--- id: CP-017 slug: compromissione-posta-aziendale-bec lang: it title: La compromissione della posta aziendale (BEC) description: Come un attaccante prende il controllo di una casella aziendale o falsifica un mittente noto, e come verificare una richiesta di pagamento. canonical_url: https://startbrain.io/cyberpedia/it/articles/compromissione-posta-aziendale-bec/ markdown_url: https://startbrain.io/cyberpedia/it/articles/compromissione-posta-aziendale-bec.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «La compromissione della posta aziendale (BEC)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/compromissione-posta-aziendale-bec/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-007 schema: G1 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/compromissione-posta-aziendale-bec/ fr: https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/ en: https://startbrain.io/cyberpedia/en/articles/business-email-compromise-bec/ de: https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/ es: https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/ nl: https://startbrain.io/cyberpedia/nl/articles/compromittering-zakelijke-e-mail-bec/ sources: - "n": 1 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 2 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 3 title: Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1534/ accessed: "2026-11-03" - "n": 4 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ published: "2021-05-27" accessed: "2026-11-03" --- # La compromissione della posta aziendale (BEC) In una compromissione della posta aziendale, un attaccante usa un indirizzo di cui ci si fida per ingannare un collega, un cliente o un fornitore. Ha preso il controllo di una casella reale, oppure costruisce un messaggio che imita il mittente. Il dipendente riceve una richiesta dall'aspetto ordinario, per esempio un pagamento da eseguire. Eppure gli attaccanti sfruttano le abitudini di lavoro di un'organizzazione per ottenere pagamenti non autorizzati [1]. Le fonti citate qui non trattano tutte questa frode con il suo nome. Documentano le tecniche che la rendono possibile: falsificazione del mittente, account compromessi, regole di inoltro nascoste, domini protetti male. La scheda si limita a ciò che dicono. ## In 30 secondi - Dove accade: nella posta elettronica, con un messaggio che sembra provenire da un interlocutore noto, a volte dall'account vero di un collega violato [2][3]. - Cosa vuole l'attaccante: ottenere un pagamento non autorizzato o delle password [1]. - Il riflesso: confermare ogni richiesta di pagamento o di modifica con un secondo mezzo di comunicazione, usando recapiti che già conosce e non quelli del messaggio [1][4]. - Se è già successo: lo segnali subito, anche dopo aver cliccato. Una segnalazione rapida limita i danni [1]. ## Domande dirette ### Che cos'è una compromissione della posta aziendale? È una frode via posta elettronica in cui l'attaccante recita la parte di una persona di fiducia. Le fonti descrivono due vie. O falsifica l'identità del mittente, ciò che MITRE chiama «Email Spoofing» [2]. Oppure compromette un account legittimo e lo usa per scrivere ai colleghi della vittima [3]. ### Come si riconosce il messaggio? CISA elenca alcuni segnali frequenti: un linguaggio urgente o emotivo, la richiesta di informazioni personali o finanziarie, indirizzi o link errati, come amazan.com [4]. Lo stesso testo precisa che gli errori di ortografia non sono più un indizio affidabile, perché alcune e-mail hanno ormai una grammatica perfetta [4]. ### Un indirizzo noto dimostra l'identità del mittente? No. La falsificazione del mittente può ingannare il destinatario umano e gli strumenti di sicurezza automatici [2]. Un attaccante può anche inserirsi in una conversazione già in corso, ciò che MITRE chiama «thread hijacking» [2]. E quando un account interno è davvero compromesso, l'attaccante sfrutta la fiducia riposta in quell'account per ingannare più persone [3]. ### Cosa fare se la richiesta sembra autentica? Non clicchi su alcun link e non chiami alcun numero indicato nel messaggio. CISA raccomanda di cercare un altro modo per contattare l'azienda o la persona, per esempio un numero ricavato da un sito verificato, oppure di chiamare un contatto di cui si ha già il numero [4]. L'NCSC britannico aggiunge che le richieste importanti ricevute per e-mail vanno verificate con un secondo tipo di comunicazione: SMS, telefonata, accesso a un account, conferma per posta o di persona [1]. ### Bisogna segnalare un clic sbagliato? Sì. L'NCSC chiede di non rimproverare chi cade in trappola, perché chi teme sanzioni non segnala i propri errori in tempo, o non li segnala affatto [1]. Invita inoltre le organizzazioni a fare in modo che gli utenti possano segnalare un'e-mail, anche dopo aver cliccato [1]. ## Nei panni dell'attaccante L'attaccante ha due punti di partenza. Il primo è un account rubato. Secondo MITRE, un account legittimo può essere compromesso controllando il dispositivo dell'utente o ottenendone le credenziali, e l'attaccante lo usa poi per ingannare altre persone della stessa organizzazione [3]. Per rubare le credenziali può inviare un link a un sito che imita una pagina di accesso [3]. Una volta dentro la casella, può installarvi una regola di inoltro. Gli permette di sorvegliare le attività della vittima, rubare informazioni e conoscere meglio l'organizzazione [5]. Può anche permettergli di mantenere l'accesso alle e-mail della vittima dopo che gli amministratori hanno reimpostato la password [5]. Il secondo punto di partenza è la falsificazione, che non richiede alcun accesso. L'attaccante si informa allora con ciò che è pubblico. Secondo l'NCSC, le informazioni del vostro sito e dei vostri social network servono a rendere più convincenti i messaggi mirati, in particolare per colpire un dirigente in un attacco detto «whaling» [1]. Le persone che gestiscono fondi o amministrano l'informatica lo interessano di più [1]. ## Cosa si vede sullo schermo Il messaggio arriva da un nome noto e chiede un'azione rapida. I segnali descritti da CISA sono l'urgenza, la richiesta di informazioni finanziarie e un indirizzo leggermente sbagliato [4]. Può bastare un dominio simile: MITRE osserva che il gruppo Leviathan ha inviato e-mail con link usando spesso un dominio «lookalike» fraudolento e un marchio rubato [6]. Il testo è a volte ineccepibile. L'NCSC cita un caso in cui una falsa e-mail di fattura che «needed urgent attention» era scritta bene, senza errori di ortografia né di grammatica [1]. Il nome visualizzato non dice tutto. Nella campagna descritta più avanti, l'e-mail sembrava provenire da un indirizzo usaid.gov, mentre l'indirizzo di invio reale apparteneva al servizio di invio di massa utilizzato, con un indirizzo di risposta (Reply-To) anch'esso in usaid.gov [7]. L'illustrazione seguente è inventata e neutralizzata. Mostra la forma tipica di una richiesta sospetta. ```text Illustration inventée, sans valeur réelle De : [nom d'un dirigeant] Objet : [paiement urgent] Corps : [demande de régler tout de suite une facture, de garder l'affaire confidentielle et de ne parler à personne] ``` ## Sotto il cofano Nelle fonti ricorrono tre meccanismi. Il primo è il furto di credenziali tramite phishing, visto sopra. Contro di esso l'NCSC raccomanda l'autenticazione a più fattori: con un secondo fattore, un attaccante non può accedere a un account con la sola password rubata [1]. CISA dà lo stesso consiglio ai privati [4]. Il secondo è la regola di inoltro. Le regole possono essere create da un'applicazione locale, da un'interfaccia web o da una riga di comando, e inviare i messaggi a destinatari interni o esterni senza limiti [5]. L'attaccante può anche nascondere la regola modificandone le proprietà tramite l'API MAPI di Microsoft, il che la rende invisibile in Outlook, OWA e nella maggior parte degli strumenti di amministrazione di Exchange [5]. In Exchange, alcune regole di trasporto possono perfino applicarsi a tutta la posta di un'organizzazione [5]. MITRE consiglia di disattivare l'inoltro esterno, di controllare regolarmente le regole e di configurare avvisi fuori banda sugli invii insoliti, come gli inoltri di massa [5]. Il terzo è il controllo del dominio di invio. MITRE raccomanda SPF per verificare il dominio del mittente e DKIM per l'integrità dei messaggi, e osserva che una policy come DMARC aiuta i destinatari a filtrare allo stesso modo [2]. L'NCSC precisa che DMARC impedisce ai truffatori di falsificare il vostro dominio e che, se il mittente ha una policy DMARC di quarantena o di rifiuto, il destinatario deve applicarla quando la validazione fallisce [1]. MITRE riconosce del resto che l'e-mail interna trappola è difficile da bloccare con controlli preventivi, perché si basa sull'abuso di funzioni normali [3]. ## Autopsie ### 28 gennaio 2021: la campagna NOBELIUM, le prime ondate Microsoft segue da gennaio 2021 una campagna di e-mail malevole condotta da NOBELIUM, l'attore dietro gli attacchi a SolarWinds [7]. Inizia il 28 gennaio 2021: l'attore invia dapprima solo la parte di follow-up del messaggio, per individuare i bersagli che cliccano, senza consegnare alcun payload malevolo [7]. Questo caso mira all'installazione di software malevolo e non a un pagamento. Mostra comunque il metodo: provare, osservare chi reagisce, adattarsi [7]. ### 25 maggio 2021: un mittente di fiducia imitato su larga scala Il 25 maggio 2021 NOBELIUM usa il servizio legittimo di invio di massa Constant Contact per spacciarsi per un'organizzazione americana per lo sviluppo [7]. Prende di mira circa 3.000 account in più di 150 organizzazioni [7]. In un esempio, l'e-mail sembra provenire da USAID, con un indirizzo di invio autentico che termina con @in.constantcontact.com e un indirizzo di risposta in usaid.gov [7]. Il link porta prima al servizio legittimo, poi all'infrastruttura dell'attaccante, che consegna un file ISO malevolo [7]. I sistemi automatici hanno bloccato la maggior parte delle e-mail classificandole come spam, ma alcuni dei primi messaggi possono essere stati consegnati [7]. Microsoft raccomanda l'autenticazione a più fattori per limitare l'effetto di credenziali compromesse [7]. ## Fonti 1. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1534/ (consultato il 3 novembre 2026) 4. CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultato il 3 novembre 2026) 7. Microsoft, «New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog», 27 maggio 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/compromissione-posta-aziendale-bec/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.