Spoofing: che cos’è e perché il vostro dominio è falsificabile

Il modo più semplice per spiegare lo spoofing è partire da una domanda scomoda: se qualcuno scrivesse a un vostro cliente usando il vostro indirizzo aziendale, quel messaggio arriverebbe in posta in arrivo o verrebbe scartato?

La risposta dipende da come è configurato il vostro dominio, e per molte aziende italiane è la prima. Questo articolo parte da lì, perché è il punto in cui lo spoofing smette di essere un problema di attenzione dei dipendenti e diventa un problema di configurazione verificabile.

Indice degli argomenti

1. Che cosa significa spoofing
2. Le tipologie che riguardano un’azienda
3. Perché il vostro dominio può essere falsificato
4. Il sito clone è un problema diverso
5. I segnali che dovrebbero far alzare un sopracciglio
6. Che cosa verificare sulla vostra infrastruttura

Che cosa significa spoofing

Spoofing traduce l’inglese per beffa, o inganno. In sicurezza informatica indica una famiglia di tecniche che hanno un elemento in comune: falsificare l’identità del mittente di una comunicazione, perché chi la riceve la tratti come attendibile.

Conviene fissare subito una distinzione che viene confusa quasi ovunque. Lo spoofing è il mezzo, non il fine. Falsificare il mittente di un’e-mail è spoofing; usare quell’e-mail per convincere qualcuno a inserire le credenziali su una pagina finta è phishing. Le due cose viaggiano insieme così spesso che i termini vengono usati come sinonimi, ma descrivono momenti diversi dell’attacco: uno è la maschera, l’altro è quello che si ottiene indossandola.

La ragione per cui questa famiglia di tecniche funziona da trent’anni è che la maggior parte dei protocolli su cui corre internet è stata progettata quando la rete era piccola e i suoi nodi si conoscevano. La posta elettronica, in particolare, non prevede alcuna verifica nativa di chi dichiara di scrivere. Il campo del mittente è testo libero. Tutto ciò che impedisce oggi a chiunque di scrivere a nome vostro sono controlli aggiunti in un secondo momento, che vanno configurati esplicitamente.

Le tipologie che riguardano un’azienda

Le varianti descritte in rete sono molte. Quelle che hanno conseguenze concrete per un’impresa sono meno numerose di quanto sembri.

E-mail spoofing

È la forma con l’impatto economico più alto, e quella che si lega alle frodi su bonifici e cambi di IBAN. L’attaccante invia un messaggio che dichiara come mittente un indirizzo che non gli appartiene: un fornitore, un dirigente dell’azienda, l’amministrazione. Il destinatario vede un nome familiare e abbassa la guardia. Quando il bersaglio è una persona specifica, scelta per il ruolo che ricopre, si entra nel territorio dello spear phishing, dove il messaggio è costruito su informazioni reali raccolte in precedenza.

IP spoofing

Qui la falsificazione riguarda l’indirizzo di origine dei pacchetti di rete. Serve a far credere a un sistema che il traffico provenga da una macchina fidata, tipicamente per aggirare controlli basati sull’indirizzo di provenienza o per amplificare attacchi volumetrici. È una tecnica di rete, non di posta, e va tenuta distinta dal sito clone di cui parliamo più avanti: sono due cose diverse che vengono spesso chiamate con lo stesso nome.

DNS spoofing

Il Domain Name System è il servizio che traduce i nomi dei siti negli indirizzi numerici a cui corrispondono. Alterando le risposte di quel servizio, o avvelenando la memoria temporanea di un resolver, si indirizza chi digita un nome legittimo verso un server controllato dall’attaccante. L’utente non sbaglia a digitare e non vede nulla di anomalo nella barra degli indirizzi: è l’instradamento a essere stato manomesso.

Man in the middle

Quando l’attaccante riesce a collocarsi in mezzo a una comunicazione e a presentarsi a ciascuna delle due parti come l’altra, siamo di fronte a una forma di spoofing reciproco. Le varianti sono numerose e le abbiamo esaminate nell’articolo dedicato a MitM, MitMo e MitB. Per un’azienda il caso più frequente resta l’intercettazione su reti non fidate, che è uno dei motivi per cui l’accesso remoto va fatto passare da un canale cifrato.

Spoofing telefonico

La visualizzazione del numero chiamante non è una garanzia di provenienza: è un dato dichiarato, e può essere alterato. Da qui le telefonate che sembrano arrivare dalla banca e i messaggi che sembrano arrivare dalle Poste, fenomeni che prendono il nome di vishing e smishing e che abbiamo messo a confronto parlando di phishing, smishing e vishing. Per un’impresa il rischio non riguarda solo chi riceve queste chiamate, ma anche il numero aziendale, che può essere esibito da terzi senza che ve ne accorgiate.

Perché il vostro dominio può essere falsificato

Arriviamo al punto che cambia la prospettiva. Nella maggior parte delle discussioni sullo spoofing l’azienda è la vittima passiva: qualcuno la inganna. C’è però uno scenario in cui l’azienda è lo strumento, e riguarda il dominio di posta.

Esistono tre controlli, configurabili nei record pubblici del dominio, che insieme rendono verificabile chi può scrivere a vostro nome.

Il primo, SPF, dichiara quali server sono autorizzati a inviare posta per conto del vostro dominio. Il secondo, DKIM, appone ai messaggi una firma crittografica che il destinatario può verificare. Il terzo, DMARC, dice ai server di destinazione che cosa fare quando i primi due non tornano: ignorare, mettere in quarantena o rifiutare. Ed è il terzo quello che decide se gli altri due servono davvero a qualcosa.

Una configurazione incompleta è più comune di quanto si pensi. SPF impostato ma troppo permissivo. DKIM attivo solo sul sistema principale e assente su quello che manda le newsletter. DMARC presente ma in modalità di sola osservazione, quindi senza alcun effetto pratico: registra e basta. In tutti questi casi un messaggio falsificato con il vostro dominio ha buone probabilità di essere consegnato.

Le conseguenze non ricadono su di voi soltanto. Chi riceve quel messaggio è un vostro cliente, un vostro fornitore, una pubblica amministrazione con cui lavorate. Il danno reputazionale di una frode compiuta a vostro nome si somma a quello economico di chi ci casca.

Il sito clone è un problema diverso

C’è un’altra forma di falsificazione che viene spesso messa nello stesso paragrafo dell’IP spoofing, e non c’entra nulla: la riproduzione del vostro sito su un dominio simile.

Il meccanismo è banale e per questo efficace. Si registra un nome che differisce dal vostro per un carattere, un trattino, un’estensione diversa. Si copia l’aspetto delle pagine. Si attiva un certificato, che oggi si ottiene gratuitamente in pochi minuti. Il risultato è un sito che mostra il lucchetto nella barra degli indirizzi ed è visivamente indistinguibile dall’originale.

Questo merita una precisazione, perché il consiglio di controllare il lucchetto circola ancora come regola di sicurezza. Il lucchetto dice che la connessione è cifrata. Non dice niente su chi c’è dall’altra parte. Un sito fraudolento può averlo esattamente come il vostro, ed è il motivo per cui abbiamo dedicato un articolo a come si verifica davvero l’affidabilità di un sito.

Per chi gestisce un’applicazione web il tema si allarga: un clone che funziona come pagina di raccolta credenziali è il punto d’arrivo, ma la superficie che lo precede comprende form, sessioni, API e tutto ciò che un attaccante può studiare sull’originale prima di riprodurlo. Anche questo, come abbiamo visto parlando di sicurezza delle API, è materiale da verifica tecnica.

I segnali che dovrebbero far alzare un sopracciglio

I consigli generici sul riconoscere gli errori grammaticali hanno smesso di funzionare da quando i testi vengono generati automaticamente in italiano corretto. I segnali che reggono ancora sono di tipo diverso, e riguardano il contesto più che la forma.

Una richiesta che introduce urgenza e chiede riservatezza allo stesso tempo è il segnale più affidabile che esista. Un cambio di coordinate bancarie comunicato via e-mail va verificato per un altro canale, sempre, anche quando il messaggio sembra provenire da un fornitore con cui lavorate da anni e cita l’ultima fattura per numero e importo. Un allegato inatteso da un mittente noto merita la stessa cautela di uno da un mittente sconosciuto, per le ragioni che abbiamo spiegato parlando degli allegati via e-mail.

Vale la pena aggiungere una cosa che si dice poco: la persona che riceve il messaggio non ha gli strumenti per fare le verifiche tecniche. Non può ispezionare le intestazioni, non sa se DKIM ha superato il controllo, non vede il percorso del messaggio. Può solo applicare una procedura. Per questo la formazione funziona se insegna una procedura verificabile invece di un elenco di indizi da memorizzare.

Che cosa verificare sulla vostra infrastruttura

La parte tecnica dello spoofing si affronta con controlli concreti, e sono pochi.

• Se esiste un record SPF sul dominio e quanto è permissivo, perché una configurazione che termina in modo indulgente vanifica il controllo
• Se DKIM firma la posta di tutti i sistemi che inviano a vostro nome, compresi quelli marketing e quelli del gestionale
• In quale modalità è impostato DMARC, e se i rapporti che genera li legge qualcuno
• Quali domini simili al vostro sono stati registrati di recente da terzi
• Se esiste una procedura scritta per la verifica dei cambi di coordinate bancarie, e se le persone dell’amministrazione la conoscono

I primi tre si verificano dall’esterno, senza toccare nulla, ed è la stessa prospettiva da cui guarda un attaccante quando studia un’azienda. È il motivo per cui un’analisi delle vulnerabilità sui servizi esposti parte proprio da lì: non da quello che avete installato, ma da quello che si vede da fuori.

Gli ultimi due riguardano l’organizzazione più della tecnologia, e non esiste configurazione che li sostituisca.