BEC Business Email Compromise.

Cosa distingue il BEC dal phishing ordinario

Il Business Email Compromise è una frode condotta tramite pretesto anziché tramite payload. L'attaccante non ha bisogno di un link malevolo né di un allegato che installa malware. Gli serve una storia plausibile, un senso di urgenza e una vittima con l'autorità di spostare denaro o dati. Un dominio falsificato o somigliante, una casella di posta compromessa o un indirizzo registrato di recente che assomiglia a un fornitore noto bastano a preparare la scena. Poiché nulla di tecnicamente malevolo transita sulla rete, i gateway di posta sicura, gli antivirus e le sandbox dei link lasciano spesso passare il messaggio. L'attacco vive interamente nella conversazione.

Per questo il BEC si colloca accanto al phishing nella stessa famiglia, pur comportandosi diversamente nella pratica. Il phishing generico è una rete ampia lanciata per ottenere credenziali o clic. Il BEC è paziente e mirato: l'attaccante studia l'organigramma, individua chi approva le fatture, osserva il tono delle email interne e attende un momento credibile, come un'acquisizione, una compravendita immobiliare o un direttore finanziario in trasferta all'estero. Il guadagno è un singolo bonifico fraudolento o un accredito stipendiale dirottato, spesso di importo elevato, anziché una password sottratta.

Le varianti comuni che incontrano i professionisti

Il BEC è una categoria, non un singolo trucco. La stessa logica di pretesto viene riutilizzata contro qualunque processo che muove valore all'interno dell'organizzazione.

• Frode del CEO: un attaccante impersona un alto dirigente e fa pressione su un dipendente della funzione finanziaria perché esegua un bonifico urgente e riservato, facendo leva sulla gerarchia e sulla discrezione per scoraggiare le domande.
• Frode del fornitore, detta anche dirottamento delle fatture: un fornitore fidato sembra inviare via email nuove coordinate bancarie, così che la successiva fattura legittima venga pagata sul conto dell'attaccante.
• Dirottamento dello stipendio: un dipendente sembra chiedere la modifica del conto di destinazione del proprio stipendio, reindirizzando di nascosto la propria retribuzione verso il truffatore.
• Compromissione dell'account: una vera casella di posta interna viene compromessa, così che la richiesta fraudolenta arrivi da un indirizzo autentico con uno storico autentico, il che elimina la maggior parte dei consueti segnali d'allarme.
• Impersonificazione di avvocato o consulente legale: il pretesto fa leva su un'operazione riservata e con tempi stretti, in cui ci si aspetta segretezza e la verifica appare sgarbata.

Perché qui il processo batte la tecnologia

L'autenticazione delle email aiuta. SPF, DKIM e DMARC aumentano il costo della falsificazione diretta del dominio e dovrebbero essere implementati. Ma non fanno nulla contro un dominio somigliante, un indirizzo di posta web gratuito o una casella di posta interna realmente compromessa, che sono i canali più usati dal BEC reale. I controlli decisivi sono procedurali, di competenza della funzione finanziaria e operativa anziché degli strumenti di sicurezza.

• Separazione dei compiti, in modo che nessuna singola persona possa sia richiedere sia autorizzare un pagamento.
• Verifica con richiamo fuori banda: confermare qualunque coordinata bancaria nuova o modificata, e qualunque bonifico insolito, utilizzando un numero di telefono già agli atti, mai un numero o un contatto fornito all'interno della richiesta stessa.
• Una regola ferma secondo cui urgenza e riservatezza non aggirano mai il normale iter di approvazione; queste due emozioni sono gli strumenti dell'attaccante.
• Soglie di doppia autorizzazione per i bonifici e per le modifiche delle coordinate bancarie dei fornitori.

Dove si colloca il BEC nel quadro normativo

Il BEC è una causa primaria di perdite finanziarie legate alla posta elettronica, il che lo colloca pienamente nell'ambito che un sistema di gestione della sicurezza delle informazioni è chiamato ad affrontare. Sotto un SGSI ISO 27001 il trattamento pertinente combina formazione di sensibilizzazione, controlli sulle relazioni con i fornitori e le procedure operative che disciplinano i pagamenti. Quando il BEC ha successo e vengono esposti dati personali, per esempio tramite una casella di posta compromessa piena di corrispondenza, può anche far scattare obblighi di violazione dei dati personali ai sensi del GDPR, ed è per questo che il piano di risposta deve coinvolgere l'ufficio legale e la funzione di protezione dei dati, non solo la finanza e l'IT.

Per i professionisti, il messaggio è che la difesa dal BEC è una responsabilità condivisa. La sicurezza presidia l'autenticazione delle email, il monitoraggio e la sensibilizzazione. La finanza presidia i controlli sui pagamenti che fermano davvero la frode. Trattarlo come un problema puramente tecnico da risolvere con un gateway migliore è l'errore che tiene in vita le perdite.