Frau per correu electrònic: el correu es va interceptar a l'origen o a la destinació?
Anàlisi de la seguretat del correu d'una empresa (Office 365) després que un client pagués factures a un compte fals.
Context
Un client d'una empresa de distribució va rebre una factura correcta per correu i, dues hores després, altres correus amb les dades bancàries falsificades, i va pagar al compte fals. El client atribuïa el frau a una fallada de seguretat de l'empresa emissora.
Què se'm va demanar
Analitzar la seguretat de la plataforma de correu de l'empresa i determinar on s'havia produït la suplantació.
Com es va analitzar
- Revisió de la configuració del correu al núvol (Office 365 / Exchange Online): antivirus, antispam i protecció contra la suplantació.
- Comprovació dels registres SPF publicats al DNS.
- Anàlisi de les adreces IP i de la ubicació dels servidors que apareixien als correus.
- Anàlisi de la seqüència temporal dels missatges legítims i falsos.
Conclusió de l'informe
La plataforma de correu de l'empresa estava correctament protegida. Que el client rebés primer el correu legítim i després els falsificats indicava que la intercepció no es va produir a l'origen, sinó a la destinació. A més, el registre SPF només és eficaç si el servidor que rep el correu el comprova.
Què en podem aprendre
Les mesures antisuplantació (SPF, DKIM, DMARC) protegeixen de veritat quan totes dues parts les apliquen. La seqüència dels correus pot revelar on és la bretxa.
Servei relacionat: Peritatge d'incidents de ciberseguretat i frau informàtic
Cas anonimitzat. Les dades personals, les parts i les referències del procediment s'han omès o modificat per preservar-ne la confidencialitat.