Il whaling è la forma di attacco mirato in cui il bersaglio non è chi possiede i dati, ma chi ha l’autorità per disporne. Il termine inglese richiama la caccia alla balena, e la metafora indica la dimensione della preda: un amministratore delegato, un direttore finanziario, chi firma i pagamenti.
Nella pratica italiana il caso ricorrente ha una forma molto più prosaica di quanto il nome suggerisca. Una richiesta di bonifico urgente che sembra provenire dal vertice dell’azienda, e che qualcuno in amministrazione esegue.
In cosa si distingue dagli altri attacchi mirati
La tecnica di base è quella dello spear phishing: raccolta di informazioni pubbliche, costruzione di un pretesto credibile, recapito su un canale plausibile. Ciò che cambia è l’obiettivo finale.
Negli altri attacchi mirati l’obiettivo è un accesso: credenziali che aprono un sistema, da cui poi si prosegue. Nel whaling l’obiettivo è un’operazione, e l’operazione più frequente è un pagamento. Non serve entrare in nessun sistema: serve che una persona autorizzata compia un’azione che è già nelle sue facoltà.
È una differenza che ha una conseguenza sgradevole. Le difese tecniche costruite per proteggere gli accessi — autenticazione a più fattori, segmentazione, controllo dei privilegi — non intervengono, perché nessun controllo di accesso viene violato. Il bonifico è disposto da chi ha il diritto di disporlo.
Va corretta anche una convinzione diffusa: che un attacco di questo tipo richieda la compromissione della casella del dirigente. Nella maggior parte dei casi documentati non è così. È sufficiente un indirizzo esterno che riproduca il nome visualizzato, oppure un dominio con una lettera diversa da quello aziendale. La casella autentica non viene toccata, e quindi non c’è nulla da rilevare.
Come si costruisce la richiesta
La preparazione avviene su fonti pubbliche, e questo è il motivo per cui non lascia tracce. Il sito aziendale indica chi occupa quale ruolo, i profili professionali indicano a chi ciascuno riporta, i comunicati stampa indicano quali operazioni sono in corso. Nessuna di queste informazioni è riservata.
Il momento del recapito non è casuale. Le richieste arrivano quando la verifica è più difficile: durante le assenze del dirigente, nelle giornate di chiusura contabile, il venerdì pomeriggio, nei periodi di ferie in cui l’amministrazione lavora a organico ridotto. L’attaccante non cerca una persona distratta: cerca un momento in cui la verifica costa più del solito.
Il testo della richiesta contiene quasi sempre tre elementi. Un’urgenza con una conseguenza dichiarata, del tipo che il ritardo farebbe perdere un’operazione. Un vincolo di riservatezza, perché la trattativa sarebbe confidenziale e non va discussa con i colleghi. E una destinazione di pagamento diversa da quella abituale, che è la richiesta effettiva.
Il vincolo di riservatezza è l’elemento che merita più attenzione, perché è la parte tecnicamente più efficace del messaggio: impedisce alla vittima di fare esattamente la cosa che smaschererebbe la frode, ossia chiedere conferma a un collega.
Sul piano del canale, la posta non è più l’unico. La riproduzione della voce richiede oggi un campione breve, e una telefonata con la voce del direttore rende superflua qualsiasi valutazione del testo. Lo stesso vale per le videochiamate con volti ricostruiti, che in alcuni casi italiani documentati hanno coinvolto più partecipanti apparentemente reali nella stessa riunione.
Perché la verifica salta proprio quando servirebbe
Nella quasi totalità delle aziende colpite una procedura di verifica esisteva. Non è stata applicata, e le ragioni non sono di competenza.
La prima è il rango di chi appare come richiedente. Verificare una disposizione che sembra venire dall’amministratore delegato significa mettere in dubbio l’amministratore delegato, e in molte organizzazioni questo ha un costo che eseguire non ha. La procedura viene disapplicata proprio nei casi per cui è stata scritta.
La seconda è l’urgenza dichiarata, che sposta il rischio percepito. Chi riceve la richiesta non valuta la probabilità di una frode: valuta la probabilità di far perdere all’azienda un’operazione importante per un eccesso di zelo.
La terza è la mancanza di un canale di verifica già definito. Se la procedura dice di verificare ma non dice con chi, come e in quanto tempo, la verifica dipende dall’iniziativa di chi la deve fare in un momento in cui ha fretta.
Su questo la formazione utile non riguarda il riconoscimento del messaggio, che come abbiamo scritto nell’approfondimento sul phishing in azienda è diventato inaffidabile. Riguarda l’autorizzazione a verificare: chi riceve una richiesta di pagamento deve sapere che la verifica è un obbligo e non un’iniziativa, e che nessuno gliene farà una colpa.
Nel whaling non viene violato nessun controllo tecnico: viene usata l’autorità di chi firma. La difesa è una procedura che il personale di amministrazione applica senza dover decidere se applicarla, e la nostra Academy costruisce quella procedura insieme a chi la eseguirà, distinguendo i percorsi per ruolo.
La variante del fornitore
Esiste una forma della stessa frode che non passa dal vertice dell’azienda e che per questo viene individuata più tardi.
La richiesta arriva da un fornitore reale, con cui esiste un rapporto in corso, e comunica una variazione delle coordinate bancarie. Cita l’ordine corretto, l’importo corretto, e in molti casi proviene dall’indirizzo email autentico del fornitore, perché la sua casella è stata compromessa.
Qui non c’è nulla da riconoscere. La comunicazione è autentica in tutto tranne che nel contenuto, e viene scoperta settimane dopo, quando il fornitore vero segnala il mancato pagamento. A quel punto il denaro è stato movimentato più volte.
È anche la ragione per cui questa frode appartiene al tema più ampio della sicurezza della catena di fornitura: il vostro rischio comprende la postura di sicurezza di chi vi fattura.
La procedura che blocca la frode
Una sola regola blocca sia il whaling sia la variante del fornitore, e non richiede di valutare il messaggio: ogni variazione di coordinate bancarie e ogni disposizione fuori dal ciclo ordinario viene verificata su un recapito già presente in archivio, mai su quello indicato nella richiesta.
Perché funzioni servono quattro condizioni, e sono organizzative più che tecniche.
Il recapito di verifica va stabilito in anticipo e conservato in un archivio che non si aggiorna sulla base di una email. Se il numero da chiamare per confermare arriva nello stesso messaggio che chiede il pagamento, la verifica è teatro.
La procedura non ammette deroghe per urgenza né per rango del richiedente, e questa parte va dichiarata dalla direzione. Finché a esporsi è l’impiegato dell’amministrazione, la deroga verrà concessa.
Le variazioni di coordinate bancarie richiedono una doppia approvazione, con due persone distinte. È il controllo che rende insufficiente la compromissione di un singolo interlocutore.
E per le soglie sopra un certo importo la conferma avviene a voce, con una domanda su un elemento non ricostruibile da fonti pubbliche. Un dettaglio operativo condiviso di persona resiste anche alla riproduzione della voce, che ormai va data per possibile.
Se il bonifico è già partito
Il tempo è la variabile che conta più di tutte, perché il denaro viene movimentato rapidamente su altri conti.
La prima chiamata è alla banca, per il tentativo di richiamo del bonifico. Le procedure di recupero hanno finestre brevi, e nelle prime ore la probabilità di successo è concreta.
Poi la denuncia, che va presentata anche quando l’importo sembra recuperabile: è il presupposto per qualsiasi azione successiva, comprese le coperture assicurative se esistono.
Il messaggio ricevuto va conservato, non cancellato. Contiene le informazioni necessarie a stabilire da dove è arrivata la richiesta, se altri colleghi ne hanno ricevute di simili e se una casella aziendale è coinvolta.
Va poi verificato se la compromissione riguarda anche voi. Se la richiesta proveniva da una vostra casella e non da un dominio simile, allora l’accesso è stato ottenuto, e le regole di inoltro automatico vanno controllate: una regola che inoltra silenziosamente la posta consente di continuare a leggerla anche dopo il cambio della password.
La frode del bonifico non richiede la violazione di un sistema, ma spesso arriva dopo la compromissione di una casella di posta — vostra o di un fornitore. Verificare come sono configurati gli accessi, le regole di inoltro e le protezioni del vostro dominio è ciò che distingue un tentativo isolato da una campagna che dura settimane.
- Autore articolo
- Gli ultimi articoli
Responsabile Marketing per due aziende leader nel settore della Sicurezza Informatica: organizzo e progetto iniziative di diffusione della cultura cybersecurity e dei rischi cyber-crime attraverso contenuti web, eventi on e off line e materiale info-grafico. Ho una naturale propensione per far coesistere il lato metodico e preciso del mio carattere con la parte più creativa, visionaria e ambiziosa di me. Sono curiosa, riflessiva e non metto freni alla mia fame di conoscenza.