Spoofing del nome visualizzato

Questa guida fa parte della nostra guida completa allo spoofing delle email. Correlati: spoofing del dominio e email spoofing vs phishing.

Cos’è lo spoofing del nome visualizzato nelle email e perché è importante

Lo spoofing del nome visualizzato è una tecnica di impersonificazione delle email in cui un aggressore modifica il nome visibile del mittente in un client di posta pur utilizzando un indirizzo email sottostante diverso. Ad esempio, un messaggio può sembrare provenire da “Microsoft Support”, “CEO Jane Smith” o da un CFO fidato, anche se l’indirizzo email reale appartiene a un account controllato dall’aggressore. Questo è importante perché molti utenti—soprattutto sui dispositivi mobili—possono notare il nome visualizzato prima di controllare l’indirizzo email completo.

A differenza dell’impersonificazione del dominio, in cui gli aggressori registrano indirizzi email simili o domini somiglianti come M1crosoft.com invece di Microsoft.com, lo spoofing del nome visualizzato spesso non richiede alcun controllo sul dominio del mittente legittimo. L’aggressore modifica semplicemente il nome del campo “From” per creare l’impersonificazione. Questo rende lo spoofing del nome visualizzato comune nel phishing, nello spear-phishing, nella compromissione della posta aziendale e nelle campagne BEC.

Solidi controlli di sicurezza email sono essenziali perché lo spoofing del nome visualizzato prende di mira la fiducia umana anziché solo le debolezze tecniche. Un filtro email tradizionale può bloccare contenuti dannosi, spam o URL già noti come pericolosi, ma molti messaggi di spoofing del nome visualizzato non contengono alcun malware. Si basano sull’ingegneria sociale: urgenza, autorità, segretezza o paura. Ecco perché lo spoofing del nome visualizzato è frequentemente associato a frode del CEO, whaling e impersonificazione di dirigenti.

L’impatto sull’azienda può essere grave. Il Rapporto sui crimini IC3 dell’FBI ha ripetutamente identificato la compromissione della posta aziendale come una delle forme più costose di perdite da cybercrime. Statista e altre fonti del settore mostrano inoltre che il phishing rimane un vettore d’attacco iniziale dominante. Che il bersaglio sia un CEO, un CFO, un team finanziario, un dipartimento HR o un MSP che gestisce più clienti, lo spoofing del nome visualizzato può portare a frode con bonifico, furto di credenziali, compromissione della posta ed esposizione dei dati.

Come funziona lo spoofing del nome visualizzato negli attacchi reali

In un tipico attacco di spoofing del nome visualizzato, il threat actor crea o compromette un account email, quindi imposta il nome visualizzato del mittente in modo da corrispondere a una persona o a un marchio fidato. L’aggressore può usare una casella di posta gratuita, un dominio appena registrato o un indirizzo email che sembra credibile a prima vista. Il dominio del mittente può non avere alcuna relazione con l’organizzazione, ma il nome visualizzato crea l’illusione di legittimità.

Manipolazione del nome del campo From e impersonificazione del mittente

L’impersonificazione del mittente si verifica quando gli aggressori usano un indirizzo email fraudolento mentre mostrano un nome fidato, come un amministratore IT, un dipendente della finanza o un dirigente aziendale. Sui client di posta mobili, l’indirizzo completo del mittente può essere nascosto, rendendo questi messaggi più difficili da riconoscere. Gli aggressori possono anche fare ricerche su dipendenti e organizzazioni per creare email convincenti che coinvolgono fatture, pagamenti, progetti o richieste relative agli account.

SPF, DKIM e DMARC possono contribuire a ridurre il rischio di spoofing e impersonificazione delle email. SPF identifica i server di invio autorizzati, DKIM aiuta a verificare l’autenticità del messaggio e la sua integrità, e DMARC fornisce istruzioni su come gestire i messaggi che falliscono l’autenticazione. Controllare e monitorare regolarmente questi record può aiutare le organizzazioni a rilevare mittenti non autorizzati e a rafforzare la sicurezza email.

Scenari di BEC, spear-phishing e ingegneria sociale

Gli attacchi di compromissione della posta aziendale (BEC) spesso iniziano con un semplice messaggio come “Sei disponibile?” oppure “Ho bisogno che tu gestisca una cosa riservata.” Queste email possono non contenere link dannosi, allegati o evidenti segnali di avvertimento. Invece, gli aggressori costruiscono fiducia attraverso una breve conversazione prima di richiedere gift card, modifiche alle buste paga, bonifici, informazioni finanziarie o documenti sensibili.

Le campagne di spear-phishing possono usare lo spoofing del nome visualizzato per impersonare dirigenti, amministratori, team IT, rappresentanti dell’assistenza clienti o altri contatti fidati. Un messaggio potrebbe affermare che una password email sta per scadere, che un account richiede la verifica o che è necessario un importante aggiornamento di sicurezza. Le campagne più sofisticate combinano lo spoofing del nome visualizzato con l’impersonificazione del dominio, domini somiglianti e indirizzi email simili per far sembrare legittimi i messaggi fraudolenti.

Bersagli comuni, segnali di avvertimento e rischi per l’azienda

Lo spoofing del nome visualizzato prende di mira le persone che possono autorizzare movimenti di denaro, accedere alle credenziali o influenzare i processi aziendali. Team finanziari, dirigenti, personale HR, amministratori IT, uffici legali e help desk degli MSP sono bersagli frequenti. Un aggressore può impersonare un CEO per commettere frode del CEO, un CFO per reindirizzare le fatture o un amministratore Microsoft per rubare credenziali M365. I segnali di avvertimento includono:

• Il nome visualizzato corrisponde a una persona nota, ma l’indirizzo email è sconosciuto.

• Il dominio del mittente non corrisponde all’organizzazione legittima.

• Il messaggio crea urgenza, segretezza o pressione.

• La richiesta riguarda pagamenti, gift card, buste paga, modifiche bancarie o credenziali.

• Il tono o la tempistica sono insoliti per il presunto mittente.

• Il client di posta mostra solo il nome visualizzato, soprattutto sui dispositivi mobili.

• Il messaggio proviene da mittenti esterni ma sembra rappresentare utenti interni.

• Banner contestuali o banner di avviso indicano un mittente per la prima volta o una fonte esterna.

  I rischi per l’azienda sono più ampi di un singolo pagamento fraudolento. Lo spoofing del nome visualizzato può portare a furto di credenziali tramite phishing, compromissione della posta aziendale, frode di pagamento BEC, compromissione della posta, perdita di dati, esposizione normativa e danni alla reputazione. Gli attacchi di whaling contro i dirigenti possono esporre piani strategici, discussioni di M&A, questioni legali o comunicazioni del consiglio di amministrazione. La frode del CEO può anche compromettere i controlli contabili e la fiducia dei fornitori.

I team di sicurezza dovrebbero trattare lo spoofing del nome visualizzato come qualcosa di più di un semplice fastidio. È spesso una fase iniziale di operazioni di cybercrime più ampie. Gli indicatori di compromissione possono includere nuove regole di inoltro, posizioni di accesso sospette, avvisi di rilevamento di email anomale, modifiche insolite degli indirizzi email nei registri dei fornitori o conversazioni inattese tra mittenti esterni e utenti della finanza.

Come rilevare e indagare sui tentativi di spoofing del nome visualizzato

Rilevare lo spoofing del nome visualizzato richiede una combinazione di analisi dell’identità, ispezione dei contenuti, reputazione del mittente e contesto comportamentale. I controlli di autenticazione di base come SPF, DKIM e DMARC sono importanti per la sicurezza email, ma non prevengono completamente lo spoofing del nome visualizzato perché l’aggressore potrebbe non falsificare direttamente il dominio del mittente. L’email può superare l’autenticazione per il dominio dell’aggressore pur utilizzando un nome visualizzato ingannevole.

Segnali tecnici di rilevamento

Gli strumenti moderni di sicurezza email ispezionano più segnali per identificare lo spoofing del nome visualizzato e l’impersonificazione del mittente, tra cui il nome visualizzato visibile, il dominio del mittente, l’indirizzo di risposta, i risultati dell’autenticazione, le intestazioni del messaggio e il comportamento storico del mittente. Le organizzazioni possono usare controlli di autenticazione e sicurezza email per rilevare messaggi sospetti, verificare i mittenti legittimi e ridurre il rischio di impersonificazione di dominio e identità.

Gli amministratori possono anche configurare policy anti-phishing per proteggere dirigenti, dipendenti, utenti importanti e domini fidati dai tentativi di impersonificazione. Record SPF, DKIM e DMARC configurati correttamente forniscono un ulteriore livello di protezione aiutando i server di posta riceventi a verificare se i messaggi sono autorizzati a usare un dominio. Il monitoraggio regolare e i controlli di autenticazione possono aiutare le organizzazioni a identificare problemi di configurazione, mittenti non autorizzati e potenziali tentativi di spoofing prima che colpiscano gli utenti. Il rilevamento dovrebbe includere:

• Confrontare il nome visualizzato con gli utenti interni noti.
• Verificare se l’indirizzo email ha già comunicato in precedenza con il destinatario.
• Controllare il dominio, l’indirizzo email, la reputazione e i risultati dell’autenticazione del mittente per segni di impersonificazione.
• Identificare indirizzi email simili e tentativi di impersonificazione del dominio.
• Applicare un’analisi avanzata dei contenuti al linguaggio, all’intento e alle richieste di pagamento.
• Usare il machine learning e l’analisi comportamentale per identificare i messaggi sospetti.
• Correlare la threat intelligence con infrastrutture di phishing note.

Flusso di lavoro di indagine per i team di sicurezza

Quando appare un avviso di spoofing del nome visualizzato, gli investigatori dovrebbero preservare le intestazioni del messaggio e confermare il vero indirizzo email, il percorso di risposta, il dominio del mittente e i risultati dell’autenticazione. Dovrebbero cercare messaggi correlati in tutte le caselle di posta, specialmente quelli inviati a finanza, HR, dirigenti e utenti critici. L’analisi del traffico email può rivelare se lo stesso aggressore ha contattato più utenti interni o ha tentato un BEC in diversi reparti.

I team di sicurezza dovrebbero anche verificare se qualche destinatario ha risposto, cliccato un link, aperto contenuti dannosi o modificato i dettagli di pagamento. Se sono state inserite credenziali, trattare il caso come possibile compromissione della posta e ispezionare l’account email interessato per regole di inoltro, concessioni OAuth, regole della casella di posta e accessi sospetti. Se è stato trasferito denaro, potrebbe essere necessaria l’escalation a legali, partner bancari, assicuratori e potenzialmente all’FBI.

Per gli MSP, l’indagine dovrebbe includere ricerche a livello di tenant su tutti i clienti gestiti se una campagna è attiva. Lo spoofing del nome visualizzato si ripete spesso in diversi settori, e una stessa esca di phishing può essere riutilizzata contro più organizzazioni.

Migliori pratiche per prevenire lo spoofing del nome visualizzato

Prevenire lo spoofing del nome visualizzato richiede una sicurezza email a più livelli, policy chiare e consapevolezza dei dipendenti. Nessun singolo controllo può fermare ogni tentativo di impersonificazione, soprattutto quando gli aggressori usano ingegneria sociale e infrastrutture pulite.

Inizia con autenticazione e governance del dominio. Configura SPF, DKIM e DMARC per i domini legittimi, monitora i domini personalizzati e riduci le opportunità di impersonificazione del dominio. Sebbene questi controlli non eliminino lo spoofing del nome visualizzato, rafforzano la sicurezza email complessiva e aiutano a rilevare l’abuso del tuo dominio mittente.

Successivamente, abilita la protezione dall’impersonificazione degli utenti in Microsoft Defender for Office 365 o in piattaforme comparabili. Proteggi dirigenti, responsabili della finanza, amministratori IT e altri utenti critici. Configura le impostazioni della policy anti-phish per l’impersonificazione del mittente, l’impersonificazione del dominio e la mailbox intelligence. Usa con attenzione i mittenti e i domini fidati; un uso eccessivo di mittenti o domini fidati può indebolire la protezione contro lo spoofing del nome visualizzato se gli aggressori sfruttano una fiducia presunta. Le organizzazioni dovrebbero anche implementare banner contestuali e banner di avviso per mittenti esterni, contatti per la prima volta e messaggi in cui il nome visualizzato assomiglia a quello di un utente interno. Questi banner sono particolarmente utili sui dispositivi mobili, dove l’indirizzo email completo può essere nascosto. Ad esempio, un banner che dice “Questo mittente è esterno alla tua organizzazione” può interrompere frode del CEO, whaling e tentativi di spear-phishing prima che un utente risponda.

Ulteriori migliori pratiche includono:

• Richiedere la verifica fuori banda per modifiche di pagamento, bonifici e richieste sensibili.
• Formare i dipendenti a ispezionare l’indirizzo email completo, non solo il nome visualizzato.
• Simulare scenari di phishing e spear-phishing che coinvolgono frode del CEO e BEC.
• Ottimizzare le policy dei filtri email per rilevare l’impersonificazione senza bloccare le attività legittime.
• Usare rilevamento delle frodi e rilevamento di email anomale per i flussi di lavoro finanziari.
• Monitorare gli indicatori di compromissione dopo risposte sospette o l’inserimento di credenziali.
• Applicare machine learning, threat intelligence e analisi avanzata dei contenuti dove disponibili.
• Mantenere flussi di lavoro di segnalazione rapidi per i sospetti casi di spoofing del nome visualizzato.

La protezione più forte contro lo spoofing del nome visualizzato combina tecnologia, policy e cultura: domini autenticati, Microsoft Defender for Office 365 o controlli equivalenti, impostazioni della policy anti-phish ben calibrate, processi di approvazione chiari e utenti che comprendono come funzionano realmente impersonificazione, compromissione della posta aziendale, BEC, whaling, spear-phishing e frode del CEO.