Phishing via PEC: perché il canale certificato non basta

La Posta Elettronica Certificata garantisce che un messaggio sia stato effettivamente inviato da un mittente identificato e consegnato a un destinatario identificato, con valore legale. È una garanzia sul trasporto e sull’identità del titolare della casella.

Non è una garanzia sul contenuto. Una comunicazione fraudolenta inviata da una casella PEC autentica arriva a destinazione con lo stesso valore legale di qualsiasi altra, e proprio questo la rende più efficace di un’email ordinaria: il canale che dovrebbe rassicurare è ciò che abbassa la soglia di sospetto.

1. Quanto è diffuso il fenomeno
2. Perché una frode su PEC funziona meglio
3. Il caso delle fatture e del Sistema di Interscambio
4. Come si verifica davvero un messaggio
5. Se la casella compromessa è la vostra

Quanto è diffuso il fenomeno

Va detto subito, perché mette la questione nella giusta proporzione: la PEC resta un canale molto più pulito della posta ordinaria. Secondo i dati dell’Osservatorio del CERT-AGID, la quota di campagne malevole che si avvale della PEC come mezzo di diffusione si attesta intorno al due per cento del totale.

Il numero però non misura il rischio, misura il volume. Una campagna su cento che arriva via PEC ha una probabilità di successo molto più alta delle novantanove che arrivano via posta ordinaria, perché raggiunge un destinatario che quel canale ha imparato a considerare affidabile, e perché nelle aziende la PEC viene letta da chi si occupa di adempimenti, non da chi si occupa di sicurezza.

C’è poi un secondo motivo per cui il dato va letto con attenzione. Le caselle PEC appartengono a imprese, professionisti e pubbliche amministrazioni: non è un canale di consumo. Ogni casella compromessa apre l’accesso a corrispondenza contrattuale, fiscale e legale, e consente di scrivere ad altre aziende con l’identità certificata del titolare.

Perché una frode su PEC funziona meglio

Tre elementi si sommano, e nessuno riguarda la qualità tecnica del messaggio.

Il primo è l’attesa. Sulla PEC arrivano notifiche di enti, comunicazioni dell’amministrazione finanziaria, atti, solleciti. Chi la apre si aspetta contenuti formali con scadenze, quindi un messaggio che comunica un termine da rispettare non appare anomalo: appare ordinario.

Il secondo è la ripartizione dei compiti. In molte aziende la PEC è presidiata dall’amministrazione o dal consulente contabile, che sono le figure meno esposte alla formazione sulla sicurezza e che valutano un allegato dal punto di vista dell’adempimento, non della minaccia.

Il terzo è la percezione del canale. La formula “posta certificata” viene letta come “posta verificata”, e l’aggettivo produce un affidamento che il servizio non garantisce nel merito. La certificazione riguarda l’invio e la consegna, non la veridicità di ciò che è scritto.

Le forme ricorrenti sono due. Le comunicazioni che veicolano allegati malevoli, con lo schema tipico di un documento contabile da scaricare per essere consultato: in Italia la PEC è stata il canale di diffusione documentato di alcune famiglie di malware, fra cui sLoad. E le comunicazioni che imitano enti o istituti, dove l’obiettivo non è l’allegato ma l’azione richiesta.

Il caso delle fatture e del Sistema di Interscambio

Il caso italiano più significativo riguarda la fatturazione elettronica, ed è utile perché mostra il meccanismo nella sua forma più completa.

I criminali si sono presentati come Sistema di Interscambio, chiedendo ai professionisti destinatari di modificare l’indirizzo PEC a cui ricevere le fatture elettroniche. Il testo del messaggio era credibile perché ricavato da una comunicazione reale e legittima del sistema, e la richiesta era coerente con un adempimento tecnico plausibile.

La richiesta non chiedeva denaro né credenziali: chiedeva di reindirizzare un flusso documentale. È il tipo di operazione che chi si occupa di fatturazione compie senza allarmarsi, e la cui conseguenza — ricevere le fatture altrove, o non riceverle affatto — si manifesta con settimane di ritardo.

Su questa specifica frode esiste un criterio di verifica preciso, e vale la pena conoscerlo. I messaggi autentici del Sistema di Interscambio provengono da un indirizzo in formato standardizzato, con un progressivo numerico, e devono obbligatoriamente contenere due allegati conformi alle specifiche tecniche sulla fatturazione elettronica pubblicate dall’Agenzia delle Entrate. Un messaggio che si presenta come SdI e non rispetta questa struttura non è autentico, indipendentemente da quanto sia curato.

Come si verifica davvero un messaggio

Qui è necessario correggere un criterio diffuso e sbagliato: non esiste un dominio unico che identifichi le PEC autentiche. I gestori autorizzati sono numerosi e i domini certificati sono decine, comprese le caselle su dominio aziendale proprio. Verificare che l’indirizzo termini in un certo modo non distingue una PEC autentica da una fraudolenta, e induce a scartare comunicazioni legittime.

I criteri che funzionano sono altri, e nessuno richiede di valutare come il messaggio appare.

Il primo riguarda la coerenza fra mittente e contenuto. Un ente che vi scrive per la prima volta su un adempimento che non vi risulta aperto è la situazione da verificare, indipendentemente da quanto il messaggio sia formalmente corretto.

Il secondo è la verifica su canale diverso, che vale qui come per qualsiasi altra richiesta: se un messaggio chiede di modificare un indirizzo, un recapito o coordinate di pagamento, la conferma si chiede attraverso il canale istituzionale dell’ente, digitandone l’indirizzo nel browser o telefonando a un numero già in archivio. Mai ai recapiti indicati nel messaggio.

Il terzo riguarda gli allegati, e in azienda è una questione di configurazione più che di attenzione. Un allegato che si presenta come documento contabile e richiede l’abilitazione di contenuti attivi per essere consultato non è un documento contabile. L’apertura in ambiente isolato risolve il problema a monte, senza chiedere a nessuno di decidere.

Il criterio che non funziona più, e va rimosso dalla formazione, è la ricerca di errori di lingua. Come abbiamo scritto nell’approfondimento sul phishing in azienda, i testi vengono generati nella lingua e nel registro del destinatario, e insegnare a cercare refusi istruisce le persone a fidarsi di un messaggio ben scritto.

Se la casella compromessa è la vostra

Questa è la parte che riguarda direttamente un’azienda, e che negli articoli sul tema viene trascurata.

Se qualcuno ottiene l’accesso alla vostra casella PEC, non riceve soltanto la vostra corrispondenza: può inviare comunicazioni a vostro nome con valore legale. Una variazione di coordinate bancarie comunicata via PEC ai vostri clienti ha una credibilità che nessuna email ordinaria potrebbe avere, ed è la stessa dinamica della frode del bonifico, con l’aggravante del canale.

C’è poi la questione documentale. Una PEC inviata dalla vostra casella fa prova dell’invio, e contestare a posteriori di non averla scritta apre un problema che non è tecnico. Per questo la compromissione di una casella PEC aziendale va trattata come un incidente da documentare, non come un fastidio da risolvere cambiando la password.

Le verifiche da fare, e conviene farle ora anziché dopo: quante persone accedono alla casella e con quali credenziali, se sono condivise, se il secondo fattore di autenticazione è attivo, se esistono regole di inoltro automatico che nessuno ha impostato — un inoltro silenzioso consente di continuare a leggere la corrispondenza anche dopo il cambio della password. E se il presidio è affidato a un consulente esterno, quelle stesse domande vanno poste a lui, perché rientra nella catena di fornitura.