Redazione MailSniper
Autore
Immagina questa situazione. Il reparto IT scopre che un account email aziendale e' stato compromesso. Scatta il protocollo: cambio password immediato, reset delle sessioni attive, verifica dei log di accesso. Tutto fatto in un'ora. Emergenza rientrata, giusto?
Sbagliato. Perche' l'attaccante, nei 20 minuti in cui aveva il controllo dell'account, ha fatto una cosa semplicissima ma devastante: ha creato una regola di inoltro automatico che copia silenziosamente ogni email in arrivo verso un indirizzo esterno.
Cambiare la password non disattiva le regole di inoltro. Il reset delle sessioni non le tocca. L'attaccante non ha piu' bisogno di accedere all'account — riceve una copia di tutto nella sua casella, in tempo reale, senza lasciare traccia.
Questo e' un email forwarding attack ed e' una delle tecniche piu' sottili e pericolose nel panorama della sicurezza email. E' strettamente legato all'account takeover e allo sfruttamento delle inbox rules.
L'attacco si sviluppa in tre fasi, e la prima e' quella che attira tutta l'attenzione — lasciando le altre due nell'ombra.
L'attaccante ottiene le credenziali dell'account. Puo' farlo con un'email di phishing classica, con il credential stuffing (provando password rubate da altri breach), o con tecniche piu' sofisticate come l'OAuth phishing. In molti casi, l'accesso avviene da un IP geograficamente plausibile — magari tramite una VPN nello stesso paese della vittima — rendendo il login meno sospetto.
Una volta dentro, l'attaccante non perde tempo. Non legge le email una per una. Non scarica gli allegati. Fa una cosa sola: apre le impostazioni dell'account e crea una regola di inoltro.
In Microsoft 365, basta andare in Impostazioni > Posta > Regole e creare una nuova regola: "Per tutti i messaggi ricevuti, inoltra come allegato a shadow-account@protonmail.com". Tempo necessario: 30 secondi.
In Gmail, stesso concetto: Impostazioni > Inoltro > Aggiungi indirizzo di inoltro. Ancora piu' veloce.
La regola puo' essere configurata per essere selettiva: solo email con determinati mittenti (il CEO, il direttore finanziario, i fornitori chiave), solo email con allegati, solo email con parole chiave come "fattura", "bonifico", "password", "contratto". Questo riduce il volume e rende l'inoltro meno visibile.
Ecco il punto chiave. Quando il team IT scopre la compromissione e cambia la password, l'attaccante perde l'accesso diretto. Ma la regola di inoltro resta attiva. Continua a funzionare con le credenziali dell'account stesso — non ha bisogno di autenticazione esterna.
L'attaccante riceve una copia di ogni email. Puo' leggere conversazioni riservate, intercettare fatture, scoprire piani strategici, raccogliere informazioni per lanciare attacchi BEC mirati contro l'azienda o i suoi partner.
E il proprietario dell'account non si accorge di nulla. Le email arrivano normalmente nella sua inbox. Non c'e' nessun ritardo, nessun messaggio mancante, nessun segnale visibile.
Questo e' il concetto che sfugge a molti team IT. Le regole di inoltro sono una funzionalita' nativa del server di posta. Non sono un malware. Non sono un accesso non autorizzato. Sono una configurazione legittima dell'account.
Quando cambi la password:
E' come cambiare la serratura di casa ma lasciare attivo il redirect della posta al vecchio inquilino. Le lettere continuano ad arrivare anche a lui.
La buona notizia e' che le regole di inoltro si possono trovare. La cattiva notizia e' che quasi nessuno le controlla.
Get-InboxRule -Mailbox utente@dominio.it | Where-Object {$_.ForwardTo -or $_.RedirectTo -or $_.ForwardAsAttachmentTo}L'inoltro diretto non e' l'unica tecnica. Gli attaccanti usano anche varianti piu' sofisticate.
Invece di inoltrare, la regola sposta le email in una cartella nascosta (come RSS Feeds o Subscription in Outlook). L'attaccante accede periodicamente e le legge, senza che l'inoltro verso l'esterno generi log sospetti.
L'attaccante si aggiunge come delegato dell'account. Puo' leggere le email senza generare forwarding. Meno visibile, ma richiede accesso piu' prolungato per la configurazione iniziale.
In ambienti Exchange, l'attaccante puo' creare un connettore SMTP che inoltra il traffico verso un server esterno. Questo opera a livello di infrastruttura e non compare nelle regole utente.
MailSniper, grazie alla tecnologia Libraesva, affronta il problema su piu' livelli.
Il primo livello e' impedire che l'account venga compromesso. Il filtro anti-phishing con 14+ livelli di analisi blocca le email di credential phishing prima che raggiungano l'utente. Se l'email non arriva, le credenziali non vengono rubate, e la regola non viene creata.
MailSniper monitora le modifiche alle regole di posta sugli account protetti. Se viene creata una nuova regola di inoltro verso un dominio esterno, l'amministratore riceve un alert immediato. Questo e' particolarmente importante perche' colma il gap tra la compromissione e la risposta.
Anche se una regola di inoltro viene creata, le email in uscita passano dal gateway MailSniper. Se il sistema rileva un pattern di inoltro anomalo — volume improvviso, destinazione sospetta, contenuto sensibile — puo' bloccare il flusso e notificare l'IT.
Se sospetti che un account sia stato compromesso, il cambio password e' solo il primo passo. Ecco la checklist completa.
Per approfondire le tecniche di account takeover e le inbox rules attack, consulta il nostro glossario.
L'email forwarding attack e' insidioso proprio perche' e' silenzioso. Non cripta i tuoi file. Non blocca il tuo account. Non chiede un riscatto. Semplicemente osserva. Legge. Raccoglie informazioni. E aspetta il momento giusto per colpire — magari con un attacco BEC perfettamente calibrato, basato su settimane di conversazioni intercettate.
La difesa parte dalla prevenzione (non farsi rubare le credenziali) e passa dal monitoraggio continuo (controllare regolarmente le regole di posta). Con un gateway come MailSniper, entrambi i fronti sono coperti.
Prossimi passi:
Redazione MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoIl fileless malware non lascia tracce su disco: vive in memoria, sfrutta PowerShell e macro VBA, e bypassa gli antivirus tradizionali. Ecco come arriva via email e come fermarlo.
LeggiGli attacchi watering hole via email colpiscono siti web di settore per poi inviare email mirate alle vittime. Ecco come funzionano e come MailSniper ti protegge.
LeggiIl clone phishing replica email legittime gia' ricevute, sostituendo link e allegati con payload malevoli. Ecco perche' e' cosi' efficace e come difendersi.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.