Il typosquatting è una tecnica di social engineering che sfrutta gli errori di digitazione per ingannare gli utenti. Questa tecnica di phishing può essere monitorata grazie alle azioni preventive di un SOC.
Cos’è il typosquatting, la minaccia che sfrutta gli errori di lettura o battitura
Il typosquatting è una tecnica di social engineering che sfrutta la tendenza umana a fare piccoli errori di battitura o lettura degli URL dei siti web. In particolare, si tratta di una forma di cybersquatting, una pratica in cui individui o gruppi registrano domini che somigliano molto a quelli di aziende, marchi famosi o bersagli specifici da trarre in inganno.
La variante chiamata typosquatting si concentra specificamente sull’approfittare di errori tipografici comuni. I criminali registrano domini con errori tipografici deliberati, nella speranza che gli utenti commettano errori di digitazione o lettura quando navigano nel Web o ricevono link tramite e-mail, oppure, più in generale, quando accedono a un sito malevolo non accorgendosi del nome ingannevole.
Come avviene la truffa tramite typosquatting
Solitamente, il typosquatting sfrutta provider di registrazione dei domini e reti di distribuzione dei contenuti (CDN) come Cloudflare. Cloudflare, ad esempio, offre servizi che includono la gestione dei domini e la protezione tramite tecniche di reverse proxy, che nascondono l’IP originale del server dietro i propri Autonomous System Numbers (ASN).
L’utilizzo di servizi come Cloudflare rende difficile risalire a dove si trova realmente la pagina visitata. Di conseguenza, gli attaccanti possono mascherare l’attività malevola dietro infrastrutture legittime, nascondendo ulteriormente l’indirizzo IP del server originario.
Le aziende che forniscono tali servizi non monitorano in modo stringente i domini registrati, consentendo ai criminali di registrare nomi di dominio basati sul typosquatting. Alcuni esempi comuni sono:
- gooogle.it (“o” aggiuntiva);
- arnazon.it (“r” e “n” che imitano una “m”);
- Ienovo.it (la “L” è in realtà una “i” maiuscola);
- ad0be.com (zero al posto della “o”).
Una volta registrato il dominio, l’attore malevolo può configurare un sito web e instradare il traffico attraverso i server di Cloudflare, usando i suoi ASN per nascondere il server reale e proteggere la propria identità.
Typosquatting: dalla truffa all’attacco
Il typosquatting può evolvere in attacchi più sofisticati, che includono il furto di credenziali e il guadagno fraudolento. I criminali informatici utilizzano queste tecniche per eseguire phishing mirato, inviare malware o manipolare informazioni finanziarie.
Typosquatting in azienda: casi concreti
Truffe verso dipendenti
Gli attaccanti mirano a ingannare i dipendenti aziendali, sfruttando la fiducia che si instaura tra colleghi e fornitori. Usando indirizzi e-mail falsificati e domini molto simili a quelli reali, possono spingere i dipendenti a compiere azioni dannose per l’azienda.
- E-mail da colleghi: un attaccante può inviare un’e-mail che sembra provenire da un collega interno. Ad esempio, l’indirizzo mario.rossi@inpresa.it potrebbe facilmente essere scambiato per quello reale mario.rossi@impresa.it. La richiesta, solitamente urgente, potrebbe riguardare dati sensibili o un pagamento da effettuare con priorità. Il dipendente, fidandosi dell’apparente legittimità dell’e-mail, può eseguire le richieste senza notare la piccola differenza nel dominio.
- E-mail da fornitori: un’altra tecnica comune è l’invio di e-mail da parte di falsi fornitori. L’indirizzo può essere molto simile a quello reale, come @azienda.fornitrice.com invece di @aziendafornitrice.com, inducendo i dipendenti a cliccare su link che portano a siti clonati o a fornire informazioni di pagamento. Un semplice errore di battitura nel dominio è sufficiente per trarre in inganno anche i collaboratori più esperti.
- E-mail di notifica cambio password o account violato: un attaccante può inviare una falsa e-mail di notifica, simulando un messaggio di sicurezza aziendale che richiede un reset della password o avverte di un presunto accesso non autorizzato. L’e-mail può contenere un link a un sito web clonato, simile a quello dell’azienda o di un servizio legittimo, dove l’utente è invitato a inserire le proprie credenziali. Questo metodo consente agli attaccanti di ottenere l’accesso diretto agli account aziendali o personali, sfruttando la fiducia dell’utente verso la comunicazione apparentemente ufficiale.
Truffe verso clienti
I clienti, spesso abituati a interagire regolarmente con referenti aziendali, possono essere vittime di typosquatting senza accorgersene. Un attaccante può registrare domini molto simili per indurli a fornire credenziali o effettuare pagamenti fraudolenti.
- E-mail da referenti aziendali: un cliente potrebbe ricevere un’e-mail da un referente che conosce bene, con un indirizzo come mario.rossi@inpresa.it invece di mario.rossi@impresa.it. La somiglianza è tale che il cliente potrebbe non notare la differenza e cliccare su link per accedere a portali clonati, inserendo inconsapevolmente le sue credenziali o effettuando pagamenti su conti fraudolenti.
Truffe verso reparti interni
I reparti interni, come il reparto contabilità, sono bersagli frequenti di attacchi basati sul typosquatting. Gli attaccanti possono falsificare le comunicazioni con i partner commerciali, richiedendo modifiche a dati finanziari critici.
- E-mail da partner commerciali: un’e-mail apparentemente inviata da un partner commerciale potrebbe contenere un indirizzo ingannevole, come partner@pagamneti.it al posto di partner@pagamenti.it. La richiesta di aggiornare l’IBAN per un pagamento urgente potrebbe sembrare legittima, e il dipendente del reparto contabilità potrebbe eseguire il pagamento, senza rendersi conto che i fondi vengono trasferiti a un conto controllato dal criminale.
Business E-mail Compromise (BEC): la fase successiva dell’attacco
La seconda fase di un attacco di typosquatting può evolvere in un Business E-mail Compromise (BEC), una tecnica sofisticata in cui l’attaccante, dopo aver ottenuto accesso alle credenziali dell’account di posta elettronica della vittima, manipola attivamente le comunicazioni aziendali.
Utilizzando regole di inoltro automatico in servizi come Outlook, l’attaccante può dirottare le e-mail senza che l’utente se ne accorga. Questo consente di alterare dati sensibili come informazioni di fatture, richieste di pagamento o modifiche di IBAN, portando i destinatari a inviare fondi su conti fraudolenti. La manipolazione dei flussi di comunicazione permette all’attaccante di intercettare e sostituire messaggi legittimi con versioni falsificate, ampliando l’impatto dell’attacco.
Difendersi dal typosquatting con un SOC proattivo
Un Security Operations Center (SOC) proattivo, come quello di Cyberlys, gioca un ruolo cruciale nel rilevare e contrastare gli attacchi basati sul typosquatting. Attraverso una serie di fasi di ricerca e analisi, Cyberlys è in grado di individuare e bloccare i domini malevoli prima che possano danneggiare l’azienda. Vediamo nel dettaglio come avviene questa protezione.
Implementazione di policy e blocco
Una volta individuato un dominio sospetto, Cyberlys implementa delle policy di sicurezza che bloccano proattivamente il traffico verso questi domini. Una regola particolarmente efficace destinata al firewall è quella che blocca automaticamente i domini registrati da meno di 60 giorni, poiché i dati mostrano che la maggior parte dei domini malevoli viene utilizzata nei primi periodi di attività.
Tuttavia, questo approccio può comportare il rischio di bloccare anche domini legittimi, che possono essere sbloccati manualmente dopo una verifica e inseriti in una whitelist.
Ricerca con hunting dei domini
Il SOC di Cyberlys si affida a strumenti avanzati per monitorare costantemente la presenza di domini sospetti. Un passaggio fondamentale è l’uso del tool Domain Hunter, sviluppato da Cyberlys per identificare varianti di domini legittimi che potrebbero essere utilizzate per attacchi di typosquatting. L’algoritmo di Domain Hunter genera automaticamente varianti simili al dominio aziendale e le testa tramite script. L’applicazione esegue richieste DNS sui nomi generati e, se ottiene una risposta, i tecnici di Cyberlys eseguono un’analisi più approfondita.
Un’altra tecnica utilizzata è la ricerca tramite WhoIS, una piattaforma che fornisce informazioni dettagliate sul dominio in questione. Questo permette di ottenere dati come il nome del registrante, la data di registrazione e se il dominio è protetto da servizi come Cloudflare, che possono mascherare l’identità del vero proprietario. Questi dati sono fondamentali per determinare se un dominio è potenzialmente dannoso.
Generazione di varianti di domini tramite algoritmi
Cyberlys utilizza sofisticati algoritmi di ricerca che, mescolando parole e lettere, generano varianti di domini e simulano un vero e proprio attacco con tecnica typosquatting. Un algoritmo ottimizzato dovrebbe tenere conto e generare almeno le seguenti sotto-tecniche: bitsquatting, omission, tld-swap, insertion, replacement, subdomain e vowel-swap.
LEGGI ANCHE: Infostealer: mitigare il rischio grazie a un SOC proattivo
