticazione a più fattori, di modo che anche se un hacker riuscisse a scoprire la password della propria casella non riesca poi ad intrufolarsi al suo interno.
Fonte: 1
