Come il phishing aggira un secure email gateway
Un secure email gateway (SEG) è spesso la prima linea di difesa contro il phishing: filtra spam, malware e mittenti noti come dannosi prima che la posta raggiunga la casella. Ferma volumi enormi di attacchi a basso sforzo. Ma gli aggressori progettano appositamente per eluderlo, e capire quelle tecniche a livello concettuale è il modo in cui i difensori tengono affilato lo strato umano per ciò che passa.
Cosa controlla un SEG — e cosa non può
Un gateway valuta i messaggi al momento della consegna usando reputazione del mittente, risultati di autenticazione, firme del contenuto, sandbox degli allegati e analisi delle URL. La sua debolezza strutturale è semplice: ispeziona il messaggio una volta, per lo più dall'esterno e per lo più al momento della consegna. Tutto ciò che segue sfrutta uno di questi vincoli.
Mittenti fidati: account interni e compromessi
Il phishing più efficace spesso non arriva affatto dall'esterno.
- Invii da account compromessi. Quando un aggressore controlla una casella reale — ad esempio via furto di sessione AiTM — il suo phishing arriva da un mittente interno legittimo e autenticato. SPF, DKIM e DMARC passano tutti, perché la posta è davvero del vostro dominio.
- Compromissione di fornitori e catena di fornitura. L'account di un partner fidato, già in whitelist, è un punto di lancio ad alta reputazione.
Questi messaggi cavalcano relazioni che il SEG è configurato per considerare affidabili, ed è proprio per questo che vanno a segno.
Nascondere il payload agli scanner di contenuto
E-mail solo immagine
L'intero messaggio è un'unica immagine renderizzata senza testo scansionabile. I filtri per firme e parole chiave non trovano nulla da confrontare; l'essere umano vede una fattura o un avviso convincente con un numero di telefono o un codice QR su cui agire.
Phishing con codice QR (quishing)
Il link malevolo è codificato in un'immagine QR invece che in una URL cliccabile. Il gateway vede un'immagine, non un link, e la vittima lo scansiona con un telefono personale spesso del tutto fuori dal filtraggio web aziendale e dai controlli MFA.
HTML smuggling
L'e-mail o l'allegato porta markup dall'aspetto innocuo che assembla il vero payload nel browser, dopo la consegna — così il gateway ispeziona un file innocuo e lo lascia passare. La ricostruzione avviene sull'endpoint, oltre il punto d'ispezione della posta.
Battere la scansione al momento della consegna
Armamento ritardato delle URL
Un link viene scansionato alla consegna e giudicato pulito perché, in quel momento, punta a una pagina innocua. Ore dopo l'aggressore sostituisce la destinazione con il payload di phishing. Il SEG ha già emesso il verdetto ed è andato oltre.
09:00 link → pagina segnaposto innocua → verdetto SEG: pulito, consegnato
13:00 stesso link → pagina di phishing attiva → la vittima clicca
Pagine benigne all'inizio e camuffate
Persino al momento del clic, la pagina può servire contenuti innocui agli scanner automatici e la vera esca solo alle vittime mirate, usando geofencing, controlli del referer e barriere CAPTCHA per separare i due.
Un SEG prende una decisione puntuale su un messaggio che gli aggressori possono cambiare dopo che la decisione è presa. Quel divario temporale non è un difetto di alcun prodotto — è insito nel filtrare la posta alla consegna.
Perché lo strato umano conta ancora
Nulla di ciò significa che il SEG stia fallendo. Significa che un gateway è un filtro probabilistico in una catena, e il residuo — la posta progettata apposta per passarlo — è per definizione il più convincente. Quel residuo raggiunge una persona.
Un personale formato, scettico e che segnala è il controllo posizionato esattamente dove finiscono le garanzie del SEG:
- Coglie la posta dall'aspetto interno che si è autenticata senza problemi.
- Resiste al codice QR che il gateway non ha mai interpretato come link.
- Segnala il link ad armamento ritardato che era pulito alla consegna.
Ogni segnalazione è anche un segnale dal vivo su cui il vostro SOC può agire — per estrarre lo stesso messaggio da altre caselle e ridurre il tempo di permanenza della campagna. Sovrapponete questo alla MFA resistente al phishing, così che nemmeno un'esca di credenziali riuscita possa completare un login.
Come aiuta GottaPhish
Un secure email gateway ferma volumi enormi di attacchi, ma gli aggressori determinati progettano apposta per scivolarci oltre — e nessun filtro da solo coglie tutto ciò che raggiunge la casella. GottaPhish e il suo team di esperti misurano gli scenari esatti che sopravvivono a un SEG — invii da account compromessi e dall'aspetto interno, quishing, esche solo immagine e link ad armamento ritardato — tramite simulazioni autorizzate e pienamente verificate, così vedete quali dipendenti abboccano, quali segnalano e con quale rapidità. I nostri esperti vi aiutano a disegnare scenari realistici, distribuire le campagne e interpretare i cruscotti, trasformando ogni campagna in formazione mirata e segnali di rilevamento concreti per il vostro SOC. Questo rafforza lo strato umano proprio dove la tecnologia arriva al suo limite.