Il mittente di una mail, il numero che compare sul telefono, l’indirizzo di un sito: sono tutte informazioni che si possono falsificare e nessuno dei sistemi che le mostrano le verifica. Lo spoofing è esattamente questo e prende un nome diverso a seconda di cosa viene falsificato.
Cosa sia lo spoofing, perché funziona e come si verifica se il vostro dominio è falsificabile lo abbiamo spiegato nell’approfondimento su che cos’è lo spoofing e perché è pericoloso. Qui passiamo in rassegna le tipologie, una per una, con l’attenzione a quelle che riguardano le aziende.
Email spoofing
È la tipologia più diffusa e quella che riguarda ogni azienda, perché il protocollo della posta elettronica non verifica il mittente.
Chiunque può inviare un messaggio che dichiara di provenire dal vostro dominio e il destinatario lo vedrà come vostro a meno che il suo server non faccia controlli specifici.
Viene usato quasi sempre come primo passo di un attacco di phishing: la mail falsificata porta a una pagina di raccolta credenziali o contiene un allegato che installa qualcosa.
La difesa sta sul dominio, non sul destinatario.
Tre record pubblicati nel DNS, SPF, DKIM e DMARC, dichiarano quali server sono autorizzati a inviare per conto vostro e cosa fare con i messaggi che non superano il controllo. Un dominio senza quei record è falsificabile da chiunque e la verifica richiede pochi minuti.
Il meccanismo completo è nell’approfondimento citato in apertura.
IP spoofing
Consiste nell’inviare pacchetti di rete con un indirizzo di origine falso.
Il destinatario risponde all’indirizzo dichiarato e non a quello reale. Questo ha due usi.
Il primo è nascondere la provenienza di un attacco. Il secondo, più frequente, è amplificare un attacco DDoS: si inviano richieste a servizi pubblici con l’indirizzo della vittima come origine e i servizi rispondono alla vittima con volumi molto maggiori della richiesta.
Va chiarita una confusione frequente. L’IP spoofing non è il meccanismo delle VPN. Una VPN instrada il traffico attraverso un altro punto e l’indirizzo che il sito vede è reale, appartiene al server VPN. Nello spoofing l’indirizzo è inventato e nessuna risposta torna indietro. Sono due cose diverse.
Per le aziende il rischio diretto è basso, perché richiede accesso a livello di rete. Il rischio indiretto è finire nel ruolo di vittima di un’amplificazione o in quello di complice involontario se i propri sistemi rispondono a richieste con origine falsificata.
DNS spoofing
Il DNS traduce un nome di dominio in un indirizzo.
Se qualcuno riesce a inserire una risposta falsa in quella traduzione, chi digita il nome corretto arriva a un server sbagliato senza che nulla nell’indirizzo lo riveli.
È diverso dal typosquatting, che abbiamo descritto parlando di domini simili registrati apposta: lì il nome è diverso e un occhio attento lo vede, qui il nome è giusto e la destinazione no.
Le contromisure stanno in due posti. Sul lato dell’utente, il certificato del sito: una pagina falsificata via DNS non ha il certificato del dominio vero e il browser lo segnala. Sul lato dell’azienda, la configurazione dei propri server DNS e l’adozione delle estensioni di sicurezza del protocollo, che firmano le risposte.
Spoofing telefonico
Il numero che compare sul display di chi riceve una chiamata è dichiarato dal chiamante, non verificato dalla rete. Chi vuole farsi passare per la vostra banca può mostrare il numero della vostra banca.
È il meccanismo alla base delle truffe telefoniche che chiedono di “confermare” un’operazione e nelle aziende colpisce in particolare l’amministrazione: la chiamata che sembra arrivare dal direttore o dal fornitore abituale, con un numero che corrisponde. L’analisi tecnica è nell’articolo dedicato al CLI spoofing.
La difesa è procedurale, non tecnica: nessuna operazione dispositiva su richiesta telefonica e richiamata su un numero preso da una fonte indipendente.
Spoofing via SMS
Gli SMS possono essere inviati con un mittente alfanumerico al posto del numero ed è una funzione legittima usata dalle aziende per le comunicazioni ai clienti. Chi attacca usa la stessa funzione per farsi passare per un corriere, una banca o un ente.
Il messaggio contiene quasi sempre un collegamento e la pagina di destinazione raccoglie credenziali o dati di pagamento. Sul telefono lo schermo stretto nasconde l’indirizzo completo e rende più difficile accorgersene.
In ambito aziendale il rischio si somma a quello dei QR code nelle mail: entrambi spostano l’attacco sul telefono personale, fuori dai filtri dell’azienda.
ARP spoofing e intercettazione
All’interno di una rete locale i dispositivi si trovano fra loro tramite il protocollo ARP, che non prevede autenticazione. Un dispositivo può dichiarare di essere il router e da quel momento il traffico degli altri passa da lui prima di uscire.
È la base tecnica di un’intercettazione su rete locale, quella che si chiama man in the middle. Su una rete wi-fi pubblica il rischio è noto. La stessa cosa è però possibile su una rete aziendale da parte di chiunque vi sia collegato, compreso un dispositivo compromesso.
La contromisura è la segmentazione: un dispositivo che intercetta vede solo il traffico del proprio segmento. E la cifratura del traffico applicativo, che oggi è la norma, limita quello che l’intercettazione consegna anche quando riesce.
Spoofing di estensione
È la falsificazione del tipo di file. Un eseguibile viene chiamato in modo che appaia un documento: l’estensione reale è nascosta dal sistema o preceduta da una finta e l’icona è quella di un documento di testo.
Riguarda gli allegati e i download e la difesa è una configurazione: mostrare sempre le estensioni complete e bloccare l’esecuzione di file da cartelle dove arrivano gli allegati. Sono due impostazioni che si applicano centralmente e che nella maggior parte delle postazioni aziendali non sono attive.
Le vostre persone sanno riconoscere un’origine falsificata?
Quasi tutte le tipologie di spoofing funzionano solo se qualcuno ci crede. I percorsi di Cyberment Academy lavorano sui casi reali che arrivano in azienda, con certificato di completamento per ogni corso e pannello di monitoraggio per gli amministratori.
Che cosa hanno in comune
Tutte le tipologie viste sfruttano lo stesso difetto: protocolli nati quando la rete era un ambiente fra pari e nessuno prevedeva che qualcuno mentisse sull’origine. Posta, DNS, telefonia, ARP: nessuno verifica il mittente per progetto.
E tutte hanno bisogno di un secondo ingrediente. La falsificazione tecnica da sola non fa niente: serve che qualcuno agisca sulla base di quella falsa origine, aprendo un allegato, cliccando un collegamento, autorizzando un pagamento. È l’ingegneria sociale e per questo la difesa contro lo spoofing è per metà tecnica e per metà formativa.
La parte tecnica si verifica. I record del dominio, la configurazione dei server DNS, la segmentazione della rete, le impostazioni delle postazioni: sono tutte cose che un vulnerability assessment controlla e che nella maggior parte delle aziende non sono mai state controllate da qualcuno che non le ha configurate.
Il vostro dominio è falsificabile?
Un vulnerability assessment verifica la configurazione del dominio, dei server DNS e dei servizi esposti e restituisce in un report quali tipologie di spoofing sono possibili contro di voi e cosa correggere per primo.
- Autore articolo
- Gli ultimi articoli
Nata a Taranto nel 1996 e diplomata in “Amministrazione finanza e marketing articolazione relazioni internazionali”. Ho seguito svariati corsi di formazione e ho avuto diverse esperienze lavorative nel mondo del marketing online e della comunicazione. Ad oggi sono scrittrice e mi occupo, oltre che dei social media, anche di seo, web/graphic design e fotografia.