La compromissione della posta aziendale (BEC)
Come un attaccante prende il controllo di una casella aziendale o falsifica un mittente noto, e come verificare una richiesta di pagamento.
In 30 secondi
- Dove accade
- Nella posta elettronica, con un messaggio che sembra provenire da un interlocutore noto, a volte dall'account vero di un collega violato23.
- Cosa vuole l'attaccante
- Ottenere un pagamento non autorizzato o delle password1.
- Il riflesso
- Confermare ogni richiesta di pagamento o di modifica con un secondo mezzo di comunicazione, usando recapiti che già conosce e non quelli del messaggio14.
- Se è già successo
- Lo segnali subito, anche dopo aver cliccato. Una segnalazione rapida limita i danni1.
Di cosa si tratta
In una compromissione della posta aziendale, un attaccante usa un indirizzo di cui ci si fida per ingannare un collega, un cliente o un fornitore. Ha preso il controllo di una casella reale, oppure costruisce un messaggio che imita il mittente. Il dipendente riceve una richiesta dall'aspetto ordinario, per esempio un pagamento da eseguire. Eppure gli attaccanti sfruttano le abitudini di lavoro di un'organizzazione per ottenere pagamenti non autorizzati1.
Le fonti citate qui non trattano tutte questa frode con il suo nome. Documentano le tecniche che la rendono possibile: falsificazione del mittente, account compromessi, regole di inoltro nascoste, domini protetti male. La scheda si limita a ciò che dicono.
Domande dirette
Che cos'è una compromissione della posta aziendale?
È una frode via posta elettronica in cui l'attaccante recita la parte di una persona di fiducia. Le fonti descrivono due vie. O falsifica l'identità del mittente, ciò che MITRE chiama «Email Spoofing»2. Oppure compromette un account legittimo e lo usa per scrivere ai colleghi della vittima3.
Come si riconosce il messaggio?
CISA elenca alcuni segnali frequenti: un linguaggio urgente o emotivo, la richiesta di informazioni personali o finanziarie, indirizzi o link errati, come amazan.com4. Lo stesso testo precisa che gli errori di ortografia non sono più un indizio affidabile, perché alcune e-mail hanno ormai una grammatica perfetta4.
Un indirizzo noto dimostra l'identità del mittente?
No. La falsificazione del mittente può ingannare il destinatario umano e gli strumenti di sicurezza automatici2. Un attaccante può anche inserirsi in una conversazione già in corso, ciò che MITRE chiama «thread hijacking»2. E quando un account interno è davvero compromesso, l'attaccante sfrutta la fiducia riposta in quell'account per ingannare più persone3.
Cosa fare se la richiesta sembra autentica?
Non clicchi su alcun link e non chiami alcun numero indicato nel messaggio. CISA raccomanda di cercare un altro modo per contattare l'azienda o la persona, per esempio un numero ricavato da un sito verificato, oppure di chiamare un contatto di cui si ha già il numero4. L'NCSC britannico aggiunge che le richieste importanti ricevute per e-mail vanno verificate con un secondo tipo di comunicazione: SMS, telefonata, accesso a un account, conferma per posta o di persona1.
Bisogna segnalare un clic sbagliato?
Sì. L'NCSC chiede di non rimproverare chi cade in trappola, perché chi teme sanzioni non segnala i propri errori in tempo, o non li segnala affatto1. Invita inoltre le organizzazioni a fare in modo che gli utenti possano segnalare un'e-mail, anche dopo aver cliccato1.
1Nei panni dell'attaccante1 min
L'attaccante ha due punti di partenza. Il primo è un account rubato. Secondo MITRE, un account legittimo può essere compromesso controllando il dispositivo dell'utente o ottenendone le credenziali, e l'attaccante lo usa poi per ingannare altre persone della stessa organizzazione3. Per rubare le credenziali può inviare un link a un sito che imita una pagina di accesso3.
Una volta dentro la casella, può installarvi una regola di inoltro. Gli permette di sorvegliare le attività della vittima, rubare informazioni e conoscere meglio l'organizzazione5. Può anche permettergli di mantenere l'accesso alle e-mail della vittima dopo che gli amministratori hanno reimpostato la password5.
Il secondo punto di partenza è la falsificazione, che non richiede alcun accesso. L'attaccante si informa allora con ciò che è pubblico. Secondo l'NCSC, le informazioni del vostro sito e dei vostri social network servono a rendere più convincenti i messaggi mirati, in particolare per colpire un dirigente in un attacco detto «whaling»1. Le persone che gestiscono fondi o amministrano l'informatica lo interessano di più1.
2Cosa si vede sullo schermo1 min
Il messaggio arriva da un nome noto e chiede un'azione rapida. I segnali descritti da CISA sono l'urgenza, la richiesta di informazioni finanziarie e un indirizzo leggermente sbagliato4. Può bastare un dominio simile: MITRE osserva che il gruppo Leviathan ha inviato e-mail con link usando spesso un dominio «lookalike» fraudolento e un marchio rubato6.
Il testo è a volte ineccepibile. L'NCSC cita un caso in cui una falsa e-mail di fattura che «needed urgent attention» era scritta bene, senza errori di ortografia né di grammatica1.
Il nome visualizzato non dice tutto. Nella campagna descritta più avanti, l'e-mail sembrava provenire da un indirizzo usaid.gov, mentre l'indirizzo di invio reale apparteneva al servizio di invio di massa utilizzato, con un indirizzo di risposta (Reply-To) anch'esso in usaid.gov7.
L'illustrazione seguente è inventata e neutralizzata. Mostra la forma tipica di una richiesta sospetta.
Illustration inventée, sans valeur réelle
De : [nom d'un dirigeant] <[email protected]>
Objet : [paiement urgent]
Corps : [demande de régler tout de suite une facture, de garder
l'affaire confidentielle et de ne parler à personne]3Sotto il cofanoTeam IT2 min
Nelle fonti ricorrono tre meccanismi.
Il primo è il furto di credenziali tramite phishing, visto sopra. Contro di esso l'NCSC raccomanda l'autenticazione a più fattori: con un secondo fattore, un attaccante non può accedere a un account con la sola password rubata1. CISA dà lo stesso consiglio ai privati4.
Il secondo è la regola di inoltro. Le regole possono essere create da un'applicazione locale, da un'interfaccia web o da una riga di comando, e inviare i messaggi a destinatari interni o esterni senza limiti5. L'attaccante può anche nascondere la regola modificandone le proprietà tramite l'API MAPI di Microsoft, il che la rende invisibile in Outlook, OWA e nella maggior parte degli strumenti di amministrazione di Exchange5. In Exchange, alcune regole di trasporto possono perfino applicarsi a tutta la posta di un'organizzazione5. MITRE consiglia di disattivare l'inoltro esterno, di controllare regolarmente le regole e di configurare avvisi fuori banda sugli invii insoliti, come gli inoltri di massa5.
Il terzo è il controllo del dominio di invio. MITRE raccomanda SPF per verificare il dominio del mittente e DKIM per l'integrità dei messaggi, e osserva che una policy come DMARC aiuta i destinatari a filtrare allo stesso modo2. L'NCSC precisa che DMARC impedisce ai truffatori di falsificare il vostro dominio e che, se il mittente ha una policy DMARC di quarantena o di rifiuto, il destinatario deve applicarla quando la validazione fallisce1. MITRE riconosce del resto che l'e-mail interna trappola è difficile da bloccare con controlli preventivi, perché si basa sull'abuso di funzioni normali3.
4AutopsieCasi reali1 min
28 gennaio 2021: la campagna NOBELIUM, le prime ondate
Microsoft segue da gennaio 2021 una campagna di e-mail malevole condotta da NOBELIUM, l'attore dietro gli attacchi a SolarWinds7. Inizia il 28 gennaio 2021: l'attore invia dapprima solo la parte di follow-up del messaggio, per individuare i bersagli che cliccano, senza consegnare alcun payload malevolo7. Questo caso mira all'installazione di software malevolo e non a un pagamento. Mostra comunque il metodo: provare, osservare chi reagisce, adattarsi7.
25 maggio 2021: un mittente di fiducia imitato su larga scala
Il 25 maggio 2021 NOBELIUM usa il servizio legittimo di invio di massa Constant Contact per spacciarsi per un'organizzazione americana per lo sviluppo7. Prende di mira circa 3.000 account in più di 150 organizzazioni7. In un esempio, l'e-mail sembra provenire da USAID, con un indirizzo di invio autentico che termina con @in.constantcontact.com e un indirizzo di risposta in usaid.gov7. Il link porta prima al servizio legittimo, poi all'infrastruttura dell'attaccante, che consegna un file ISO malevolo7.
I sistemi automatici hanno bloccato la maggior parte delle e-mail classificandole come spam, ma alcuni dei primi messaggi possono essere stati consegnati7. Microsoft raccomanda l'autenticazione a più fattori per limitare l'effetto di credenziali compromesse7.
Scheda
- Identificativo
- CP-017
- Ala
- 1. Attacchi e tecniche
- Competenza Brain
- Riconoscere il phishing (detect_phishing)
- Riflesso Brain
- cr-007
- Schema
- G1 · Catena d'attacco (Kill Chain)
- Lingue
- de, en, es, fr, it
- Fonti
- 7 fonti verificate il 3 novembre 2026
Fonti7 fonti
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1534/ (consultato il 3 novembre 2026)
- CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultato il 3 novembre 2026)
- Microsoft, «New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog», 27 maggio 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «La compromissione della posta aziendale (BEC)», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp017_it_2026,
author = {Brain},
title = {La compromissione della posta aziendale (BEC)},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/compromissione-posta-aziendale-bec/},
note = {CC BY 4.0}
}