Callback phishing: cos’è e come funziona l’attacco

Il callback phishing è una variante del phishing in cui il messaggio iniziale non contiene alcun link da cliccare e nessun allegato da aprire. Contiene soltanto un numero di telefono, e l’intero attacco si regge sul fatto che sia la vittima a comporre quel numero.

Questa differenza, che a prima vista sembra un dettaglio, è ciò che rende la tecnica particolarmente efficace nei contesti aziendali.
Vediamo come si svolge il contatto, perché i sistemi di protezione della posta elettronica hanno difficoltà a intercettarlo e quali misure riducono concretamente l’esposizione.

1. Che cos’è il callback phishing
2. Perché supera i filtri di posta
3. Come si svolge il contatto telefonico
4. Il caso BazarCall
5. Perché funziona sui dipendenti
6. Come ridurre l’esposizione

Che cos’è il callback phishing

Nel phishing tradizionale il messaggio contiene un elemento su cui agire: un collegamento verso una pagina di raccolta credenziali, oppure un file da scaricare ed eseguire. L’attaccante deve convincere il destinatario a compiere quel gesto, e tutta la difesa tecnica è costruita per riconoscere e bloccare quell’elemento prima che arrivi nella casella.

Il callback phishing rovescia lo schema. Il messaggio si limita a comunicare una notizia allarmante e a fornire un recapito telefonico a cui rivolgersi: un addebito non riconosciuto, il rinnovo automatico di un abbonamento costoso, una presunta anomalia rilevata sui sistemi aziendali. Chi legge trova un problema che sembra urgente e un modo apparentemente legittimo per risolverlo.

Rispetto al vishing, dove è l’attaccante a chiamare la vittima, qui la telefonata parte dall’interno dell’organizzazione. Chi risponde all’altro capo non deve superare la diffidenza iniziale di chi riceve una chiamata inattesa, perché è stata la vittima stessa a cercare quel contatto.

Perché supera i filtri di posta

Questo è il punto che rende la tecnica interessante dal lato della difesa, e spiega perché continui a funzionare in aziende che hanno investito in protezione della posta elettronica.

I sistemi di sicurezza della posta lavorano principalmente su tre elementi: gli allegati, che vengono analizzati alla ricerca di codice malevolo; gli indirizzi web contenuti nel messaggio, che vengono confrontati con liste di domini malevoli noti e talvolta riscritti per essere verificati al momento del clic; e la reputazione del mittente e dell’infrastruttura da cui il messaggio proviene.

Un’email di callback phishing non offre nessuno di questi tre appigli. Non ha allegati da esaminare. Non contiene indirizzi web da confrontare con alcuna lista. E viene spesso inviata da caselle create su servizi di posta legittimi e mai usate prima, quindi prive di una reputazione negativa da segnalare.

Quello che resta è un testo in linguaggio naturale e una sequenza di cifre. Alcuni sistemi valutano anche il contenuto testuale, ma un messaggio che comunica un addebito e fornisce un numero per informazioni è indistinguibile, sul piano formale, da una comunicazione commerciale autentica. Vale la pena tenere presente questo aspetto anche nel valutare le difese contro le altre forme di phishing: le contromisure tecniche coprono i vettori che riescono a osservare.

Come si svolge il contatto telefonico

La telefonata è la parte dell’attacco che richiede più risorse, e proprio per questo viene gestita da strutture organizzate che operano come veri e propri centri di assistenza.

L’operatore che risponde adotta il registro del supporto tecnico o dell’assistenza clienti. Verifica alcuni dati anagrafici, conferma che l’addebito risulta effettivamente registrato, e si mostra disponibile ad annullarlo. Il tono resta cordiale e collaborativo per l’intera conversazione, perché l’obiettivo è mantenere la vittima nella convinzione di stare risolvendo un problema.

Da lì la conversazione procede verso una richiesta che appare come un passaggio tecnico necessario: la comunicazione di credenziali per completare la verifica, oppure l’installazione di uno strumento di assistenza remota per procedere all’annullamento. Nel primo caso l’attaccante ottiene direttamente un accesso, nel secondo ottiene il controllo della postazione.

Da quel momento l’attacco esce dal perimetro della posta elettronica e diventa un problema di sicurezza dell’infrastruttura. Con credenziali valide di un utente interno, ciò che l’attaccante riesce a raggiungere dipende interamente da come sono configurati i permessi, la segmentazione della rete e i servizi accessibili. Chi si trova in questa situazione può fare riferimento alle indicazioni su come comportarsi quando una password risulta compromessa.

Il caso BazarCall

La campagna che ha reso nota questa tecnica è emersa nel 2020 e viene indicata come BazarCall, dal nome della backdoor BazarLoader che veniva distribuita attraverso di essa. Nei mesi successivi lo stesso schema è stato riutilizzato per veicolare altre famiglie di malware, e ha finito per diventare un modello adottato da più gruppi.

La struttura era ricorrente. Una notifica di addebito segnalava il rinnovo di un servizio che il destinatario non ricordava di aver sottoscritto, riportava un numero di fattura dall’aspetto plausibile e indicava un recapito telefonico per la cancellazione. Nessun elemento del messaggio richiedeva un’azione immediata sul computer, e questo lo rendeva difficile da classificare come tentativo di attacco.

Chi chiamava veniva accompagnato lungo una procedura di annullamento che, al passaggio conclusivo, prevedeva il download di un applicativo presentato come necessario a completare l’operazione. In alcune varianti la conversazione si apriva addirittura con la conferma che il messaggio ricevuto era effettivamente sospetto, seguita dall’offerta di una verifica del sistema: una mossa che aumentava la fiducia della vittima nell’interlocutore.

BazarCall ha mostrato che lo schema funziona anche quando la vittima è già in guardia, perché la telefonata offre all’attaccante lo spazio per adattarsi a ogni obiezione. È la stessa logica che rende efficace lo spear phishing, portata su un canale che consente una conversazione.

Perché funziona sui dipendenti

Le leve su cui la tecnica agisce sono note e non hanno nulla di sofisticato, ma trovano nei contesti aziendali condizioni particolarmente favorevoli.

La prima è la pressione economica. Un addebito non riconosciuto su un conto aziendale o su una carta di credito societaria è un problema che chi lo riceve considera urgente, e l’urgenza riduce il tempo dedicato alla verifica.

La seconda è l’abitudine. In un’organizzazione strutturata è normale che arrivino comunicazioni da fornitori, da servizi in abbonamento e dal reparto informatico, e ciascuna di queste comunicazioni contiene di solito un recapito a cui rivolgersi. Un messaggio costruito su questo modello non risulta anomalo.

La terza è la più difficile da correggere: chiamare un numero indicato in un’email non viene percepito come un comportamento rischioso. La formazione sulla sicurezza insiste da anni sul non cliccare e sul non aprire allegati, e quel messaggio è stato recepito. Comporre un numero di telefono resta fuori da quell’elenco di cose da non fare, e di conseguenza fuori dai riflessi di chi lavora.

A questo si aggiunge un elemento che vale per tutte le frodi basate su comunicazioni apparentemente interne, dalla CEO fraud allo smishing: chi riceve la richiesta raramente ha un modo semplice per verificarla attraverso un canale diverso da quello su cui è arrivata.

Come ridurre l’esposizione

Le misure che incidono davvero su questa tecnica sono in parte organizzative, perché il vettore tecnico offre poche superfici su cui intervenire.

L’ultima voce merita un chiarimento, perché è quella su cui si concentrano più aspettative e più delusioni. Le simulazioni di phishing tradizionali non misurano l’esposizione a questa tecnica, dato che verificano il comportamento davanti a un link. Un dipendente che non clicca mai su nulla può comunque comporre un numero e fornire le proprie credenziali al telefono, senza che nessun indicatore lo segnali.

Dal lato tecnico resta un ultimo elemento da considerare. Poiché il callback phishing porta l’attaccante dentro la rete con credenziali valide, l’entità del danno dipende da quanto è raggiungibile a partire da un account ordinario. Verificarlo è esattamente ciò che fa un penetration test condotto da una posizione interna.