😱 Una mail da 37 milioni di dollari

Una singola email, poche righe di testo e un click. Tanto è bastato per sottrarre 37 milioni di dollari a uno dei colossi mondiali dell'automotive. Era il 14 agosto 2019 e per la Toyota stava per iniziare un incubo digitale fatto di inganni, documenti falsificati e bonifici milionari spariti nel nulla. Ad oggi resta il caso più emblematico di phishing, dove tecnologia e debolezza umana si intrecciano in un crimine quasi perfetto. Ricostruiamo passo dopo passo cosa è successo. Ben ritrovati nel mio canale. Oggi parleremo di quello che forse è il caso di phishing più eclatante che sia mai avvenuto. Se non sapete cos'è il phishing e come funziona, vi invito ad andare a vedere il video che ho pubblicato ieri. In modo che possiate capire ogni aspetto della vicenda di cui parliamo oggi, che ha dell'incredibile. Sì, perché con una sola email congegnata alla perfezione degli hacker sono riusciti a sottrarre nel 2019 oltre 37 milioni di dollari alla Toyota. Ma andiamo con ordine. Nel 2005 la società automobilistica giapponese Toyota Boschoku, all'epoca leader del settore, decide di aprire una nuova sede in Belgio. Questa sede non è pensata per la produzione di nuove auto, ha invece un ruolo di coordinamento di tutte le sedi in Europa e in Africa. La sede belga è l'unica struttura nei due continenti con funzioni amministrative centrali e in quanto tale gestisce transazioni finanziarie multimilionarie con i fornitori della società. Pensate che ben il 70% delle transazioni europee passa attraverso questa sede, che può addirittura autorizzare pagamenti superiori a 10 milioni di euro senza richiedere approvazioni aggiuntive alla casa madre giapponese. In pratica, è il bersaglio perfetto. È l'estate del 2019, fa caldo in Belgio e la sede della Toyota, visto che quell'anno Ferragosto cade di giovedì, decide eccezionalmente di allungare il weekend e tenere chiuso anche venerdì 16 agosto. Mercoledì 14, quindi, i dipendenti cercano di chiudere le ultime pratiche per potersi godere poi il meritato ponte. Uno di loro riceve una mail. È una fattura da parte di un fornitore regolare della Toyota che chiede il pagamento di 4 miliardi di yen, corrispondenti a poco più di 37 milioni di dollari. La fattura contiene i regolari riferimenti ai contratti in essere tra la Toyota e il fornitore, ma ha una caratteristica un po' strana: l'IBAN indicato per il pagamento è diverso da quello solitamente usato da quel fornitore. La mail però, per il resto, è apparentemente pienamente legittima, anche se forse l'insistenza e l'urgenza del fornitore nel richiedere il pagamento possono far suonare qualche campanello di allarme. Ma d'altronde ci sta, è quasi Ferragosto, vogliono tutti staccare per qualche giorno. Probabilmente l'urgenza è dovuta a questo. Il dipendente non ci pensa due volte, accetta la fattura e autorizza il bonifico di 37 milioni di dollari. La sera torna a casa tranquillo e il giorno dopo festeggia Ferragosto come se niente fosse. Solo dopo 48 ore dall'esecuzione del bonifico la filiale si accorge dell'anomalia e a quel punto è troppo tardi. Il denaro è stato già trasferito su conti offshore e convertito in criptovalute dagli hacker. Ma come hanno fatto i criminali a congegnare un crimine così perfetto? Vi avverto, nonostante la gravità di questo crimine, trovare informazioni dettagliate sul caso è stato quasi impossibile. E questo per un motivo che in realtà è abbastanza ovvio: le aziende non amano dire in giro di essere state vittime di un attacco hacker, perché ogni volta che si verifica significa sempre che c'è stata una qualche mancanza da parte dell'azienda. Può trattarsi di una formazione non adeguata ai dipendenti sui rischi cyber, di un'assenza di procedure specifiche che avrebbero potuto e dovuto essere implementate, di un mancato aggiornamento, se vogliamo, dei sistemi. Insomma, diciamo che con il senno di poi si tratta quasi sempre di qualcosa di evitabilissimo. In questo caso il punto su cui ancora oggi non è stata fatta piena chiarezza è: come hanno fatto gli hacker a raggiungere una conoscenza così precisa del funzionamento della filiale? Tale da riuscire con una singola email a sottrarre in un colpo solo 37 milioni di dollari alla Toyota. Secondo i rapporti di sicurezza eseguiti successivamente, in realtà già qualche mese prima dell'attacco, precisamente a marzo 2019, Toyota aveva subito un hackeraggio che aveva comportato il furto dei dati di circa 3 milioni di persone tra fornitori, clienti e dipendenti. Questo attacco non si ritiene però che sia stato compiuto dalle stesse persone che poi hanno rubato tutti quei soldi. Presumibilmente però è stato proprio tramite questo primo furto di dati che i criminali hanno ottenuto poi le informazioni necessarie sul funzionamento interno della filiale europea, inclusi i nomi dei dirigenti, i processi di approvazione dei pagamenti e i fornitori strategici. Dovete sapere che esiste nel dark web un vero e proprio commercio di dati rubati. Come funziona? Un hacker malevolo, o più correttamente cracker, Si infila nei sistemi di un'azienda e fa una copia di tutti i dati su cui riesce a mettere le mani, poi esce dal sistema come se niente fosse. Molto spesso l'azienda non se ne accorge nemmeno. A quel punto prende il pacchetto di dati che ha rubato e li mette in vendita sul dark web, come se fosse un qualsiasi prodotto digitale. Altri cracker possono acquistare il pacchetto e mettere le mani su informazioni che sono molto utili per compiere attacchi di ingegneria sociale. Cosa sono gli attacchi di ingegneria sociale? Sono attacchi in cui l'hacker non sfrutta tanto le proprie competenze tecnologiche quanto le proprie capacità di manipolazione delle persone. In pratica raccoglie tutte le informazioni che può su una persona o su un'azienda, poi impersonifica qualcun altro, crea un pretesto valido per contattare la sua vittima e la inganna. Nei migliori attacchi di ingegneria sociale la vittima non si accorge nemmeno di essere stata truffata. Perché dico che questo è un caso di ingegneria sociale? Se ci pensate, l'hacker che ha sottratto i soldi ha fatto unicamente due cose: 1) ha messo le mani sulle informazioni dell'azienda e le ha studiate in modo approfondito; 2) ha mandato una mail. Sono entrambe cose che chiunque di noi sarebbe in grado di fare. Anche entrare nel dark web è obiettivamente facile, anche se io personalmente ve lo sconsiglio. Le informazioni che ha utilizzato l'hacker riguardavano tantissimi micro aspetti della Toyota e della gestione dei pagamenti. È stato un attacco congegnato veramente alla perfezione. In primo luogo, il criminale ha individuato la filiale perfetta per eseguire l'attacco, ovvero l'unica al di fuori della casa madre in grado di autorizzare pagamenti multimilionari. Ha poi scoperto chi era il dipendente che si occupava dei pagamenti, quello incaricato proprio di ricevere le fatture, controllarle e poi autorizzare i bonifici. Ha individuato un fornitore strategico che fosse solito emettere fatture con importi molto alti, in modo che la richiesta non destasse sospetti. Ha messo le mani sui contratti in essere tra la Toyota e il fornitore, in modo da poter indicare nella fattura il numero di contratto che legittimava il pagamento; ha osservato le fatture emesse dal fornitore, in modo da poterne emettere una pressoché identica e in un giorno del mese in cui era possibile che venisse richiesto il pagamento. Insomma, aveva tutte le informazioni per impersonificare alla perfezione il fornitore. Non tutte le informazioni erano all'interno del pacchetto rubato a Marzo, Ad esempio, sappiamo da fonti interne all'azienda che i criminali sapevano cose che i dipendenti si erano detti solo tramite mail scambiate tra di loro, quindi sicuramente aveva accesso anche alle loro caselle di posta. Queste fonti hanno rivelato che tra marzo e agosto si sono verificati altri micro attacchi di phishing per sottrarre credenziali di accesso agli indirizzi mail. Toyota comunque ha fatto di tutto per scoprire chi si nascondesse dietro all'attacco e per tentare di recuperare fondi, ma praticamente invano. Ha collaborato anche con l'Europol per tracciare i flussi finanziari, con le autorità lituane dove erano registrati i conti fraudolenti e con gli exchange di criptovalute per individuare i portafogli blockchain dei criminali. Nonostante questi sforzi, sembra che la Toyota sia riuscita a recuperare solo un 15% più o meno di quanto rubato, ma non ci sono ulteriori informazioni in merito. So che di fronte a un attacco così perfetto sembra impossibile che l'azienda potesse fare qualcosa per evitarlo, ma non è così. Facendo un'analisi, diciamo, post mortem dell'attacco, ci rendiamo conto di due accorgimenti che la Toyota avrebbe potuto e dovuto implementare, come effettivamente ha fatto poi in seguito, per evitare il furto. Innanzitutto avrebbero dovuto implementare sistemi di autenticazione a più fattori per l'accesso agli indirizzi email. Il criminale aveva pieno accesso a tutte le caselle di posta pur essendo dotato solo di un indirizzo testo e della password. Con un sistema di autenticazione a più fattori, che sono quelli ad esempio con cui si manda una notifica sul cellulare del proprietario della casella per autorizzare l'accesso, l'hacker non sarebbe riuscito a entrare. Inoltre dopo l'attacco di marzo avrebbero dovuto cambiare tutte le credenziali di accesso, anche se in realtà questo non lo conto come accorgimento perché non è chiaro quando l'azienda abbia effettivamente preso conoscenza di questo furto di dati. Ma la cosa in assoluto più banale era fare un controllo incrociato con il fornitore al momento della richiesta di pagamento. Se un fornitore con cui l'azienda si interfaccia spesso cambia improvvisamente l'IBAN, deve esserci una policy che prevede che il dipendente, prima di autorizzare il pagamento, quantomeno chiami il fornitore per chiedere conferma delle nuove coordinate bancarie. In questo caso un altro fattore importantissimo per la riuscita dell'attacco è stato il tempo. Non è un caso che la mail, che probabilmente era pronta da settimane, sia stata inviata proprio in piena estate e il giorno prima di Ferragosto, quando i dipendenti sono più stanchi, hanno una soglia dell'attenzione più bassa e pensano solo alla grigliata del giorno dopo. PS: se ve lo state chiedendo, sì, anche in Belgio festeggiano il Ferragosto. Se in questo contesto arriva una mail a un dipendente, mail che apparentemente pienamente legittima, che insiste per un pagamento rapido, magari proprio perché i giorni seguenti la filiale sarebbe stata chiusa, è normale che il il cliente chiuda un occhio davanti agli aspetti strani della mail e autorizzi velocemente il pagamento. Comunque la Toyota ha imparato subito la lezione. Entro 6 mesi dall'attacco l'azienda ha implementato nuove misure di sicurezza come ad esempio la conferma telefonica per qualsiasi modifica alle coordinate bancarie, l'autenticazione a più fattori su tutti gli account aziendali e soprattutto una formazione anti-phishing con simulazioni per i dipendenti. Questo perché anche se l'azienda si dota di strumenti di sicurezza avanzati, il fattore umano rimane sempre l'anello debole. Come dimostrato dall'attacco, non esiste un sistema automatico che possa sostituire innanzitutto la necessità che i dipendenti adottino una mentalità di sospetto nei confronti di ogni richiesta anomala, e in secondo luogo la formazione continua per far fronte a minacce che diventano sempre più sofisticate. Bene, se questa storia ti è piaciuta, lascia un like e iscriviti al canale. Ci vediamo la prossima settimana con nuovi video.