Punti di forza
- Le organizzazioni che gestiscono infrastrutture critiche non sono bersagli scelti a caso. Vengono selezionate deliberatamente, poiché la posta elettronica è quasi sinonimo di continuità operativa. Le campagne contro di esse sono operazioni a lungo termine che coinvolgono più attori e che spesso hanno inizio proprio tramite e-mail.
- Gli autori degli attacchi testano i propri payload contro i sistemi di sicurezza aziendali prima di lanciarli. Il fatto che un file dannoso superi il vostro scanner non significa che sia sicuro; è possibile che sia stato creato appositamente per eludere il vostro scanner.
- Un approccio alla sicurezza basato innanzitutto sul rilevamento presenta una vulnerabilità strutturale di fronte a un avversario ben preparato: non è in grado di reagire a ciò che non ha mai incontrato prima.
- La difesa a più livelli delle e-mail rappresenta la risposta strutturale. Ogni livello intercetta ciò che gli altri non sono in grado di rilevare. L'effetto combinato è semplice: aumenta il costo dell'ottimizzazione pre-distribuzione per l'autore dell'attacco.
Non si tratta di un attacco via e-mail, ma di una campagna
Nessun professionista della sicurezza decide di considerare le minacce come eventi isolati. È un processo graduale. I tassi di rilevamento rimangono stabili, gli incidenti vengono risolti nei tempi previsti e gli audit vengono superati senza riscontri significativi. Ogni singolo dato è di per sé ragionevole, ma nel loro insieme formano un quadro del tutto accurato e pericolosamente incompleto.
Proprio questo accumulo di fiducia costituisce di per sé una vulnerabilità. E per le organizzazioni che gestiscono infrastrutture critiche, si tratta di una vulnerabilità che gli aggressori sfruttano deliberatamente, a partire dalla casella di posta in arrivo, che rimane ancora oggi uno dei principali vettori di rischio per la sicurezza delle e-mail.
Quando un gruppo sponsorizzato da uno Stato prende di mira una rete energetica, un ospedale o un appaltatore della difesa, può trattarsi di una campagna pluriennale. Queste operazioni comportano spesso centinaia di iterazioni, tentativi di sondaggio e attacchi diversivi progettati per mappare le difese prima che arrivi il vero carico utile. Il loro obiettivo è causare interruzioni prolungate, esposizioni ripetute e il massimo danno reputazionale nel tempo. Il calcolo del riscatto è stato effettuato prima ancora di inviare la prima e-mail e, cosa ancora più grave, gli aggressori sanno già che il loro bersaglio non può permettersi tempi di inattività.
Gli autori delle minacce hanno motivazioni e profili di attacco diversi, ma hanno una cosa in comune: la scelta dei bersagli. Le organizzazioni che gestiscono infrastrutture critiche non vengono prese di mira casualmente, ma vengono selezionate, e le campagne contro di esse sono processi a lungo termine che quasi sempre hanno inizio con un’e-mail.
La prima mossa consiste in un allegato infetto, un link dannoso o un tentativo di phishing mirato alle credenziali, accuratamente studiato e personalizzato, inviato a un ingegnere, a un operatore o a un dirigente. E il motivo per cui l’e-mail rimane il punto di ingresso preferito non è la sofisticazione tecnica, ma la semplicità matematica. Le organizzazioni non possono bloccarla o limitarla senza compromettere le operazioni.
Un dipendente, una giornata storta, un file aperto. Ecco tutto ciò che serve per vincere. Una campagna che raggiunge contemporaneamente migliaia di caselle di posta ha bisogno solo di un momento di debolezza per avere successo, e chi difende deve impedirne ogni singolo caso.
Questo modello di campagna è già evidente nelle infrastrutture critiche statunitensi. Un avviso congiunto emesso dalla CISA, dalla NSA e dall’FBI ha confermato che gli autori dell’operazione “Volt Typhoon” sono rimasti infiltrati all’interno di alcune reti informatiche per almeno cinque anni , al fine di prepararsi a potenziali attacchi destabilizzanti o distruttivi contro le tecnologie operative.
Nessuno di questi attori modificherà la propria strategia solo perché un bersaglio ha risolto un problema di sicurezza più rapidamente o ha assunto un maggior numero di analisti. Gli attacchi sono una mossa tattica, che nella maggior parte dei casi fa parte di una strategia più ampia.
L'approccio che ne deriva non è facoltativo. Le organizzazioni che gestiscono infrastrutture critiche dovrebbero operare partendo dal presupposto che una violazione si verificherà e organizzarsi di conseguenza: difese a più livelli in ogni punto di accesso e una capacità di risposta sufficientemente tempestiva da consentire il contenimento del problema prima che il danno si aggravi.
Gli hacker testano i propri payload prima di lanciarli
Si tratta di una pratica diffusa e documentata. Che si tratti di gruppi sostenuti dallo Stato, operatori di ransomware o sofisticate organizzazioni criminali, i payload vengono sottoposti a un processo di preparazione prima ancora di essere inviati. Gli aggressori creano repliche degli stack di sicurezza aziendali, effettuano ripetute iterazioni fino a quando il file non ottiene un punteggio di rilevamento "pulito" e solo allora lo distribuiscono.
Nel 2025, un’operazione internazionale coordinata ha smantellato AVCheck, uno dei più grandi servizi al mondo di elusione antivirus, che consentiva agli sviluppatori di malware di verificare se i propri file sarebbero stati rilevati prima della distribuzione. Il servizio esisteva perché la domanda di test di elusione pre-distribuzione era sufficientemente ampia da sostenere un’attività commerciale incentrata su di essa.
Un approccio alla sicurezza basato principalmente sul rilevamento presenta una vulnerabilità strutturale di fronte a un avversario ben preparato. È progettato per riconoscere minacce già incontrate in precedenza o che assomigliano molto a qualcosa già presente nella sua cronologia. Un payload appositamente progettato per non rientrare in nessuna delle due categorie riesce a passare inosservato, poiché non fornisce al livello di rilevamento alcun elemento su cui intervenire.
Tale ottimizzazione non avviene una volta sola. Nel corso di anni di iterazioni e centinaia di tentativi di sondaggio, ogni quarantena e ogni blocco costituiscono un feedback che l’autore dell’attacco utilizza per perfezionare il tentativo successivo. La campagna apprende dalle vostre difese in un modo che le vostre difese non sono in grado di ricambiare automaticamente. Si tratta di una conseguenza logica dell’adozione di un approccio basato sul rilevamento prima di tutto contro un autore dell’attacco che si è preparato specificatamente per eludere il vostro sistema di rilevamento.
Cosa significa questo per la definizione delle vostre linee di difesa in materia di sicurezza delle e-mail
L'autore dell'attacco che tenti di creare una replica del vostro stack di sicurezza per testare preventivamente il proprio payload non è in grado di riprodurre facilmente la combinazione esatta e la sequenza di più livelli indipendenti. Questa è la logica strategica alla base della difesa a più livelli della posta elettronica: non si tratta solo di una copertura aggiuntiva, ma di una risposta strutturale che aumenta il costo del processo di ottimizzazione pre-distribuzione da cui dipende l'autore dell'attacco.
Questa logica è valida perché ogni livello opera secondo un principio diverso e coglie ciò che gli altri non sono in grado di percepire.
- La sicurezza Multiscanning amplia la copertura analizzando gli allegati contemporaneamente tramite più motori indipendenti, rendendo insufficiente l’ottimizzazione del payload mirata a un singolo motore.
- La tecnica Content Disarm and Reconstruction (CDR) rimuove i contenuti attivi da ogni file, indipendentemente dal fatto che sia già stato analizzato in precedenza; ciò significa che anche un payload progettato per eludere il rilevamento tramite firme viene comunque privato dei suoi componenti attivi.
- Il sandboxing mette in luce il comportamento durante l'esecuzione, individuando i payload appositamente progettati per ritardare il comportamento dannoso fino a dopo la consegna.
- L'analisi dell'URL al momento del clic colma il divario tra la consegna e l'attivazione dell'attacco.
- La prevenzione della perdita di dati (DLP) sulle e-mail in uscita e interne colma la lacuna di visibilità che i controlli limitati alle e-mail in entrata lasciano completamente aperta.
Nessun singolo componente è in grado di coprire tutto. Ciò che accade è che, con l’aggiunta di ogni nuovo livello, la combinazione rende strutturalmente più difficile eseguire i test preliminari sul proprio stack.
Una minaccia individuata potrebbe semplicemente indicare che l'autore dell'attacco sta ancora effettuando le operazioni preliminari. Consideratela un segnale piuttosto che un'indicazione che le vostre difese stanno reggendo. Agire partendo da questo presupposto è semplicemente una risposta razionale al fatto di essere stati presi di mira da diversi tipi di attori che conducono campagne a lungo termine.
Una protezione a più livelli a livello di posta elettronica, misure reattive che limitino i danni prima che si propaghino a catena e un approccio orientato al miglioramento continuo che consideri ogni incidente come un'informazione utile sulla campagna piuttosto che come un caso chiuso: ecco come si presenta una protezione efficace per le organizzazioni che gestiscono infrastrutture critiche.
Ora immaginate che questo tipo di attacco avvenga su scala industriale. Immaginate che un hacker, che prima impiegava settimane per ottimizzare un payload per un singolo bersaglio specifico, ora sia in grado di farlo per migliaia di bersagli contemporaneamente, nel giro di poche ore. Il Microsoft Digital Defense Report 2025 ha citato una ricerca indipendente secondo cui il phishing basato sull’intelligenza artificiale ha raggiunto un tasso di clic del 54%, rispetto al 12% delle campagne tradizionali, risultando così 4,5 volte più efficace. Questo è ciò che l’intelligenza artificiale ha già reso possibile, ed è l’argomento del prossimo articolo di questa serie.
Questo blog è la prima parte della serie “Made to Evade”.
Le parti 2 e 3 saranno disponibili a breve.
