Impersonificazione: Impersonation (T1684.001)
La tecnica T1684.001 — Impersonation descrive l'attività di un avversario che si finge una persona o un'organizzazione fidata per convincere la vittima a compiere azioni utili all'attaccante. Il vettore più comune è la posta elettronica, ma la casistica si è ampliata a chiamate vocali, messaggistica aziendale (Microsoft Teams, Slack), piattaforme di reclutamento come LinkedIn e persino a repository di codice sorgente.
MITRE colloca questa tecnica sotto la tattica TA0005 (Stealth): l'obiettivo dell'avversario non è sfruttare una vulnerabilità software, bensì mimetizzarsi in una comunicazione legittima, sfruttando la fiducia già stabilita fra mittente apparente e destinatario. Nella kill chain l'impersonificazione si posiziona a valle della raccolta di identità e informazioni organizzative e a monte di Initial Access, Credential Access o Financial Theft.
I numeri raccontano la centralità del vettore: 16 gruppi APT documentati, 2 famiglie di malware, 3 campagne di rilievo e sole 2 mitigazioni consigliate — segno che la difesa efficace è essenzialmente umana e procedurale, non tecnologica. L'impatto va dalla frode BEC con dirottamento di bonifici, al furto di credenziali privilegiate tramite chiamate al service desk, fino alla compromissione di supply chain software mediante commit spacciati per legittimi. La superficie di attacco coincide con la superficie sociale dell'organizzazione, il che rende la tecnica trasversale a tutti i settori verticali.
In un ingaggio di red team, la simulazione di T1684.001 richiede una pianificazione OSINT accurata e un'infrastruttura di consegna credibile. La prima fase consiste nel profilare l'organizzazione bersaglio: dirigenti, fornitori strategici, personale del service desk e figure HR sono i target di identità più efficaci per costruire il pretexting.
Per la raccolta di identità e organigrammi, strumenti come theHarvester (open source), Maltego CE (freemium) e SpiderFoot (open source) permettono di correlare email pattern, profili LinkedIn e leak pubblici. Un comando tipico per enumerare indirizzi email di un dominio è theHarvester -d target.tld -b bing,crtsh,duckduckgo -l 500. La verifica di indirizzi validi si appoggia a servizi come Hunter.io (freemium) o alla validazione SMTP diretta con l'utility swaks (open source): swaks --to victim@target.tld --from ceo@target-lookaIike.tld --server mx.target.tld --quit-after RCPT.
Per la registrazione di domini look-alike — pilastro delle campagne dei gruppi WIRTE e Star Blizzard — il tool dnstwist (open source) genera permutazioni typosquatting, omoglifi IDN e bitsquatting: dnstwist --registered --mxcheck target.tld. La superficie di consegna si costruisce con un server SMTP dedicato (Postfix con record SPF, DKIM e DMARC allineati sul dominio lookalike) e template di phishing gestiti da Gophish (open source) o Evilginx3 (open source) quando serve intercettare token MFA con reverse proxy.
Per scenari di vishing e social engineering al service desk — TTP osservata in LAPSUS$, Scattered Spider e Storm-1811 — la simulazione va concordata contrattualmente e registrata. Il framework SET (Social-Engineer Toolkit) (open source) fornisce moduli di pretexting, mentre per la clonazione vocale in esercizi red team autorizzati si possono usare motori TTS commerciali; l'operatore deve sempre disporre di uno script di rollback e di un canale di sicurezza con il committente.
La catena d'attacco realistica prevede: profilazione OSINT, acquisto e configurazione del dominio look-alike, warm-up della reputazione IP per due-tre settimane, invio dell'esca (payment request, invoice update, IT ticket), cattura credenziali o consegna payload. In laboratorio è fondamentale isolare l'infrastruttura di phishing in una VLAN dedicata e utilizzare mailbox honey per validare che i template non raggiungano destinatari fuori scope.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo