Whaling e CEO fraud: come funziona la frode del bonifico

Il whaling è il phishing che prende di mira chi sta al vertice di un’azienda: l’amministratore delegato, il direttore finanziario o i membri del consiglio di amministrazione.
Il nome viene dalla caccia alla balena e rende bene l’idea.
Chi attacca non getta la rete su migliaia di caselle: sceglie una sola preda, la più grossa. Poi prepara l’attacco su misura.

Molti usano il termine come sinonimo di CEO fraud. In realtà indica la cosa opposta. Nel whaling il dirigente è la vittima.
Nella CEO fraud il dirigente è la persona impersonata, mentre la vittima è chi lavora per lui.
In questo articolo parliamo del primo caso: perché i dirigenti sono un bersaglio così redditizio, quali esche funzionano con loro e come proteggerli.

1. Cos’è il whaling e in cosa è diverso dalla CEO fraud
2. Perché i dirigenti sono il bersaglio più redditizio
3. Le esche più usate
4. Cosa ottiene chi attacca
5. Come proteggere i dirigenti
6. Come verificare quanto sono esposti

Cos’è il whaling e in cosa è diverso dalla CEO fraud

Dal punto di vista tecnico il whaling è una forma di spear phishing, cioè di phishing mirato. Cambia solo il bersaglio: non un dipendente qualsiasi ma una persona che può firmare, approvare o accedere a informazioni che gli altri non vedono.

La confusione con la CEO fraud nasce dal fatto che le due cose spesso si susseguono.
Un attaccante colpisce il direttore finanziario con una mail di whaling e gli ruba le credenziali. Poi usa la sua casella per scrivere all’amministrazione e chiedere un bonifico: quella è CEO fraud.
Entrambe rientrano nella famiglia del Business Email Compromise, che raccoglie tutte le frodi costruite sulla posta aziendale.

La distinzione non è una questione di vocabolario. Cambia chi formare, quali account proteggere per primi e dove guardare quando qualcosa va storto.

Perché i dirigenti sono il bersaglio più redditizio

Un dirigente concentra in una sola persona quello che un attaccante cerca altrove con più fatica.
Può autorizzare pagamenti importanti senza chiedere il permesso a nessuno. Vede contratti, trattative, dati sui clienti e sui conti. Il suo account di posta è quello che gli altri trattano con più fiducia.

C’è poi un paradosso che chi si occupa di sicurezza conosce bene.
I dirigenti sono spesso le persone meno vincolate dalle regole che valgono per tutti. Chiedono eccezioni all’autenticazione a più fattori perché rallenta, usano il telefono personale per la posta di lavoro, delegano la casella a un assistente.
Ogni eccezione è comprensibile presa da sola. Messe insieme rendono l’account più importante dell’azienda anche il meno protetto.

Infine sono le persone più esposte in pubblico. Interviste, comunicati, profili professionali e interventi ai convegni dicono a chiunque chi sono, con chi lavorano e di cosa si stanno occupando. Ne abbiamo parlato a proposito dei rischi dei profili LinkedIn.

Le esche più usate

Una mail di whaling non assomiglia al phishing che si vede di solito. È scritta bene, parla di cose che interessano davvero a chi la riceve e spesso tocca un tema delicato, che il dirigente preferisce gestire da solo.

Le esche ricorrenti sono poche.
Una finta comunicazione legale, come un atto giudiziario o la contestazione di un’autorità di controllo, che chiede di aprire un documento o accedere a un portale. In Italia arriva spesso via PEC, che dà al messaggio un’aria di ufficialità: lo abbiamo spiegato nell’articolo sul phishing via PEC.
Un documento riservato da firmare o da rivedere: un verbale del consiglio, un accordo di riservatezza, una bozza di acquisizione. Una richiesta che sembra arrivare da un consulente, da un avvocato o da un collega di pari grado.

Negli ultimi anni a queste si è aggiunta la voce.
Una telefonata con la voce clonata di un altro dirigente o di un partner può confermare una mail che da sola avrebbe destato sospetti. È lo scenario che abbiamo descritto parlando di voice cloning aziendale e dei casi italiani di deepfake.

Cosa ottiene chi attacca

Un attacco di whaling riuscito porta di solito a uno di tre risultati.

Il primo è un pagamento. In questo caso è il dirigente stesso ad autorizzarlo, convinto da una trattativa riservata o da una scadenza legale inventata. Nessuno in amministrazione ha motivo di fermarlo, perché la firma è quella giusta.

Il secondo sono le credenziali.
Un dirigente che inserisce la password su una pagina falsa consegna l’account più autorevole dell’azienda. Da lì l’attaccante può leggere la posta per settimane e preparare frodi successive, scrivendo a nome suo. È un caso particolare di account takeover e spesso è il punto di partenza di una CEO fraud.

Il terzo sono le informazioni: documenti su un’acquisizione, condizioni contrattuali, dati sul personale. Valgono denaro anche senza nessun bonifico, perché si possono rivendere o usare per ricattare l’azienda.

Come proteggere i dirigenti

La protezione del vertice non richiede strumenti diversi da quelli del resto dell’azienda. Richiede soprattutto che le regole valgano anche per chi sta in cima.

• nessuna eccezione all’autenticazione a più fattori per gli account dei dirigenti, meglio se con chiavi resistenti al phishing;
• accessi delegati alla casella (assistenti, segreterie) concessi in modo esplicito, con i permessi minimi necessari;
• un segnale ben visibile sulle mail che arrivano dall’esterno ma usano il nome di una persona interna;
• un canale di verifica concordato in anticipo tra i dirigenti, da usare per qualunque richiesta insolita di pagamento o di documenti;
• la doppia approvazione dei pagamenti anche quando a disporli è il vertice;
• meno dettagli pubblici su ruoli, trattative in corso e assenze programmate.

Il punto più difficile è culturale. Chi riceve una richiesta del direttore generale deve poterla verificare senza sentirsi in imbarazzo. E il direttore generale deve essere il primo a pretendere che lo faccia.

Come verificare quanto sono esposti

Le domande utili sono due: quanto è facile arrivare alle credenziali di un dirigente e cosa si raggiunge una volta ottenute.

Si può partire dalle credenziali già in circolazione, come abbiamo spiegato nell’articolo su come scoprire se le credenziali sono esposte sul dark web.
Un vulnerability assessment verifica i servizi esposti su internet che un attaccante proverebbe a usare con quelle credenziali, come la webmail e gli accessi remoti.
Un penetration test può partire dall’account di un dirigente e mostrare fin dove arriva chi lo controlla.