Il Business Email Compromise è una forma di frode che sfrutta la posta elettronica aziendale per convincere una persona a compiere un’azione apparentemente legittima: autorizzare un bonifico, modificare un IBAN, inviare documenti riservati o condividere credenziali. A differenza del phishing massivo, il BEC tende a essere costruito sul contesto reale dell’organizzazione. Il messaggio può riprendere nomi, ruoli, fornitori, modalità di pagamento e conversazioni già avvenute, rendendo più difficile distinguere una richiesta autentica da una manipolata. Per questo la protezione non può basarsi soltanto sull’attenzione del singolo utente.
Business Email Compromise: perché è diverso dal phishing tradizionale
Il phishing tradizionale punta spesso su grandi volumi: lo stesso messaggio viene inviato a molti destinatari nella speranza che qualcuno clicchi su un link o inserisca le proprie credenziali. Nel Business Email Compromise, invece, l’attaccante cerca di ricostruire le relazioni interne ed esterne dell’azienda. Può impersonare un amministratore delegato, un responsabile amministrativo, un fornitore abituale o un consulente e utilizzare una richiesta coerente con le attività della vittima.
In alcuni casi viene registrato un dominio molto simile a quello reale; in altri viene modificato soltanto il nome visualizzato del mittente. Lo scenario più critico si verifica quando un account legittimo viene realmente compromesso. L’aggressore può allora leggere le conversazioni, individuare fatture e scadenze, creare regole di inoltro automatico e intervenire nel momento più credibile, per esempio sostituendo le coordinate bancarie in una trattativa già in corso.
CEO fraud, supplier fraud e account takeover
Le varianti più frequenti ruotano intorno all’impersonificazione. Nella cosiddetta CEO fraud la richiesta sembra provenire da una figura apicale e fa leva su urgenza e riservatezza. Nelle frodi che coinvolgono i fornitori, invece, il messaggio comunica un cambio di IBAN o nuove istruzioni di pagamento. L’account takeover è ancora più insidioso perché la comunicazione parte da una casella autentica: in questo caso i controlli sul solo indirizzo del mittente non sono sufficienti.
I segnali che dovrebbero far scattare una verifica
Un messaggio BEC efficace non deve necessariamente contenere allegati malevoli o link sospetti. Spesso è una normale email testuale, scritta con un tono plausibile. Per questo è utile definire indicatori operativi che obblighino a un controllo aggiuntivo, soprattutto nei reparti amministrazione, acquisti, finance e risorse umane.
- richieste urgenti di pagamento, acquisto di gift card o trasferimento di denaro fuori dalle procedure abituali;
- variazioni improvvise di IBAN, beneficiario o modalità di pagamento comunicate soltanto via email;
- richieste di riservatezza, pressione a non coinvolgere altri colleghi o tentativi di aggirare un processo autorizzativo;
- differenze anche minime nel dominio, nel reply-to o nel nome del mittente, soprattutto quando il messaggio riguarda dati o denaro;
- regole di inoltro, accessi da località insolite o comportamenti anomali su una casella aziendale.
Come prevenire il Business Email Compromise: controlli tecnici e procedure
La prevenzione del Business Email Compromise richiede la combinazione di più livelli. Sul piano degli account, l’autenticazione a più fattori riduce il rischio che una password sottratta sia sufficiente per accedere alla casella. È altrettanto importante controllare accessi anomali, sessioni attive, modifiche alle regole di inoltro e privilegi amministrativi, perché una compromissione può restare invisibile se l’attaccante evita azioni rumorose.
Sul perimetro della posta, una soluzione di Email Security può aggiungere controlli specifici contro impersonificazione, spoofing, URL malevoli e allegati sospetti. Per le organizzazioni che vogliono filtrare le minacce prima che raggiungano il mail server, anche un sistema di Email Filtering a monte dell’infrastruttura consente di separare il controllo dei messaggi dal comportamento dell’utente finale.
I controlli tecnici, però, non sostituiscono le procedure. Un cambio di coordinate bancarie dovrebbe essere verificato tramite un secondo canale già noto, come una telefonata a un contatto presente nell’anagrafica aziendale. Allo stesso modo, i pagamenti sopra una determinata soglia possono richiedere una doppia autorizzazione. Il punto non è rallentare ogni attività, ma identificare le operazioni nelle quali un’email, da sola, non deve essere considerata una prova sufficiente di identità.
Autenticazione del dominio e sicurezza della piattaforma email
SPF, DKIM e DMARC sono fondamentali per limitare l’uso fraudolento del dominio aziendale e migliorare la capacità dei server destinatari di distinguere i messaggi autorizzati da quelli falsificati. Non bloccano tutte le forme di BEC, perché un attaccante può usare domini simili o un account realmente compromesso, ma riducono una parte importante del rischio legato allo spoofing diretto e forniscono informazioni utili sul modo in cui il dominio viene utilizzato.
La piattaforma di posta deve inoltre permettere una gestione coerente di autenticazione, policy, filtri e accessi. Zimbra 10 integra funzionalità per la gestione centralizzata della posta e della collaborazione, con strumenti di sicurezza e autenticazione che possono essere inseriti in una strategia più ampia di protezione degli account e dei dati. In ambienti con requisiti più elevati, la configurazione va progettata insieme alle policy interne, non lasciata alle impostazioni predefinite.
Ridurre il rischio BEC significa lavorare anche sui processi aziendali
La posta elettronica è spesso il punto in cui processi tecnici e processi amministrativi si incontrano. Per questo un progetto di sicurezza efficace dovrebbe coinvolgere IT, amministrazione, finance, procurement e direzione. L’IT può rafforzare autenticazione, logging e filtraggio; i reparti operativi devono sapere quali richieste non possono essere eseguite senza una verifica indipendente.
Una verifica periodica può partire dalle caselle con maggiore esposizione: account amministrativi, mailbox condivise, indirizzi pubblici e utenti che gestiscono pagamenti o dati sensibili. Da qui è possibile definire controlli di accesso, procedure di escalation e regole per le variazioni di pagamento. In questo modo la sicurezza della posta non resta un insieme di strumenti isolati, ma diventa parte del governo quotidiano dei flussi aziendali.