Trace Id is missing
Passa a contenuti principali
Microsoft Security

Che cosa si intende per compromissione della posta elettronica aziendale (BEC)?

Proteggiti dalla compromissione della posta elettronica aziendale

Definizione di compromissione della posta elettronica aziendale (BEC)

La compromissione della posta elettronica aziendale è un tipo di crimine informatico in cui il truffatore utilizza la posta elettronica per indurre qualcuno a inviare denaro o a divulgare informazioni aziendali riservate. Il colpevole si presenta come una figura di fiducia per poi chiedere il pagamento di una fattura falsa o di dati sensibili da utilizzare in un'altra truffa. Le truffe BEC sono in aumento a causa dell'incremento del lavoro remoto: l'anno scorso l'FBI ha ricevuto quasi 20.000 denunce relative alla BEC.1

Tipi di truffe di compromissione della posta elettronica aziendale

La posta elettronica è il punto di partenza per il 91% degli attacchi informatici.2 Scopri i tipi più comuni di compromissione della posta elettronica.

Furto di dati

A volte i truffatori iniziano prendendo di mira il reparto Risorse umane e rubando informazioni aziendali come la pianificazione o il numero di telefono personale di qualcuno. In questo modo è più facile mettere in atto una delle altre truffe BEC e farla sembrare più credibile.

Utilizzo di fatture false

Fingendosi un fornitore legittimo con cui lavora la tua azienda, il truffatore invia tramite e-mail una fattura falsa, spesso molto simile a quella reale. Il numero di conto può differire anche solo di una cifra. In alternativa, può chiederti di effettuare il pagamento a un'altra banca, sostenendo che la tua è sottoposta a verifica.

Truffa del CEO

I truffatori possono effettuare lo spoofing o violare l'account di posta elettronica di un CEO per poi inviare un'e-mail ai dipendenti con le istruzioni per effettuare un acquisto o inviare denaro tramite bonifico. Potrebbero anche chiedere a un dipendente di acquistare dei buoni regalo, richiedendo poi le foto dei numeri di serie.

Impersonificazione di un avvocato

In questa truffa gli utenti malintenzionati ottengono l'accesso non autorizzato all'account di posta elettronica di uno studio legale per poi inviare ai clienti via e-mail una fattura o un collegamento per effettuare il pagamento online. L'indirizzo e-mail è legittimo, ma il conto corrente no.

Compromissione dell'account

I truffatori utilizzano phishing o software dannosi per accedere all'account di posta elettronica di un dipendente del settore finanziario, ad esempio un manager della contabilità clienti. Dopodiché inviano tramite e-mail ai fornitori dell'azienda fatture false che richiedono il pagamento su un conto corrente falso.

Come funzionano le truffe BEC?

Ecco cosa succede durante una truffa BEC:

1. I truffatori fanno ricerche sui loro target e trovano un modo per falsificare la propria identità. A volte creano siti Web falsi o addirittura registrano società con lo stesso nome della tua in un paese diverso.

2. Una volta ottenuto l'accesso, monitorano gli indirizzi e-mail per capire chi potrebbe inviare o ricevere denaro. Esaminano anche i modelli di conversazione e le fatture.

3. Durante una conversazione via e-mail, il truffatore in questione si spaccia per uno degli interlocutori, effettuando lo spoofing del dominio di posta elettronica (l'indirizzo e-mail può differire di una o due lettere oppure può essere corretto ma fornito tramite un dominio diverso, ad esempio chris@contoso.com tramite fabrikam.com).

4. Il truffatore cerca di ottenere la fiducia dell'obiettivo per poi chiedere denaro, buoni regalo o informazioni.

Target della compromissione della posta elettronica aziendale

Chiunque può essere il bersaglio di una truffa BEC. Vengono presi di mira aziende, governi, organizzazioni no profit e scuole, in particolare i seguenti ruoli:

1. Dirigenti e leader, in quanto le loro informazioni sono spesso disponibili pubblicamente sul sito Web dell'azienda, quindi gli utenti malintenzionati possono fingere di conoscerli.

2. Dipendenti del settore finanziario come titolari del trattamento e personale addetto alla contabilità fornitori, che dispongono di dati bancari, metodi di pagamento e numeri di conto.

3. Responsabili delle risorse umane, perché dispongono dei dati dei dipendenti, come codice fiscale, dichiarazioni dei redditi, informazioni sul contatto e pianificazioni.

4. Dipendenti nuovi o principianti che non sono in grado di verificare la legittimità di un'e-mail con il mittente.

I pericoli della BEC

Se un attacco di compromissione della posta elettronica aziendale va a buon fine, ecco quali conseguenze potrebbe subire l'organizzazione:

1. Perdita da centinaia di migliaia a milioni di dollari.

2. Furto d'identità diffuso in caso di furto di dati personali.

3. Divulgazione accidentale di dati riservati, come la proprietà intellettuale.

Con l'evoluzione degli schemi BEC, si evolvono anche le strategie di protezione dalle minacce. L'anno scorso, infatti, Microsoft ha bloccato 32 miliardi di minacce di posta elettronica.3 Scopri di più sulle soluzioni di protezione dalle minacce di posta elettronica di Microsoft.

Esempi di compromissione della posta elettronica aziendale

Esempio n. 1: "Paga questa fattura urgente"

Supponiamo che lavori nel reparto finanziario della tua azienda. Ricevi un'e-mail dal responsabile finanziario con una richiesta urgente relativa a una fattura scaduta, ma in realtà il messaggio non proviene dal responsabile. In alternativa, il truffatore finge di agire per conto della società di riparazioni o del provider di servizi Internet e ti invia una fattura apparentemente attendibile.

Esempio n. 2: "Qual è il tuo numero di telefono?"

Il dirigente aziendale ti invia un'e-mail con scritto: "Ho bisogno del tuo aiuto per un'attività urgente. Mandami il numero di telefono, così ti invio un messaggio". Inviare un SMS sembra più sicuro e personale rispetto alle e-mail, pertanto il truffatore spera che condividerai dati di pagamento o altre informazioni sensibili. Si tratta del cosiddetto "smishing" o phishing via SMS (messaggi di testo).

Esempio n. 3: "Contratto di locazione in scadenza"

Un truffatore ottiene l'accesso alla posta elettronica di una società immobiliare e trova le transazioni in corso. Invia ai clienti un'e-mail con scritto: "Ecco la fattura per rinnovare il contratto di locazione dell'ufficio per un altro anno" o "Ecco il collegamento tramite cui pagare il deposito del contratto di locazione". Di recente i truffatori sono riusciti a sottrarre più di 500.000 dollari in questo modo.4

Esempio n. 4: "Acquisizione riservata"

Il tuo capo ti chiede un acconto per acquisire un'azienda concorrente. "Che rimanga tra noi", dice l'e-mail, dissuadendoti dal verificare la richiesta. Poiché i dettagli nel settore M&A rimangono spesso riservati fino a quando non è tutto definitivo, questa truffa potrebbe non sembrare sospetta all'inizio.

Suggerimenti per prevenire la BEC

Segui queste cinque procedure consigliate per prevenire la compromissione della posta elettronica aziendale:

Utilizza una soluzione di posta elettronica sicura

Le applicazioni di posta elettronica come Office 365 contrassegnano ed eliminano automaticamente le e-mail sospette o avvisano che il mittente non è verificato. Di conseguenza, puoi bloccare determinati mittenti e segnalare le e-mail come posta indesiderata. Defender per Office 365 offre ancora più funzionalità di prevenzione della BEC, come la protezione avanzata dal phishing e il rilevamento di inoltri sospetti.

Configura l'autenticazione a più fattori (MFA)

Rendi la tua e-mail più difficile da compromettere attivando l'autenticazione a più fattori. In questo caso, oltre alla password, si richiede un codice, un PIN o un'impronta digitale per accedere.

Spiega ai dipendenti come individuare i segnali di pericolo

Assicurati che tutti sappiano come individuare collegamenti di phishing, una mancata corrispondenza tra dominio e indirizzo e-mail e altri segnali di pericolo. Simula una truffa BEC in modo che i dipendenti sappiano riconoscerla quando si verifica.

Abilita le impostazioni predefinite per la sicurezza

Gli amministratori possono rafforzare i requisiti di sicurezza in tutta l'organizzazione richiedendo a tutti l'uso dell'autenticazione a più fattori, verificando gli accessi nuovi o rischiosi tramite l'autenticazione e obbligando a reimpostare le password in caso di fuga di informazioni.

Usa gli strumenti di autenticazione della posta elettronica

Rendi più difficile lo spoofing della posta elettronica autenticando i mittenti con Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) e Domain-based Message Authentication, Reporting, and Conformance (DMARC).

Scegli una piattaforma di pagamento sicura

Considera la possibilità di passare dalle fatture inviate via e-mail a un sistema specifico per l'autenticazione dei pagamenti.

Protezione dalla compromissione della posta elettronica aziendale

Aiuta a proteggere la tua organizzazione con soluzioni per il rilevamento di e-mail sospette come Microsoft Defender per Office 365, che è in grado di fare quanto segue:

1. Controllare automaticamente gli standard di autenticazione delle e-mail, rilevare lo spoofing e inviare le e-mail alle cartelle di quarantena o di posta indesiderata.

2. Utilizzare l'IA per delineare i modelli di posta elettronica abituali di una persona e segnalare le attività anomale.

3. Configurare la protezione delle e-mail per utente, dominio e cassetta postale.

4. Indagare sulle minacce, scoprire chi è il target, rilevare i falsi positivi e individuare i truffatori in Esplora minacce.

5. Controllare i modelli di e-mail a livello di dominio ed evidenziare le attività insolite con algoritmi avanzati in Spoof Intelligence.

Scopri di più su Microsoft Security

Sei suggerimenti per rendere più sicura la posta elettronica

Segui queste procedure consigliate per la sicurezza della posta elettronica per proteggerti dalla BEC.

Leggi i suggerimenti

Scopri come funziona la truffa dei buoni regalo

Leggi le e-mail reali dei truffatori che cercano di mettere in atto una truffa BEC, in modo da non farti prendere alla sprovvista.

Scopri le tattiche

Analizza un attacco BEC

Scopri in che modo i truffatori attuano una truffa di compromissione della posta elettronica aziendale nella vita reale.

Scopri i dettagli

Previeni gli attacchi di password spraying

Scopri come scongiurare un attacco e-mail di questo tipo e come identificare i dipendenti vulnerabili nella tua organizzazione.

Leggi il post

Cosa devono sapere i direttori della sicurezza informatica

Scopri qual è lo stato della formazione sulla sicurezza e come insegnare al tuo team a difendersi dal phishing.

Scopri di più

Come l'autenticazione a più fattori previene il phishing

Adotta una delle misure più rapide e semplici per contrastare le truffe BEC: attiva l'autenticazione a più fattori (MFA).

Scopri di più

Scopri la Digital Crimes Unit (DCU)

Scopri come il team di Microsoft che si occupa di criminalità informatica contrasta la BEC con prodotti innovativi, ricerca e IA.

Scopri la DCU

Domande frequenti

  • Invia una denuncia all'Internet Crime Complaint Center (IC3) dell'FBI. Segnala l'e-mail attraverso il tuo provider di posta elettronica contrassegnandola come posta indesiderata. Se la posta elettronica non prevede questa opzione, informa il tuo supervisore.

  • Il phishing è solo uno dei tipi di compromissioni della posta elettronica aziendale. BEC è il termine generico, un tipo di attacco che spesso include phishing, spoofing, impersonificazione e fatture false.

  • Proteggi la posta elettronica aziendale seguendo le procedure consigliate sulla sicurezza della posta elettronica, come l'utilizzo di un provider di posta elettronica sicuro, l'attivazione dell'autenticazione a più fattori (MFA), la scelta di una password di posta elettronica sicura, la sua frequente modifica, nonché l'impegno a non condividere i dati personali online. Se sei un amministratore, prendi in considerazione soluzioni per la sicurezza della posta elettronica come Defender per Office 365, configura le impostazioni di sicurezza e monitora le attività per individuare eventuali anomalie.

  • Per individuare le truffe e le frodi BEC, è sufficiente notare qualcosa di insolito, come un'e-mail inviata al di fuori dell'orario di ufficio, nomi scritti in modo errato, una mancata corrispondenza tra l'indirizzo e-mail del mittente e l'indirizzo di risposta, un senso di urgenza, collegamenti e allegati strani o modifiche ai dati di pagamento o fatturazione. Puoi individuare le truffe BEC anche controllando le e-mail eliminate e le regole di inoltro del tuo account di posta elettronica per verificare se quest'ultimo è stato compromesso. Un altro modo per rilevare le truffe BEC è controllare se l'app di posta elettronica contrassegna determinate e-mail come sospette o non verificate.

  • Lo spoofing delle e-mail consiste nel falsificare un indirizzo e-mail per farlo apparire come appartenente a qualcun altro. Le e-mail falsificate possono essere simili a quelle reali, ma provengono da un dominio diverso, difficile da individuare finché non lo si ispeziona (chris@contoso.com tramite fabrikam.com), presentano sottili differenze di ortografia (chris@cont0so.com) o provengono da un dominio completamente diverso (chris@fabrikam.com).

Segui Microsoft 365