Tecniche spammer: come sfruttano la posta elettronica?

Estimated reading time: 9 minuti

Lo spam sembra arrivare ad ogni singolo account di posta elettronica che usiamo, non importa quanto siamo attenti o quale sia il provider dell’indirizzo. Come fanno gli spammer ad avere tutti i nostri indirizzi e-mail? Possiamo fare qualcosa per nascondere il nostro indirizzo e-mail alle più comuni tecniche spammer?

Sfortunatamente, non c’è molto che tu possa fare per evitare che gli spammer ti bombardino di email. Ci sono alcuni consigli che ti aiuteranno a proteggerti, ma gli spammer probabilmente troveranno il tuo indirizzo e-mail comunque.

Il problema non è tanto il messaggio di pubblicità indesiderato, quanto piuttosto cosa comporta il fatto che tu abbia ricevuto un messaggio. Come hai reagito? Lo hai cancellato? Hai cliccato su qualche link? Lo hai flaggato come spam? Ogni azione potrebbe portare informazioni utili agli attaccanti senza che tu te ne accorga.

Vediamoci più chiaro e partiamo da una domanda: dove gli spammer trovano le nostre e-mail?

Tecniche spammer per il recupero degli indirizzi e-mail

Nessuno fornisce la propria e-mail a un sito web e si aspetta che finisca nelle mani di un truffatore. Eppure non è raro che qualcuno trovi la propria casella di posta piena di email di spam non richieste.

Database rubati

La più semplice tra le tecniche usate dagli spammer per raccogliere grandi liste di indirizzi e-mail attivi è attraverso database di account trafugati. Questi furti di password accadono con spaventosa regolarità. Compagnie come Adobe, LinkedIn, eHarmony, Gawker, Last.fm, Yahoo!, Snapchat e Sony sono state tutte compromesse negli ultimi anni.

I database trapelati sono normalmente considerati una minaccia alla sicurezza perché spesso mostrano nomi di account e password. Tuttavia, generalmente mostrano anche gli indirizzi e-mail. Gli spammer possono scaricare questi database trapelati e aggiungere i milioni di indirizzi e-mail alle loro liste. Gli spammer sanno che la maggior parte di questi indirizzi e-mail dovrebbe essere attiva, quindi questi database sono eccellenti per loro.

Questo è probabilmente il modo in cui la maggior parte degli spammer sta trovando indirizzi e-mail per inviare spam. Non c’è davvero molto che tu possa fare per proteggerti da uno spammer che ottiene il tuo indirizzo in questo modo.

Un sito come Have I been pwned? può dirti se le informazioni del tuo account potrebbero essere state diffuse.

Puoi proteggerti dal furto di password utilizzandone di diverse, purtroppo però, devi utilizzare sempre lo stesso indirizzo email ovunque, sarebbe impensabile avere un indirizzo per ogni servizio usato.

Link nei messaggi di posta

Se ricevi email di spam, dovresti evitare di cliccare sui link nell’email. Se trovi un link “Unsubscribe” in un’e-mail da un’azienda legittima, è probabilmente sicuro cliccarlo. Un’azienda reale non vuole spammare e potenzialmente incorrere nelle leggi anti-spam, quindi ti rimuoverà semplicemente dalla sua lista.

Tuttavia, se vedi un link “Unsubscribe” (o, peggio ancora, un link “Buy Now!”) in un’e-mail che sembra molto poco professionale e truffaldina, lo spammer non ti rimuoverà necessariamente dalle sue liste.

Qui le cose si fanno più complesse. Noteranno il tuo clic e i loro sistemi identificheranno il tuo indirizzo email come attivo. Sanno che sei lì, e potresti vedere quantità maggiori di spam dopo aver cliccato il link.

Lo stesso vale per il caricamento delle immagini nelle e-mail di spam. Non cliccare sul pulsante “Carica immagini”, o gli spammer sapranno che hai aperto l’e-mail. Anche se non vedi un’immagine nel messaggio, potrebbe esserci un piccolo pixel di tracciamento che permette allo spammer di identificarti se carichi la risorsa.

Questo è il motivo per cui la maggior parte dei client di posta elettronica non carica automaticamente le immagini.

E-mail scraping, cercare e-mail in chiaro nella rete

Un’altra tecnica spammer per recuperare indirizzi dalla rete, è quella di raschiarle (scraping) dai dati in chiaro in rete. Ci sono in giro dei software che leggono i file in rete e trovano quelli che contengono e-mail e se le salvano. Un po’ come fanno i crawler di Google quando scansionano un sito, ma con intenti malevoli.

Ti sarà capitato di leggere un commento in cui qualcuno lascia il proprio indirizzo per essere contattato. Il bot che scansiona la rete salverà indirizzi simili.

Lo spammer aggiunge questo indirizzo alle sue liste di spam et voilà, lo spam è servito. Questo è il motivo per cui eBay fornisce un indirizzo email temporaneo dove puoi essere raggiunto piuttosto che includere il tuo vero indirizzo email. Questa tecnica è probabilmente meno comune ora che gli spammer hanno dei database di account trapelati enormi con cui lavorare.

Gli spammer possono anche cercare di acquisire indirizzi email validi curiosando in altri posti che sono pubblicamente disponibili, come i record whois per un dominio. Questi record mostrano un indirizzo email associato alla persona o all’organizzazione che ha registrato il nome del dominio.

Acquisto di indirizzi e-mail

Un’altra tecnica spammer, decisamente per hacker pigri, è quella di acquistare indirizzi da banche dati che li mettono a disposizione.

Persone senza scrupoli vendono liste di e-mail agli spammer per un basso prezzo. Questi indirizzi erano spesso distribuiti su CD in passato, e potrebbero esserlo ancora, ma i database di account trapelati hanno probabilmente eliminato un po’ di interesse per questo mercato.

Gli spammer possono anche semplicemente scambiarsi le loro liste di indirizzi tra loro, assicurandosi che altri malintenzionati mettano le mani sul tuo indirizzo, una volta che accade la prima volta.

Sia chiaro che questa tecnica non è del tutto illegale. Quando ci iscriviamo ad un servizio, spesso abbiamo la possibilità di fornire il nostro indirizzo e-mail a terzi per scopi pubblicitari. Alcuni utenti accettano senza rifletterci e senza verificare se sia un obbligo per sottoscrivere il servizio o no.

Mi è personalmente successo di venire contatto da una persona che, senza intento di spam, ma per fare numero, aveva acquistato il mio indirizzo da un’agenzia di rivendita di contatti, suddivisi per aree di interesse. Se fosse stato uno spammer, avrebbe potuto usare un servizio simile.

Come proteggere il proprio indirizzo

Gli spammer possono anche ottenere indirizzi e-mail in altri modi ma i metodi elencati qui sopra sono alcuni dei più comuni.

Non c’è molto che tu possa fare per evitare che il tuo indirizzo e-mail venga diffuso e riceva spam.

• – puoi evitare di mettere il tuo indirizzo e-mail sul web in forma di testo semplice
• – non cliccare mai su un link
• – non caricare un’immagine in una email sospetta.

Tuttavia, il tuo indirizzo finirà quasi sicuramente nell mani di uno spammer, ad un certo punto.

In realtà, non bisogna preoccuparsi tanto che l’indirizzo sia in circolazione, quanto piuttosto su come viene usato l’indirizzo, soprattutto se attivo.

Tecniche spammer di uso degli indirizzi

Una volta che un truffatore ottiene il tuo indirizzo e-mail, è molto probabile che lo userà per avvantaggiarsi in ogni modo possibile. Più è bravo, maggiori saranno i rischi.

Molti ti invieranno email di spam, con la speranza di raccogliere informazioni private come i numeri delle carte di credito. Cercheranno di ingannarti facendoti credere di aver vinto qualcosa, o che hanno un articolo vantaggioso in vendita. Gli hacker potrebbero anche usare la tua email per rubarti l’identità e mandare messaggi ai tuoi contatti. Ricordi le tecniche di Zombie Phishing?

Altri truffatori useranno le tue informazioni personali per cercare di accedere ai tuoi altri account. La maggior parte delle persone riutilizza le stesse password per diversi account, il che significa che gli hacker che hanno accesso a un account possono facilmente infiltrarsi negli altri.

Questo è il motivo per cui usare password uguali in giro per il web è sconsigliatissimo e per niente sicuro.

Creare botnet

Uno dei motivi per cui non dovresti mai interagire attivamente con i messaggi di spam è che le interazioni mandano agli hacker un’importante informazione: l’indirizzo è attivo, qualcuno lo usa sul proprio dispositivo.

Un indirizzo attivo, una volta che viene individuato, è un bersaglio perfetto per attacchi più specifici di phishing, e poiché tutti gli indirizzi sono a rischio, anche quelli aziendali, dal phishing si può facilmente arrivare a un ransomware a doppia estorsione.

In quest’ultimo caso, la minaccia di un attacco DDoS potrebbe arrivare dalla già citata tecnica dello zombie phishing, e potrebbe tutto essere partito da qualche messaggio di spam.

I computer che praticamente invieranno le richieste al server per eseguire il DDoS attack potrebbero essi stessi essere parte di una botnet creata a seguito di tecniche usate dagli spammer.

Fenomenologia di un attacco

Come prima tecnica spammer, vengono recuperati degli indirizzi aziendali. Questo può avvenire tramite scraping o acquisto di database nel dark web. Successivamente, per verificare quali indirizzi siano attivi, vengono inviate un paio di campagne di spam. Niente di dannoso, delle finte newsletter con un evidente messaggio Unsubscribe, oppure un pixel di tracciamento.

Nota: un pixel di tracciamento è solitamente un’immagine trasparente molto piccola che viene caricata da un server remoto. Basterà verificare quante volte è stata scaricata e da chi per capire quali indirizzi siano attivi e quali no.

Come risultato, il database di contatti si sarà ridotto a una lista di indirizzi attivi, in cui gli utenti sono stati abbastanza disattenti da cliccare su un link da una mail sospetta.

Infine, a questi indirizzi selezionati, viene inviato un vero e proprio messaggio di phishing contenente un malware oppure una richiesta di intervento su una pagina web apparentemente legittima. Per esempio, la richiesta di reset delle proprie credenziali tramite il link allegato.

L’ignaro utente, pensando di stare facendo una cosa sicura, segue il link, inserisce le credenziali regalandole di fatto allo spammer. A questo punto l’attaccante ha ottenuto accesso a un account. Da quel momento i rischi sono molti di più e molto più dannosi.

Come difendersi dalle tecniche spammer

Facciamo qualche passo indietro. Tutta la catena di eventi che ha portato l’hacker ad ottenere l’accesso ad un account importante è passato attraverso lo spam e messaggi di phishing.

Ethical Phishing

In alcuni dei passaggi, l’attacco si sarebbe potuto evitare. L’abilità di riconoscere un messaggio sospetto e quindi ignorarlo, è la prima arma a disposizione di un utente. SOD può aiutare la vostra azienda in questo.

Tramite un servizio di ethical phishing, testiamo prima di tutto la resilienza degli utenti. Una volta individuati gli eventuali punti deboli, viene costruito un percorso formativo ad hoc per fornire gli adeguati strumenti di difesa proattiva a tutti i dipendenti.

SOC as a Service

Non sempre essere utenti consapevoli è sufficiente, e un errore di distrazione potrebbe costare moltissimo ad un’azienda che tratta dati sensibili. Per questo, possiamo mettere in campo anche un servizio SOCaaS per la mitigazione del rischio e del danno in seguito ad un attacco.

In questo scenario, un sistema formato da SIEM di nuova generazione e protocolli UEBA implementati da una intelligenza artificiale, monitorano la rete in cerca di ogni anomalia. Ogni comportamento sospetto è individuato e analizzato da tecnici per verificare se possa diventare effettivamente una minaccia oppure no.

Se vuoi avere maggiori informazioni in merito a come SOD può aiutarti ad alzare il livello di sicurezza informatica della tua azienda, non esitare a contattarci.

Useful links: