Redazione MailSniper
Autore
Immagina questa situazione. Ricevi un'email dal tuo commercialista. Stesso indirizzo di sempre, stessa firma in calce, stesso tono. Ti chiede di pagare una fattura su un nuovo IBAN — dice che hanno cambiato banca. Tu paghi. Tre giorni dopo, il commercialista vero ti chiama: "Che fattura? Non ti ho mandato nulla."
Benvenuto nel mondo degli attacchi supply chain via email. Non e' fantascienza. E' quello che succede ogni giorno a centinaia di aziende italiane. E il motivo per cui e' cosi' devastante e' semplice: l'email e' autentica. Arriva davvero dal server del fornitore. SPF passa. DKIM passa. DMARC passa. L'indirizzo mittente e' quello giusto. Non c'e' nessun segnale tecnico di allarme.
L'unica cosa sbagliata e' chi sta usando quell'account.
La logica e' elegante nella sua semplicita'. Invece di attaccare la tua azienda — che magari ha un buon firewall, un gateway email decente, dipendenti formati — l'attaccante cerca l'anello debole della catena. Il tuo fornitore piu' piccolo. Lo studio legale con 3 dipendenti. L'agenzia di marketing che usa la stessa password dal 2019.
L'attaccante sceglie un bersaglio facile nella tua supply chain. Come? E' piu' semplice di quanto pensi:
Una volta identificato il fornitore, l'attaccante lo compromette. Il metodo piu' comune? Phishing. Un'email al dipendente del fornitore che lo porta a inserire le credenziali della casella email su un sito clone. Password rubata. Accesso ottenuto.
Se il fornitore non ha MFA (e il 72% delle PMI italiane non ce l'ha sulla email), l'attaccante entra nella casella senza nessun ostacolo.
Ecco la parte che distingue un attacco supply chain da un phishing generico. L'attaccante non agisce subito. Si siede e legge. Per giorni, a volte settimane.
Legge le email tra il fornitore e i suoi clienti. Studia il tono, il formato, le abitudini. Capisce chi paga cosa, quando arrivano le fatture, quali sono gli importi normali, come si chiamano i referenti interni. Impara a scrivere esattamente come scriverebbe il titolare del fornitore.
Creando regole di inoltro automatico nell'account compromesso, l'attaccante riceve una copia di tutto senza che il fornitore se ne accorga. La casella email continua a funzionare normalmente. Il fornitore non sospetta nulla.
Quando l'attaccante ha capito il momento giusto — tipicamente quando sa che una fattura reale sta per essere emessa — colpisce. I tre scenari piu' comuni:
Fattura con IBAN modificato. L'attaccante intercetta la fattura reale che il fornitore sta per inviarti (la vede perche' ha accesso alla casella). La modifica — cambia solo l'IBAN — e la invia dalla casella compromessa. Tu ricevi una fattura identica a quelle che ricevi sempre, dallo stesso indirizzo email di sempre, con lo stesso importo che ti aspettavi. L'unica differenza e' l'IBAN. E chi controlla l'IBAN su ogni fattura?
Link a portale clone. L'email ti chiede di accedere a un portale fornitori per scaricare documentazione, aggiornare dati, o approvare un ordine. Il link porta a una copia perfetta del portale reale. Inserisci le tue credenziali e le hai regalate all'attaccante. Ora ha accesso anche alla tua azienda.
BEC tramite fornitore compromesso. L'attaccante usa l'account del fornitore per chiederti un pagamento urgente — un acconto su un progetto, una fattura anticipata, un saldo da effettuare prima della scadenza. Dato che la richiesta arriva da un fornitore reale con cui hai rapporti commerciali attivi, non sospetti nulla.
Questo e' il punto cruciale che rende gli attacchi supply chain cosi' pericolosi. Le difese email tradizionali si basano su tre pilastri:
In un attacco supply chain, tutti e tre i pilastri cedono:
E' come un ladro che ruba le chiavi di casa del tuo vicino e entra dal tuo portone con quelle. Il portone funziona perfettamente. La serratura non e' stata forzata. Le chiavi sono quelle giuste. Ma chi le usa non e' il tuo vicino.
Puoi verificare la configurazione di autenticazione dei tuoi fornitori con il nostro analizzatore di header email. Se un'email dal tuo fornitore mostra anomalie nei campi Received: o discrepanze nel percorso del messaggio, potrebbe essere un segnale.
Non sono scenari teorici. Succede continuamente.
Uno studio commercialista con 8 dipendenti e 200 clienti viene compromesso tramite una email di phishing. L'attaccante accede alla casella del titolare e monitora le comunicazioni per 3 settimane. Quando individua un cliente che sta per pagare una fattura da 47.000 euro, intercetta la comunicazione e invia una fattura identica con IBAN diverso. Il cliente paga. Quando lo studio reale invia la fattura vera due giorni dopo, il cliente si accorge del doppio pagamento. Ma i 47.000 euro sono gia' spariti.
Un fornitore di servizi IT (MSP) che gestisce i sistemi di 150 aziende clienti viene compromesso. L'attaccante usa l'account email dell'MSP per inviare a tutti i clienti un "aggiornamento di sicurezza urgente" — in realta' un ransomware. Dato che l'email arriva dal fornitore IT, la maggior parte dei destinatari la apre senza sospettare. 23 aziende vengono cifrate in un solo giorno.
La truffa della fattura con IBAN modificato e' talmente diffusa in Italia che la Polizia Postale ha creato una pagina dedicata. L'importo medio e' di 15.000-30.000 euro, ma ci sono casi documentati oltre i 200.000 euro. La particolarita': nella maggior parte dei casi, il fornitore non sa nemmeno di essere stato compromesso finche' il cliente non segnala il problema.
Gli attacchi supply chain sono sofisticati, ma non imbattibili. Servono pero' difese che vanno oltre il filtro antispam tradizionale.
La regola d'oro, semplice e devastantemente efficace: qualsiasi modifica alle coordinate bancarie va confermata per telefono. Non per email, non per WhatsApp. Per telefono, chiamando il numero che hai gia' in rubrica (non quello scritto nell'email).
Crea una policy aziendale scritta: nessun pagamento su IBAN diverso dal solito senza conferma vocale. Nessuna eccezione, nemmeno per importi piccoli. Gli attaccanti spesso iniziano con fatture da 2.000-3.000 euro per testare il canale, prima di colpire con importi maggiori.
Non puoi controllare la configurazione email dei tuoi fornitori. Ma puoi proteggere il tuo dominio con DMARC in modalita' p=reject, cosi' nessuno puo' impersonare la tua azienda verso i tuoi clienti e partner.
E puoi chiedere ai tuoi fornitori critici di fare lo stesso. Inseriscilo nei contratti. La NIS2 lo richiede esplicitamente: devi verificare che anche la tua catena di fornitura abbia standard di sicurezza adeguati.
Qui entra in gioco la tecnologia avanzata. Un gateway email moderno non si limita a controllare se il mittente e' autenticato. Analizza il comportamento:
MailSniper, basato sulla tecnologia Libraesva, analizza questi pattern e genera allarmi quando il comportamento di un mittente fidato cambia improvvisamente. Non blocca l'email in automatico (potrebbe essere legittima), ma la segnala con un banner di avviso per l'utente e una notifica per l'IT.
Molti gateway email applicano il sandboxing solo alle email provenienti da mittenti sconosciuti o con reputazione bassa. Errore grave. In un attacco supply chain, l'allegato malevolo arriva da un mittente con reputazione ottima.
MailSniper analizza ogni allegato in sandbox, indipendentemente dalla reputazione del mittente. Il file viene aperto in un ambiente isolato, si osserva il suo comportamento (tenta di scaricare qualcosa? modifica il registro di sistema? si connette a server esterni?), e solo se e' pulito viene consegnato. Tempo medio: meno di 30 secondi.
I link nelle email dei fornitori compromessi possono puntare a siti legittimi al momento della consegna e diventare malevoli ore dopo (tecnica chiamata "deferred phishing"). MailSniper riscrive ogni URL e la verifica al momento del click, non solo al momento della consegna. Se il sito e' stato trasformato in una pagina di phishing nel frattempo, il click viene bloccato.
La Direttiva NIS2 non e' solo una questione di compliance burocratica. L'Articolo 21, comma 2, lettera d) richiede esplicitamente la "sicurezza della catena di approvvigionamento". In pratica, devi:
Non puoi piu' ignorare la sicurezza email dei tuoi fornitori. Se un loro account compromesso viene usato per attaccarti e tu non avevi misure di protezione adeguate, la responsabilita' ricade anche su di te.
Per una panoramica completa sui requisiti NIS2 per la sicurezza della supply chain, consulta la nostra guida NIS2 e email security.
Per capire la differenza concreta, ecco cosa succede quando un'email da un fornitore compromesso arriva alla tua casella:
| Controllo | Filtro Base (Office 365/Gmail) | MailSniper |
|---|---|---|
| SPF/DKIM/DMARC | Passa (dominio legittimo) | Passa — ma non si ferma qui |
| Reputazione mittente | Alta (fornitore noto) | Alta — ma analizza anche il comportamento |
| Analisi contenuto | Nessun pattern sospetto rilevato | Rileva anomalie comportamentali |
| Allegato .zip con password | Consegnato senza analisi | Aperto in sandbox, analizzato |
| Link a dominio nuovo | Nessun allarme | Segnalato + verifica al click |
| Fattura con IBAN diverso | Nessun allarme | Banner di avviso per l'utente |
Vuoi vedere come il tuo sistema attuale si confronta con MailSniper? Dai un'occhiata al nostro confronto con le principali soluzioni.
Gli attacchi supply chain via email non sono una minaccia futura. Stanno succedendo adesso, in Italia, a aziende di ogni dimensione. La buona notizia e' che puoi proteggerti. Ma devi agire.
Tre azioni immediate:
Il tuo fornitore di fiducia potrebbe essere gia' compromesso in questo momento. La domanda non e' se riceverai un'email da un account violato. La domanda e' se sarai pronto quando succedera'.
Redazione MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoAlle 3:47 di una notte qualsiasi, un analista scopre i dati di AstraZeneca su un forum underground. Dietro c'è TeamPCP, con una tattica rara: il doppio ransomware. Ecco come funziona l'attacco alla supply chain che ha messo in ginocchio due colossi
LeggiQuarantotto ore senza nuovi host compromessi. Per la campagna TeamPCP non è un segnale positivo: significa che il gruppo ha smesso di espandersi e ha iniziato a raccogliere. Analisi della fase di monetizzazione, TTPs e raccomandazioni operative per i team di sicurezza.
LeggiUn add-in malevolo per Microsoft Outlook ha sottratto oltre 4.000 credenziali aziendali. Analizziamo come funziona questo nuovo vettore di attacco, perché sfugge ai controlli tradizionali e quali contromisure adottare per proteggere la tua organizzazione.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.