Truffa email aziendali: allarme Polizia Postale sul man-in-the-middle

Quando la Polizia Postale dirama un avviso relativo a una truffa informatica in atto significa che il numero dei raggiri è in forte crescita. Lo ha appena fatto con un messaggio relativo alla tecnica man-in-the-middle utilizzata dai criminali per cercare di allungare le mani sulle email aziendali. In particolare, i malintenzionati agiscono per intrufolarsi clandestinamente nelle comunicazioni tra clienti e fornitori. Vediamo come fanno, perché e in che modo proteggersi.

Attacchi man-in-the-middle alle email aziendali

La finalità è spesso quella di alterare la posta elettronica scambiata, soprattutto le email che contengono richieste di pagamento. Chi organizza la frode vuole sostituire l’IBAN legittimo con uno controllato da lui, così che poi il denaro finisca sul suo conto. La frode colpisce così sia il cliente che paga sia il fornitore che ha erogato il servizio o consegnato il materiale.

Ecco qual è il modus operandi adottato in questa particolare tipologia di truffa. Gli step sono quelli descritti dalla Polizia Postale.

• Il responsabile dell’attacco intercetta la corrispondenza tra azienda e fornitore;
• crea e invia messaggi quasi identici a quelli originali, spesso copiando grafiche, firme e toni di scrittura:
• inserisce all’interno della email un IBAN modificato, chiedendo il pagamento urgente o giustificandolo con motivazioni credibili (problemi amministrativi, aggiornamento contabile, cambio banca);
• le aziende maggiormente coinvolte sono quelle che effettuano transazioni regolari con fornitori italiani o esteri.

Inviare pagamenti ai fornitori è un’azione quotidiana in ambito professionale ed è proprio su questo che fanno affidamento i criminali. Se anche una sola vittima cade nel tranello, hanno già fatto cassa. I consigli utili per evitare di cadere nella trappola sono quelli che richiedono un po’ di attenzione e buon senso.

• Verificare sempre ogni richiesta di modifica dell’IBAN tramite un canale alternativo (telefonata a un numero già noto, PEC ufficiale, contatto verificato);
• controllare gli indirizzi email dei mittenti, spesso presentano piccole variazioni difficili da notare;
• implementare sistemi di protezione su caselle di posta e server aziendali (autenticazione a più fattori, filtri antispam avanzati);
• segnalare immediatamente eventuali tentativi sospetti al Commissariato di PS Online e al proprio istituto bancario.