Nelle e-mail di estorsione, i criminali informatici minacciano di pubblicare informazioni compromettenti sulle loro vittime, come una foto imbarazzante, e richiedono il pagamento in criptovaluta. Gli aggressori spesso acquistano le credenziali di accesso delle vittime o le ottengono tramite violazioni dei dati per "dimostrare" che la loro minaccia è legittima.
Per comprendere meglio l'infrastruttura finanziaria utilizzata dagli aggressori nelle e-mail di estorsione, Barracuda ha collaborato con i ricercatori della Columbia University per analizzare oltre 300.000 e-mail catturate dai rilevatori basati sull'intelligenza artificiale di Barracuda Networks nell'arco di un anno in cui sono stati rilevati gli attacchi di estorsione.
🔎Esempio di lettera di accompagnamento esorbitante (Immagine: Barracuda Networks)
Di seguito daremo uno sguardo più da vicino alle valute utilizzate in questi attacchi, al modo in cui gli aggressori utilizzano gli indirizzi Bitcoin, al volume di e-mail inviate e agli importi di denaro richiesti.
Criptovalute utilizzate dagli autori di estorsioni
Nel set di dati esaminato, Bitcoin è l’unica criptovaluta utilizzata dagli aggressori. Esistono diversi motivi per cui i criminali utilizzano Bitcoin come metodo di pagamento preferito per i riscatti. Bitcoin è in gran parte anonimo, le transazioni vengono elaborate tramite indirizzi di portafoglio e chiunque può generare tutti gli indirizzi di portafoglio che desidera.
Inoltre, l’infrastruttura che circonda Bitcoin è ben sviluppata, rendendo facile per le vittime acquistare Bitcoin e consentendo agli aggressori di rendere anonime ulteriormente le loro azioni utilizzando i cosiddetti “mixer”. Si tratta di servizi progettati per nascondere la cronologia delle transazioni combinando e dividendo in modo casuale Bitcoin da numerosi portafogli. Inoltre, data la natura pubblica della blockchain, gli estorsori possono facilmente verificare se una vittima ha pagato o meno, eliminando alcuni dei problemi riscontrati con le transazioni tradizionali.
Analisi degli indirizzi Bitcoin
Sebbene Bitcoin sia anonimo, puoi comunque ottenere alcune informazioni molto interessanti sugli aggressori e sul loro comportamento analizzando gli indirizzi Bitcoin nelle loro e-mail di estorsione. Ad esempio, se lo stesso indirizzo Bitcoin viene utilizzato in più e-mail ricevute dagli utenti, ciò dimostra che appartiene allo stesso aggressore o allo stesso gruppo di aggressori.
Analizzando il set di dati esaminato, i ricercatori hanno scoperto che gli attacchi si concentrano su un numero limitato di indirizzi Bitcoin. In totale, c'erano circa 3.000 indirizzi Bitcoin univoci, di cui i primi 10 apparivano in circa il 30% delle e-mail e i primi 100 apparivano in circa l'80% delle e-mail. Ciò suggerisce che un numero limitato di aggressori è responsabile della stragrande maggioranza delle e-mail di estorsione. Quindi, se riesci a fermare questi aggressori o a bloccarne efficacemente i metodi, gran parte di questa minaccia via email può essere neutralizzata.
Analisi incrociata dell'indirizzo Bitcoin e del mittente dell'e-mail
Un'altra informazione importante per assegnare e-mail a specifici aggressori sono i campi e-mail. Ad esempio, il campo “Mittente” di ogni e-mail può essere visto come un proxy per l’aggressore. Se più email provengono dallo stesso mittente, appartengono allo stesso utente malintenzionato. La ricerca ha raggruppato le e-mail in base al campo “mittente” e ha contato il numero di e-mail inviate da ciascun mittente, nonché il numero di indirizzi Bitcoin univoci utilizzati da ciascun mittente.
Ciò ha dimostrato che la stragrande maggioranza di tutti i mittenti ha utilizzato lo stesso indirizzo Bitcoin nei propri attacchi. Ciò vale sia per gli aggressori che hanno inviato grandi quantità di e-mail, sia per i ricattatori che hanno lavorato solo con piccole quantità. Inoltre, dei 120.000 mittenti unici nell'intero set di dati, meno di 3.000 mittenti hanno inviato più di dieci e-mail. Solo otto mittenti hanno inviato più di 500 email.
Ciò dimostra che gli aggressori sono un po’ negligenti nel nascondere la propria identità e nella stragrande maggioranza dei casi utilizzano lo stesso indirizzo Bitcoin per le loro truffe. Ciò crea la possibilità che questo piccolo numero di indirizzi Bitcoin (e di aggressori) possa essere rintracciato dalle forze dell’ordine.
Quanti soldi chiedono i ricattatori?
Per comprendere meglio il comportamento degli aggressori, i ricercatori hanno anche esaminato la quantità di denaro richiesta dagli aggressori e la coerenza di tale importo con il set di dati esaminato. Delle 200.000 e-mail da cui è stato possibile estrarre indirizzi Bitcoin, il 97% richiedeva dollari USA, il 2,4% euro e il restante 0,6% sterline inglesi, dollari canadesi, bitcoin, ecc. Per qualsiasi importo non era in dollari USA, i ricercatori lo hanno convertito nel valore equivalente in dollari USA del giorno in cui è stata inviata l'e-mail per il confronto. I risultati sono stati i seguenti:
- Quasi tutti gli aggressori richiedono una somma compresa tra 400 e 5.000 dollari
- Il 25% delle e-mail richiede un importo inferiore a 1.000 dollari
- Oltre il 90% delle e-mail di estorsione richiedono un importo inferiore a 2.000 dollari
- Solitamente gli aggressori richiedono somme comprese tra 500 e 2.000 dollari
Ciò suggerisce che le somme di denaro richieste dagli aggressori sono più concentrate in un’area “sweet spot”. Questo valore è sufficientemente elevato da essere significativo per l'aggressore, ma non così elevato da indurre la vittima a non effettuare il pagamento o a indagare se l'aggressore abbia effettivamente informazioni compromettenti (cosa che di solito non è il caso). Inoltre, l'importo non fa scattare l'allarme né per la banca né per le autorità fiscali della vittima.
Modi per proteggersi dagli attacchi di estorsione
Se le forze dell’ordine rintracciassero anche un piccolo numero di aggressori, le operazioni criminali potrebbero essere gravemente interrotte. Inoltre, poiché gli estorsori adottano tattiche reciproche, i fornitori di sicurezza e-mail dovrebbero essere in grado di bloccare un’ampia percentuale di questi attacchi utilizzando semplici strumenti di rilevamento. Ecco quattro best practice che le aziende possono utilizzare per difendersi da questi tipi di attacchi:
- Protezione basata sull'intelligenza artificiale: Gli aggressori adattano gli attacchi di estorsione per aggirare i gateway di posta elettronica e i filtri anti-spam, quindi è indispensabile una buona soluzione di spear phishing che protegga dalle estorsioni.
- Protezione contro l'acquisizione dell'account: Molti attacchi di estorsione provengono da account compromessi. Pertanto è importante garantire che i truffatori non utilizzino l’azienda come base per questi attacchi. È qui che possono essere d’aiuto le tecnologie che utilizzano l’intelligenza artificiale per rilevare quando gli account sono stati compromessi.
- Indagini proattive: Data la natura imbarazzante delle truffe legate all’estorsione, i dipendenti potrebbero essere meno disposti del solito a denunciare questi attacchi. Pertanto, le aziende dovrebbero eseguire scansioni regolari dei messaggi consegnati per identificare le e-mail relative a modifiche della password, avvisi di sicurezza e altri contenuti.
- Formazione sulla sensibilizzazione alla sicurezza: Le aziende dovrebbero anche educare gli utenti sugli attacchi di estorsione e includere l’argomento nel loro programma di formazione sulla sensibilizzazione alla sicurezza. È necessario garantire che i dipendenti riconoscano questi attacchi, ne comprendano la natura fraudolenta e si sentano a proprio agio nel segnalarli. L’uso delle simulazioni di phishing aiuta anche a testare l’efficacia della formazione e a identificare gli utenti più vulnerabili agli attacchi di estorsione.
L’estorsione tramite posta elettronica rappresenta una minaccia significativa, con gli aggressori che inviano ogni anno milioni di messaggi dannosi alle vittime, ma sembra che sia commessa da un numero limitato di autori e che questi gruppi utilizzino tattiche simili. Ciò ci rende ottimisti riguardo alla lotta contro questa particolare minaccia e-mail.
Dal Dott. Klaus Gheri, Vicepresidente e Direttore generale della sicurezza di rete presso Barracuda Networks
Informazioni sulle reti Barracuda Barracuda si impegna a rendere il mondo un luogo più sicuro e ritiene che ogni azienda debba avere accesso a soluzioni di sicurezza a livello aziendale abilitate per il cloud, facili da acquistare, implementare e utilizzare. Barracuda protegge e-mail, reti, dati e applicazioni con soluzioni innovative che crescono e si adattano lungo il percorso del cliente. Più di 150.000 aziende in tutto il mondo si affidano a Barracuda per concentrarsi sulla crescita del proprio business. Per ulteriori informazioni, visitare www.barracuda.com.
Articoli relativi all'argomento