Quando l'attaccante usa la fiducia costruita nelle conversazioni.
Nel Business Email Compromise l'attaccante può osservare scambi con clienti e fornitori, creare regole nascoste, impersonificare un interlocutore e modificare istruzioni di pagamento. Il contenimento deve proteggere l'account senza perdere le tracce utili a ricostruire la frode.
Verifiche principali
- accessi, sessioni, indirizzi IP e geolocalizzazioni anomale;
- regole di posta, inoltri, deleghe e filtri creati;
- applicazioni OAuth e consensi sospetti;
- messaggi cancellati, modifiche alle conversazioni e domini imitativi;
- account correlati e possibili movimenti verso altre mailbox;
- timeline delle comunicazioni legate alla frode.
Contenimento
Le azioni possono includere revoca delle sessioni, rotazione delle credenziali, rimozione di regole e applicazioni, rafforzamento MFA e conditional access, blocco di domini e controllo delle mailbox più esposte. Le procedure finanziarie vengono riviste per introdurre conferme indipendenti dal canale compromesso.
Consegne
Il cliente riceve una timeline, gli indicatori disponibili, l'elenco delle attività eseguite e le raccomandazioni. Quando richiesto, le evidenze possono essere organizzate per supportare consulenti legali, assicuratori o autorità competenti, nel rispetto dell'incarico ricevuto.