Principalele concluzii
- Organizațiile care gestionează infrastructuri critice nu sunt ținte alese la întâmplare. Acestea sunt selectate în mod deliberat, întrucât e-mailul este aproape sinonim cu continuitatea activității. Campaniile îndreptate împotriva lor sunt operațiuni pe termen lung, în care sunt implicați mai mulți actori, și care încep adesea prin e-mail.
- Atacatorii își testează încărcăturile malicioase împotriva sistemelor de securitate ale companiilor înainte de a le lansa. Faptul că un fișier rău intenționat trece de scanerul dvs. nu înseamnă neapărat că fișierul este inofensiv; este posibil ca acesta să fi fost conceput special pentru a trece de scanerul dvs.
- Securitatea bazată pe detectare prezintă o vulnerabilitate structurală în fața unui adversar bine pregătit: nu poate reacționa la ceea ce nu a întâlnit până atunci.
- Apărarea stratificată împotriva e-mailurilor reprezintă soluția structurală. Fiecare strat detectează ceea ce celelalte nu sunt concepute să detecteze. Efectul combinat este simplu: crește costul optimizării prealabile implementării pentru atacator.
Nu este un atac prin e-mail, ci o campanie
Niciun specialist în securitate nu decide să trateze amenințările ca pe niște evenimente izolate. Acest lucru se întâmplă treptat. Ratele de detectare rămân stabile, incidentele sunt rezolvate la timp, iar auditurile se încheie fără constatări semnificative. Fiecare element de date este, luat separat, rezonabil, iar împreună ele alcătuiesc o imagine care este pe deplin exactă, dar periculos de incompletă.
Această acumulare de încredere reprezintă, în sine, o vulnerabilitate. Iar în cazul organizațiilor care gestionează infrastructuri critice, aceasta este o vulnerabilitate pe care atacatorii o exploatează în mod deliberat, începând cu căsuța de e-mail, care rămâne și astăzi unul dintre principalii vectori ai riscurilor de securitate legate de e-mail.
Atunci când un grup susținut de stat vizează o rețea energetică, un spital sau un furnizor din domeniul apărării, poate fi vorba de o campanie care se întinde pe mai mulți ani. Acestea implică adesea sute de iterații, încercări de sondare și atacuri-momeală menite să cartografieze sistemele de apărare înainte de sosirea adevăratului „payload”. Obiectivul lor este perturbarea susținută, expunerea repetată și afectarea maximă a reputației pe termen lung. Calculul răscumpărării a avut loc înainte ca aceștia să trimită primul e-mail, iar ceea ce este și mai grav este faptul că atacatorii știu deja că ținta lor nu își poate permite perioade de nefuncționare.
Actorii rău intenționați au motivații diferite și profiluri de atac diferite, dar au un lucru în comun: alegerea țintelor. Organizațiile care gestionează infrastructuri critice nu sunt alese la întâmplare, ci sunt selectate, iar campaniile îndreptate împotriva lor sunt procese pe termen lung care încep aproape întotdeauna cu un e-mail.
Prima etapă constă într-un atașament infectat, un link rău intenționat sau o încercare de phishing prin care se vizează datele de autentificare, atent documentată și personalizată, adresată unui inginer, unui operator sau unui director. Iar motivul pentru care e-mailul rămâne punctul de intrare preferat nu ține de sofisticarea tehnică, ci de simplitatea matematică. Organizațiile nu pot bloca sau restricționa acest canal fără a perturba operațiunile.
Un angajat, o zi proastă, un fișier deschis. Aceasta este singura condiție necesară pentru succes. O campanie care ajunge simultan în mii de căsuțe de e-mail are nevoie doar de un singur moment de slăbiciune pentru a reuși, iar cel care se apără trebuie să le prevină pe toate.
Modelul acestei campanii este deja vizibil în cadrul infrastructurii critice din SUA. Un comunicat comun emis de CISA, NSA și FBI a confirmat că actorii din cadrul operațiunii „Volt Typhoon” s-au infiltrat în anumite rețele IT timp de cel puțin cinci ani , pentru a se pregăti în vederea unor potențiale atacuri perturbatoare sau distructive împotriva tehnologiei operaționale.
Niciunul dintre acești actori nu își va schimba strategia doar pentru că o țintă și-a remediat vulnerabilitățile mai repede sau a angajat mai mulți analiști. Atacurile reprezintă o manevră tactică, care, de cele mai multe ori, face parte dintr-o strategie mai amplă.
Atitudinea care decurge din aceasta nu este opțională. Organizațiile care gestionează infrastructuri critice ar trebui să își desfășoare activitatea pornind de la premisa constantă că va avea loc o breșă de securitate și să își construiască sistemele în consecință: sisteme de apărare stratificate la fiecare punct de intrare și o capacitate de reacție suficient de rapidă încât izolarea să înceapă înainte ca pagubele să se agraveze.
Atacatorii își testează încărcăturile înainte de a le lansa
Această practică este larg răspândită și documentată. Fie că este vorba de grupuri finanțate de stat, de operatori de ransomware sau de organizații criminale sofisticate, încărcăturile malicioase trec printr-un proces de pregătire înainte de a fi trimise. Atacatorii creează replici ale sistemelor de securitate ale întreprinderilor, repetă procesul până când fișierul obține un scor de detectare „curat” și abia apoi îl transmit.
În 2025, o operațiune internațională coordonată a dus la desființarea AVCheck, unul dintre cele mai mari servicii de contracarare a programelor antivirus din lume, care le permitea dezvoltatorilor de programe malware să testeze dacă fișierele lor vor fi detectate înainte de distribuire. Serviciul exista deoarece cererea pentru testarea evitării detectării înainte de distribuire era suficient de mare pentru a susține o operațiune comercială construită în jurul acesteia.
Securitatea bazată pe detectare prezintă o vulnerabilitate structurală în fața unui adversar bine pregătit. Aceasta este concepută pentru a recunoaște amenințările cu care s-a confruntat anterior sau care seamănă foarte mult cu ceva din istoricul său. O sarcină utilă concepută special pentru a nu se încadra în niciuna dintre aceste categorii trece neobservată, deoarece nu oferă stratului de detectare niciun motiv să acționeze.
Această optimizare nu are loc o singură dată. De-a lungul anilor de iterații și a sutelor de încercări de sondare, fiecare carantină și fiecare blocare constituie un feedback pe care atacatorul îl folosește pentru a-și perfecționa următoarea încercare. Campania învață din măsurile voastre de apărare într-un mod în care acestea nu pot riposta automat. Aceasta este o consecință logică a abordării bazate pe detectare în primul rând împotriva unui atacator care s-a pregătit în mod specific pentru sistemul vostru de detectare.
Ce înseamnă acest lucru pentru modul în care vă construiți liniile de apărare în materie de securitate a e-mailurilor
Atacatorul care încearcă să construiască o replică a stivei dvs. de securitate pentru a-și testa în prealabil încărcătura nu poate reproduce cu ușurință combinația exactă și ordinea mai multor straturi independente. Aceasta este logica strategică care stă la baza apărării stratificate împotriva e-mailurilor: este mai mult decât o acoperire suplimentară; este un răspuns structural care majorează costul procesului de optimizare premergător implementării, de care depinde atacatorul.
Această logică se aplică deoarece fiecare strat funcționează pe baza unui principiu diferit și detectează ceea ce celelalte nu sunt concepute să perceapă.
- Sistemul de securitate Multiscanning sporește acoperirea prin scanarea simultană a atașamentelor cu ajutorul mai multor motoare independente, ceea ce face ca optimizarea conținutului în funcție de un singur motor să fie insuficientă.
- Tehnologia „Content Disarm and Reconstruction” (CDR) elimină conținutul activ din fiecare fișier, indiferent dacă acesta a mai fost văzut sau nu, ceea ce înseamnă că o încărcătură concepută pentru a evita detectarea prin semnături este totuși lipsită de componentele sale active.
- Tehnica „sandboxing” dezvăluie comportamentul în timpul execuției, detectând încărcăturile concepute special pentru a amâna comportamentul rău intenționat până după livrare.
- Analiza URL-ului în momentul clicului elimină decalajul dintre livrare și utilizarea în scopuri maligne.
- Prevenirea pierderii datelor (DLP) în cazul e-mailurilor trimise și al celor interne acoperă lacuna de vizibilitate pe care măsurile de control aplicate exclusiv e-mailurilor primite o lasă complet neacoperită.
Nicio componentă individuală nu acoperă totul. Ceea ce face această combinație este să îngreuneze din punct de vedere structural testarea preliminară a stivei tale cu fiecare strat adăugat.
O amenințare detectată ar putea indica doar faptul că atacatorul se află încă în faza de calibrare. Tratați-o mai degrabă ca pe un semnal decât ca pe un indiciu că sistemele voastre de apărare rezistă. A acționa pornind de la această ipoteză reprezintă pur și simplu un răspuns rațional la faptul că sunteți vizați de mai multe tipuri de actori care desfășoară campanii pe termen lung.
O protecție pe mai multe niveluri la nivelul poștei electronice, măsuri rapide care limitează pagubele înainte ca acestea să se extindă în lanț și o abordare orientată spre îmbunătățirea continuă, care tratează fiecare incident ca pe o sursă de informații despre campanie, mai degrabă decât ca pe un caz închis: aceasta este esența unei protecții eficiente pentru organizațiile care gestionează infrastructuri critice.
Acum imaginați-vă această activitate de atac la scară industrială. Imaginați-vă că un atacator care înainte petrecea săptămâni întregi optimizând o sarcină utilă pentru o singură țintă specifică poate acum să facă acest lucru pentru mii de ținte simultan, în doar câteva ore. Raportul Microsoft Digital Defense din 2025 a citat un studiu independent care a constatat că phishingul bazat pe IA a atins o rată de clic de 54%, comparativ cu 12% în cazul campaniilor tradiționale, fiind astfel de 4,5 ori mai eficient. Iată ce a făcut deja posibilă IA, iar acest subiect va fi abordat în următorul articol din această serie.
Acest blog reprezintă prima parte a seriei „Made to Evade”.
Părțile 2 și 3 vor fi disponibile în curând.
