Come funziona l'email spoofing

Il protocollo email principale, SMTP, è stato progettato nei primi anni Ottanta per una piccola rete di ricercatori considerata affidabile. Non include alcuna autenticazione integrata del mittente.

Quell'ipotesi di fiducia originaria è il motivo per cui oggi lo spoofing delle email è così facile. Chiunque riesca a comunicare via SMTP con un server di posta può dichiarare di essere chiunque desideri, a meno che non vengano aggiunte ulteriori protezioni (SPF, DKIM, DMARC).

Un concetto fondamentale: un'email contiene in realtà due serie di indirizzi, che non devono necessariamente coincidere.

• Envelope (MAIL FROM) — usato dai server di posta per instradare il messaggio e gestire i mancati recapiti; l'utente non lo vede
• Header From — la riga 'From:' visualizzata nel client di posta

Lo spoofing sfrutta questa differenza: l'Header From visibile può contenere qualsiasi valore, indipendentemente da chi abbia realmente inviato il messaggio.

Poiché SMTP non verifica l'identità, un attaccante può semplicemente impostare l'header From su un indirizzo attendibile. Una conversazione SMTP grezza si presenta così:

Le email contraffatte sono alla base di importanti categorie di attacchi:

• Phishing — indurre gli utenti a inserire le credenziali
• Business Email Compromise (BEC) — impersonare un dirigente per autorizzare pagamenti fraudolenti
• Distribuzione di malware — allegati che sembrano provenire da un collega

Un messaggio che sembra provenire dal CEO o dalla banca dell'utente ha molte più probabilità di essere considerato affidabile e di indurre a un'azione.

Lo spoofing del dominio esatto falsifica l'header From per usare il Suo dominio reale, ad esempio ceo@yourcompany.com.

È la forma più pericolosa perché l'indirizzo è effettivamente corretto e non presenta errori di battitura riconoscibili. Senza l'autenticazione delle email, un server ricevente non ha modo di sapere che il messaggio non proviene dalla Sua vera infrastruttura.

SPF, DKIM e DMARC esistono soprattutto per impedire lo spoofing del dominio esatto.

Quando l'autenticazione impedisce lo spoofing del dominio esatto, gli attaccanti ricorrono a domini simili che possiedono e controllano realmente:

Anche con tutte le protezioni attive, gli attaccanti sfruttano il nome visualizzato, il testo descrittivo mostrato prima dell'indirizzo.

Molti client di posta, soprattutto sui dispositivi mobili, mostrano solo il nome visualizzato e nascondono l'indirizzo effettivo. Pertanto un'email proveniente da:

"Acme CEO" <random123@gmail.com>

può apparire semplicemente come Acme CEO. L'indirizzo è legittimo per Gmail, quindi l'autenticazione va a buon fine, ma l'utente viene ingannato. È un problema umano che l'autenticazione non può risolvere.

Per esaminare un messaggio sospetto, analizzi gli header completi. Registrano il percorso seguito dal messaggio e i risultati dell'autenticazione.

Gli header Received formano una catena, da leggere dal basso verso l'alto, che mostra ogni server attraversato dal messaggio.

Tra i segnali d'allarme vi sono:

• Un server di origine che non appartiene al mittente dichiarato
• Una mancata corrispondenza tra il Return-Path e il dominio From
• Geolocalizzazioni IP sospette o impreviste

Abbinata alla riga Authentication-Results, la catena degli header spesso smaschera rapidamente una falsificazione.

Tre standard complementari collaborano per rendere affidabile la posta elettronica. Ognuno colma una lacuna diversa:

• SPF — autorizza i server che possono inviare email per il Suo dominio (il mittente dell'envelope)
• DKIM — firma crittograficamente i messaggi, rendendo rilevabili manomissioni e falsificazioni
• DMARC — collega SPF e DKIM all'header From visibile e indica ai server riceventi come comportarsi in caso di errore

Studierà ciascuno di questi standard nelle prossime tre lezioni.

SPF, DKIM e DMARC bloccano lo spoofing del dominio esatto dei domini che controlla. Non bloccano:

• Domini simili che l'attaccante possiede e autentica correttamente
• L'inganno del nome visualizzato
• Account legittimi compromessi che inviano email reali e autenticate

L'autenticazione delle email è essenziale, ma deve essere accompagnata dalla formazione degli utenti alla sicurezza e dal filtraggio in ingresso. Anche qui vale il principio della difesa in profondità.

Ha imparato perché le email sono facili da falsificare:

• SMTP non include alcuna autenticazione integrata del mittente
• Il mittente dell'envelope e l'Header From visibile non devono necessariamente coincidere
• Lo spoofing rende possibili phishing, BEC e distribuzione di malware tramite tecniche basate su domini esatti, domini simili e nomi visualizzati
• Gli header delle email e la riga Authentication-Results aiutano a esaminare le falsificazioni
• SPF, DKIM e DMARC insieme difendono dallo spoofing del dominio esatto, ma non costituiscono una soluzione completa

Nella prossima lezione imparerà come SPF autorizza i server di invio legittimi.