Account Email Malevoli: Email Accounts (T1585.002)
La creazione di account email dedicati rappresenta una delle attività preparatorie più silenziose e ricorrenti nell'arsenale degli attaccanti. Collocata nella tattica Resource Development (TA0042), questa tecnica descrive come gli avversari registrino caselle di posta presso provider gratuiti o servizi usa-e-getta per sostenere le fasi successive del ciclo d'attacco.
Un account email di nuova creazione diventa lo strumento pivotale per condurre Phishing for Information e Phishing veri e propri, ma serve anche a registrare domini, attivare periodi di prova di servizi cloud e acquisire infrastruttura con un livello di anonimato che scoraggia l'attribuzione. Spesso l'indirizzo viene arricchito con una persona credibile, costruita attraverso profili social coordinati, così da aumentare la probabilità di successo dell'ingegneria sociale.
L'impatto è significativo: i dati MITRE ATT&CK documentano 20 gruppi e 8 campagne che hanno adottato questa pratica, spaziando dallo spionaggio statale all'estorsione ransomware. Trattandosi di un'attività che si consuma interamente al di fuori del perimetro difensivo aziendale, non esistono controlli preventivi realmente efficaci: l'unica mitigazione documentata (M1056 Pre-compromise) agisce indirettamente riducendo la superficie d'attacco. La rilevazione, di conseguenza, si sposta sulle fasi in cui l'infrastruttura viene finalmente utilizzata contro il bersaglio, in particolare durante l'Initial Access e la consegna dei payload via email.
In un ingaggio red team, la simulazione di questa tecnica va condotta con procedure lab-safe, evitando di coinvolgere provider reali con contenuti realmente malevoli e mantenendo tutto entro il perimetro autorizzato dallo scope.
Il punto di partenza è la costruzione della persona. Prima di aprire una casella, l'operatore prepara un profilo coerente: nome, ruolo, organizzazione di copertura e presenza social minima. Per generare identità sintetiche coerenti si usano generatori di persona come Fake Name Generator (gratuito), mentre la coerenza fotografica può appoggiarsi a immagini generate artificialmente. La casella viene poi registrata presso provider che offrono anonimato o account temporanei, replicando i comportamenti osservati nelle campagne reali dove ricorrono servizi come Proton Mail o Gmail.
Sul fronte tecnico dell'invio, il laboratorio si costruisce con un mail server controllato. GoPhish (open source) resta lo standard per orchestrare campagne di phishing simulato: consente di definire sending profile SMTP, landing page e tracking dei click. La configurazione tipica prevede il collegamento a un relay autorizzato e la creazione di template che imitano comunicazioni legittime.
Per verificare l'igiene del dominio e la deliverability dell'account creato, sono utili controlli come:
- dig txt dominio-bersaglio.tld per leggere i record SPF pubblicati
- dig txt _dmarc.dominio-bersaglio.tld per la policy DMARC
- swaks --to target@lab.local --from persona@lab.local --server smtp.lab.local con Swaks (open source) per test SMTP manuali
Lo strumento swaks permette di validare autenticazione, TLS e comportamento del relay senza dover scrivere client custom.
La catena d'attacco simulata replica quanto documentato: l'account email nuovo viene usato per lo spearphishing, ma anche come recovery address per registrare domini di supporto e per attivare trial di servizi cloud che ospiteranno C2 o staging. Framework come Evilginx (open source) estendono lo scenario verso il furto di sessione autenticata, mentre l'infrastruttura OSINT per la costruzione della persona può poggiare su SpiderFoot (open source) e Recon-ng (open source), utili anche per verificare quanto la propria identità fittizia risulti coerente e non immediatamente smascherabile. L'obiettivo dell'esercizio non è la sofisticazione tecnica, ma misurare quanto una persona ben curata superi le difese umane.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.