Sommario
Una nuova tecnica di phishing emerge come minaccia di primo piano per aziende e difensori della sicurezza informatica. Si tratta del precision-validated phishing, una strategia che si basa sulla validazione in tempo reale degli indirizzi email. Questo approccio consente ai criminali informatici di colpire soltanto destinatari attivi e strategici, aumentando notevolmente la qualità dei dati raccolti e rendendo estremamente difficile l’analisi da parte dei team di cybersecurity.
Come opera il phishing con validazione in tempo reale
A differenza del phishing tradizionale, che adotta una logica massiva, il precision-validated phishing seleziona con accuratezza i bersagli. Quando un utente inserisce il proprio indirizzo email in una pagina fraudolenta, il sistema verifica se tale indirizzo è incluso in un database precompilato. Solo in caso di corrispondenza viene mostrato il modulo per l’inserimento delle credenziali.
Se invece l’indirizzo non risulta presente nell’elenco, la pagina mostra un errore oppure reindirizza l’utente verso un sito apparentemente legittimo, come ad esempio Wikipedia. Questo comportamento impedisce l’analisi delle pagine malevole da parte di sandbox, strumenti automatizzati e ricercatori di sicurezza che utilizzano indirizzi email di test. In sostanza, se il bersaglio non è autenticato nella lista dell’attaccante, il contenuto dannoso non viene mai visualizzato.
Tecniche di validazione e strumenti usati dagli attaccanti
Le campagne più recenti analizzate da Cofense mostrano l’utilizzo di script JavaScript integrati nelle pagine di login e l’adozione di servizi API di verifica email. Questi strumenti permettono il controllo immediato della validità dell’indirizzo, determinando così se proseguire con l’attacco oppure no. I kit di phishing impiegati dagli attori malevoli contengono meccanismi di codifica avanzati, come l’uso di URL cifrati in Base64, che nascondono elenchi di indirizzi target già prelevati in precedenza.
L’effetto sugli strumenti di difesa e analisi
La principale criticità per i team SOC e gli analisti di sicurezza consiste nel fatto che queste pagine malevole non mostrano mai contenuti pericolosi se l’indirizzo utilizzato per accedervi non è incluso nel set degli obiettivi. Gli strumenti automatici falliscono nel rilevare il phishing e le analisi manuali sono inutili senza la possibilità di simulare una vittima reale. Inoltre, in alcuni scenari, il sito phishing invia un codice di verifica alla casella della vittima, impedendo ulteriormente ogni investigazione senza accesso diretto all’email.
Questo ostacola i metodi classici utilizzati dai team di risposta agli incidenti, che spesso si basano sull’uso di credenziali fasulle per monitorare l’infrastruttura avversaria. La natura selettiva di questi attacchi limita anche la condivisione tramite feed di threat intelligence, poiché gli stessi URL appaiono innocui se non attivati da un indirizzo presente nella lista. Di conseguenza, le blacklist diventano inefficaci e le strategie di difesa devono spostarsi verso la rilevazione comportamentale e il monitoraggio delle anomalie.
Un caso reale e l’unica lista del malware
Durante l’analisi di campagne recenti, Cofense ha osservato l’integrazione di:
- Script di validazione JavaScript che eseguono un controllo incrociato degli indirizzi email inseriti, reindirizzando a pagine legittime in caso di test non autorizzati.
Questa lista tecnica rappresenta l’unica eccezione in un articolo altrimenti sviluppato in forma discorsiva, per rispettare le tue istruzioni.
Impatto sulle strategie difensive
Il precision-validated phishing cambia il paradigma della protezione informatica. Non si tratta più di identificare attacchi su larga scala, ma di contrastare operazioni chirurgiche e mirate, costruite per massimizzare il rendimento dell’attacco ed eludere ogni forma di intercettazione. Le vittime vengono selezionate in base alla validità e all’attività dell’indirizzo email, mentre i difensori si trovano privi di strumenti efficaci per analizzare la minaccia in ambienti isolati.
L’unico modo per contrastare questo tipo di campagna resta l’utilizzo combinato di telemetria avanzata, analisi comportamentale delle email, e addestramento costante degli utenti finali. Occorre anticipare le mosse degli attaccanti adottando un modello di sicurezza proattivo, capace di rilevare variazioni nel comportamento delle comunicazioni e nel traffico generato dalle email di phishing.
