Un messaggio arriva sul computer dell’ufficio.
Sembra provenire da un cliente o da un servizio noto, chiede di inquadrare un codice per accedere a un documento, e non contiene alcun link su cui cliccare.
Il dipendente prende il telefono e inquadra.
In quel momento l’attacco ha lasciato la rete aziendale ed è su un dispositivo personale, dove nessuno dei vostri controlli arriva.
Che cos’è davvero un QR code
Un QR code è un codice a barre bidimensionale. Nato nel 1994 in ambito industriale per tracciare componenti sulle linee di produzione, oggi trasporta prevalentemente indirizzi web.
Il punto tecnico da tenere presente è che non contiene programmi. Non c’è codice eseguibile dentro quei quadrati bianchi e neri: c’è testo e nella maggior parte dei casi quel testo è un indirizzo.
Questo significa che un QR code non può essere infettato e non è in sé pericoloso.
Il pericolo è integralmente in quello che sta all’altro capo dell’indirizzo, che di solito è una pagina costruita per raccogliere credenziali oppure la proposta di scaricare un’applicazione.
Il codice però fa una cosa che un link scritto non fa: nasconde la destinazione.
Un indirizzo in un messaggio si può leggere e chiunque abbia imparato a farlo riconosce un dominio sospetto. Un codice non si legge. Si inquadra e si scopre dove porta soltanto dopo.
Perché aggirano i filtri della posta
Qui sta la ragione per cui il fenomeno è cresciuto e non riguarda la psicologia delle persone.
I sistemi che proteggono la posta aziendale analizzano i link contenuti nei messaggi: ne verificano la reputazione, li confrontano con elenchi di indirizzi noti come pericolosi, a volte li riscrivono per poterli controllare al momento del clic.
Un QR code è un’immagine.
L’indirizzo è codificato dentro i pixel, quindi per estrarlo il filtro deve prima interpretarla come farebbe un lettore. Non tutti i sistemi lo fanno e chi lo fa incontra ostacoli quando il codice è annidato dentro un allegato, un documento PDF oppure un’immagine dentro un’immagine.
Il risultato è che il messaggio arriva in posta in arrivo con l’aspetto di una comunicazione pulita.
Non contiene link sospetti perché non contiene link, ed è precisamente questa assenza a farlo passare.
È lo stesso ragionamento che regge la falsificazione del mittente. Non si tratta di ingannare meglio, ma di aggirare un controllo tecnico.
Il salto sul dispositivo personale
La seconda caratteristica è quella che dovrebbe preoccupare di più chi gestisce l’infrastruttura e viene raramente messa in evidenza.
Il messaggio arriva sulla postazione aziendale, dove esistono filtri di navigazione, protezione degli endpoint, registri delle connessioni. Ma il codice si inquadra con il telefono e il telefono nella maggior parte dei casi è personale.
Su quel dispositivo non arriva nessuno dei vostri controlli.
Il filtro web aziendale non si applica. La protezione degli endpoint non è installata. La connessione passa dalla rete cellulare e non lascia traccia nei vostri registri. Se il dipendente inserisce le credenziali su una pagina falsa, non c’è alcun sistema vostro che possa accorgersene.
È lo stesso scenario che si presenta quando una postazione fuori sede diventa il ponte verso l’azienda, descritto nell’articolo su lavoro da casa e prevenzione dei rischi.
E a quel punto quelle credenziali valgono.
Sono le stesse che aprono la posta aziendale, il gestionale, l’accesso remoto. Chi le ottiene non deve forzare nulla: si collega, e la VPN aziendale lo accoglie come un dipendente.
Le vostre persone riconoscono una richiesta anomala?
I percorsi dell’Academy lavorano sui casi reali che arrivano in azienda, con procedure di verifica applicabili anche da chi non ha competenze tecniche.
Dove si incontrano in azienda
Il canale principale è la posta elettronica e i pretesti ruotano intorno a poche situazioni credibili.
La richiesta di autenticarsi di nuovo su un servizio aziendale è la più diffusa, perché è un’operazione che capita realmente e nessuno la trova strana. Seguono la notifica di un documento da firmare, la consultazione di una fattura o di un avviso di pagamento, la conferma di una spedizione: sono gli stessi pretesti che ritroviamo nelle campagne di spear phishing costruite su misura per una singola persona.
C’è poi un canale fisico che riguarda le aziende con sedi aperte al pubblico o con aree comuni: il codice sovrapposto a uno legittimo.
Succede sui dispositivi di pagamento, sulle locandine informative, sui cartelli affissi negli spazi condivisi. L’operazione richiede un adesivo e trenta secondi, ed è la versione fisica di quella sostituzione di identità che nel mondo digitale chiamiamo scam.
E c’è la variante che rende inutile l’ispezione visiva: i codici integrati in immagini di aspetto curato, dove la parte funzionale è nascosta dentro una grafica. Il consiglio di diffidare dei codici sfocati o mal stampati, che circola da anni, con questi non funziona.
Che cosa si può controllare
Il codice in sé non si può filtrare in modo affidabile, quindi le misure che tengono agiscono prima e dopo.
Prima, sulla posta.
Una configurazione corretta dei controlli del dominio riduce il numero di messaggi falsificati che arrivano a destinazione e vale indipendentemente dal fatto che contengano un link, un allegato o un codice. I meccanismi da verificare sono SPF, DKIM e soprattutto DMARC, perché è quest’ultimo a decidere che cosa fare quando i primi due non tornano. Ne abbiamo scritto nell’articolo su perché un dominio è falsificabile.
Dopo, sull’autenticazione.
Se le credenziali finiscono su una pagina falsa, quello che decide se il danno si realizza è la presenza di un secondo fattore e soprattutto quale. Un codice via SMS o un’applicazione di autenticazione fermano gli attacchi automatizzati ma possono essere aggirati da un proxy in tempo reale, mentre le chiavi di sicurezza fisiche non producono la firma se il dominio non coincide: la differenza l’abbiamo spiegata parlando di password monouso e limiti dell’OTP.
E infine sulla superficie.
Le credenziali rubate servono a entrare da qualche parte e quel qualche parte è un servizio che avete pubblicato su internet. Sapere quali sono, quante utenze li raggiungono e con quali privilegi è il presupposto di ogni valutazione del rischio, ed è il lavoro che parte da un inventario degli asset aggiornato.
Che cosa chiedere alle persone
L’ultima barriera è chi riceve il messaggio e conviene essere realistici su cosa può fare.
Una persona che riceve una mail non ha gli strumenti per ispezionare le intestazioni, non sa se i controlli del dominio hanno dato esito positivo, non vede il percorso del messaggio. Chiederle di riconoscere un attacco sofisticato non è una strategia.
Quello che può fare è applicare una regola sola, e per i QR code è breve: nessun codice arrivato per posta elettronica va inquadrato.
Se un servizio chiede di autenticarsi, ci si va digitando l’indirizzo o dai preferiti. Se il messaggio segnala un documento, si accede al portale da dove si accede sempre.
È una regola che non richiede competenze tecniche e non ha eccezioni da ricordare ed è per questo che funziona meglio di un elenco di indizi da valutare caso per caso. Lo stesso principio vale per gli allegati inattesi e per il phishing in generale: una procedura verificabile batte la capacità di giudizio sotto pressione.
Resta il fatto che la formazione va rinfrescata, perché le tecniche cambiano più velocemente della memoria. Un corso fatto tre anni fa non parlava di QR code, per la semplice ragione che il fenomeno non era ancora rilevante.
Dove arrivano le credenziali che qualcuno vi ha sottratto?
Un vulnerability assessment parte dall’inventario dei servizi esposti su internet e ne verifica configurazioni di autenticazione, versioni e vulnerabilità note.
Il report dice dove l’accesso dipende ancora dalla sola password.
- Autore articolo
- Gli ultimi articoli
Sono una studentessa magistrale in Informatica Umanistica.
Durante il percorso di studi triennale in Lettere e filosofia ho avuto l’opportunità di svolgere un anno di Servizio Civile Nazionale e un semestre di Erasmus per studio in Francia, nonché un breve periodo di Servizio Volontario Europeo in Croazia.
Attualmente, con un gruppo di altri cinque ragazzi, porto avanti un progetto che aiuta start-up e piccole realtà imprenditoriali a delineare i primi step per le loro strategie social.