Il tipo di furto d’identità più grave è quello che le organizzazioni non si aspettano. Ecco cosa fare al riguardo.
L’imitazione del marchio che effettivamente costa denaro alle aziende raramente si presenta come un logo falso o un account social contraffatto. Assomiglia alla vostra infrastruttura, ma è stata creata da qualcun altro.
Quando un dominio viene registrato in modo identico al tuo, o vengono creati server di posta, certificati e pagine di accesso che imitano quelli reali, questi rimangono inattivi, in attesa di ingannare i tuoi clienti, i tuoi partner o i tuoi dipendenti. Quando questa infrastruttura contraffatta viene utilizzata per un attacco, di solito è già attiva da giorni o addirittura settimane.
I danni raramente si limitano a una singola email di phishing. Le infrastrutture contraffatte minano la fiducia su cui si fonda un marchio. Un cliente vittima di un portale fasullo non è in grado di distinguere tra “l’azienda reale” e “il dominio che si spaccia per essa”. Questo può essere particolarmente dannoso in settori ad alta fiducia come la finanza, la sanità, la pubblica amministrazione o le infrastrutture critiche. Un’impersonificazione convincente può portare a frodi, perdita di dati o violazioni della sicurezza iniziate con un fornitore che nessuno si è preoccupato di verificare.
“Silent Push trasforma la nostra visibilità sull’infrastruttura degli hacker in una protezione diretta per i marchi dei nostri clienti. Catturiamo gli impostori che li prendono di mira prima ancora che quei domini vengano utilizzati in modo improprio.”
Ken Bagnall, CEO e co-fondatore di Silent Push
L’imitazione vive in un punto cieco
Gli strumenti di sicurezza tradizionali monitorano il perimetro della tua rete. Non monitorano Internet alla ricerca di infrastrutture che si spacciano per te. Poiché le infrastrutture contraffatte risiedono presso il registrar e l’hosting di qualcun altro, non accedono ai tuoi log finché non è troppo tardi. Troppo spesso, i team di sicurezza vengono a conoscenza di un attacco tramite una segnalazione del cliente, e questo è il peggior metodo di rilevamento possibile perché significa che l’attacco è già stato lanciato.
È qui che i nostri Indicatori di Attacco Futuro® ( IOFA) cambiano le carte in tavola. Invece di aspettare una segnalazione di phishing per confermare un attacco, gli IOFA mettono in luce l’infrastruttura in fase di preparazione prima che venga utilizzata come arma. L’impersonificazione di marchi e infrastrutture è uno dei casi più lampanti in cui questa distinzione è fondamentale. Il dominio, il certificato e la pagina di accesso vengono configurati prima ancora che venga inviata la prima email di phishing. La domanda è: qualcuno li sta monitorando durante la fase preparatoria ?
Come Silent Push colma il divario
La nostra tecnologia di difesa informatica preventiva mappa già l’infrastruttura di Internet e il nostro motore di rilevamento di impersonificazione del marchio di nuova generazione estende questa visibilità alla vostra organizzazione. Registrate i domini, gli intervalli IP, gli ASN e i TLD di proprietà della vostra organizzazione e il motore monitorerà costantemente l’infrastruttura alla ricerca di tentativi di impersonificazione. Il rilevamento viene eseguito a intervalli programmati e notifica al vostro team di sicurezza non appena compaiono nuovi candidati, in modo che il monitoraggio sia continuo anziché un controllo periodico che nessuno ha il tempo di eseguire.
Trovare un sosia è solo il primo passo. Ogni candidato viene valutato in base al rischio e arricchito con il contesto che distingue una minaccia reale dal rumore di fondo: registrar, hosting, ASN e contenuto del titolo della pagina. Da lì, i candidati vengono raggruppati in base all’infrastruttura condivisa, il che rivela quando lo stesso attore della minaccia si cela dietro più domini contemporaneamente. Gli analisti possono basarsi su questa firma per individuare ulteriori tracce dello stesso attore prima che vengano utilizzate contro di lui.
Cosa significa questo per i CISO
L’usurpazione d’identità è un rischio di livello dirigenziale che si cela dietro una maschera tecnica. Un singolo dominio simile, ma convincente, può innescare frodi ai danni dei clienti, rischi normativi e un danno alla fiducia che perdura ben oltre l’incidente stesso. Abbiamo sviluppato il nostro motore di rilevamento dell’usurpazione d’identità per fornire ai Chief Information Security Officer (CISO) una visibilità continua e programmata su questo rischio, anziché costringerli a reagire d’impulso solo dopo la segnalazione di un cliente o di un partner. L’assegnazione di un punteggio di rischio consente al team di dare priorità alle minacce per il marchio, invece di dover inseguire ogni singolo dominio simile registrato che viene rilevato.
Cosa significa questo per gli analisti CTI
Il clustering è la funzionalità che permette ai cacciatori di minacce di sfruttare appieno il potenziale di questa tecnica. Invece di analizzare singolarmente i domini simili, gli analisti di Cyber Threat Intelligence (CTI) possono concentrarsi sulle firme dell’infrastruttura condivisa per mappare l’intera impronta di un attore malevolo in un’unica operazione. L’arricchimento dei dati relativi a registrar, hosting e titoli di pagina fornisce agli analisti il contesto necessario per distinguere un singolo utente malintenzionato da una campagna di impersonificazione coordinata e assegnare le priorità di conseguenza.
Una volta identificato un candidato, le prove non rimangono confinate nella piattaforma. I domini di interesse possono essere esportati direttamente affinché i responsabili della risposta agli incidenti (IR Leads) o un partner incaricato della rimozione possano intervenire, evitando così di dover ricostruire il caso da zero nel passaggio dalla fase di rilevamento a quella di rimozione.
Individuazione delle infrastrutture nella fase preparatoria
I difensori non possono proteggersi da un’usurpazione di identità che non riescono a individuare. Le organizzazioni che gestiscono efficacemente questo problema non aspettano una segnalazione di phishing. Monitorando le infrastrutture predisposte contro di loro, possono intervenire quando si tratta ancora solo di un dominio in fase di configurazione e non ancora di un attacco vero e proprio.
Sei pronto a scoprire cosa sta impersonando il tuo marchio in questo momento?
Avvia una conversazione con uno dei nostri esperti di piattaforma per scoprire come la difesa informatica preventiva può dare al tuo team più tempo per individuare le infrastrutture degli avversari, prima che venga lanciato un attacco contro la tua organizzazione.
Offriamo anche una Community Edition gratuita , in modo che i professionisti della sicurezza possano verificare come la nostra piattaforma si integra con il loro stack di sicurezza esistente.
FAQ
In che cosa si differenzia da uno strumento di monitoraggio del typosquatting?
- Gli strumenti di typosquatting in genere segnalano i domini simili al tuo e si fermano lì. Next-Gen Brand Impersonation va oltre, assegnando un punteggio di rischio a ciascun candidato, arricchendolo con informazioni sul registrar e sull’hosting e raggruppando i domini correlati in base all’autore della minaccia, in modo che il tuo team sappia quali richiedono un intervento.
Quali infrastrutture posso registrare per il monitoraggio?
- Domini, intervalli IP (blocchi CIDR), ASN e TLD di proprietà della tua organizzazione. Una volta registrato, il motore di rilevamento esegue una scansione continua alla ricerca di infrastrutture che impersonano uno qualsiasi di questi.
Possiamo usare questo per sostenere la necessità di un servizio di rimozione dei contenuti?
- Sì. Una volta confermato che un candidato rappresenta una minaccia reale, è possibile esportare direttamente le prove a supporto, indipendentemente dal fatto che la rimozione venga gestita dal vostro team o da un partner esterno.
