SMTP Smuggling: così inviano e-mail illecite da indirizzi legittimi, bypassando i controlli di sicurezza

Condividi questo articolo

Sfruttando vulnerabilità nei server di posta elettronica, gli attaccanti possono inviare e-mail dannose con indirizzi falsi ma legittimi, impersonando qualsiasi utente e aggirando i protocolli di autenticazione e i sistemi di sicurezza come DMARC, SPF e DKIM. Ecco come funziona la tecnica SMTP Smuggling per lo spoofing delle e-mail e come difendersi

Pubblicato il 21 Dic 2023

Dario Fadda

Research Infosec, fondatore Insicurezzadigitale.com

Èstato identificato un nuovo pericolo nel panorama delle minacce informatiche che mina alla stabilità delle comunicazioni e-mail: un ricercatore di sicurezza, Timo Longin, consulente senior presso SEC Consult, ha infatti recentemente rivelato un metodo avanzato di phishing chiamato SMTP Smuggling.

Questa tecnica insidiosa consente agli attaccanti di eludere le difese più comuni, come DMARC, SPF e DKIM, mettendo a rischio organizzazioni e individui di fronte a attacchi mirati di phishing che sembrano provenire da fonti legittime.

Indice degli argomenti

SMTP Smuggling fa inviare email illecite da indirizzi legittimi

L’SMTP Smuggling sfrutta difetti zero-day nei server di messaggistica di giganti del settore come Microsoft, GMX e Cisco. Questi server, una volta vulnerabili, diventano strumenti nelle mani degli aggressori per inviare e-mail dannose con indirizzi di mittente falsi. La tecnica si basa sull’interpretazione della sequenza di codice di fine dati utilizzata nel protocollo SMTP, permettendo agli attaccanti di violare i dati del messaggio, inserire comandi arbitrari e inviare e-mail contraffatte.

WHITEPAPER

Sfrutta il potenziale della sicurezza unificata con l’Extended Detection and Response

Cybersecurity

Data protection

Inizio modulo

Leggi l'informativa sulla privacy

  • Acconsento alla comunicazione dei dati a terzi appartenenti ai seguenti settori merceologici: servizi (tra cui ICT/digitali), manifatturiero, commercio, pubblica amministrazione. I dati verranno trattati per finalità di marketing tramite modalità automatizzate e tradizionali di contatto (il tutto come specificato nell’informativa)

Fine modulo

Il metodo non si limita a colpire le e-mail in entrata, ma può essere utilizzato anche per le comunicazioni in uscita. Questo approccio innovativo permette agli aggressori di superare i controlli tipici di sicurezza e-mail, eludendo protocolli come DMARC, SPF e DKIM.

Longin sottolinea che l’SMTP Smuggling rappresenta una minaccia significativa, consentendo agli attaccanti di utilizzare l’ingegneria sociale mirata per eseguire attacchi di phishing avanzati, convincendo le vittime che le e-mail provengono da fonti attendibili.

Le vulnerabilità impattanti sono state riscontrate in server di posta elettronica di Microsoft, GMX e Cisco Secure Email, che quindi consentono l’SMTP Smuggling. Sebbene Microsoft e GMX abbiano reagito prontamente, correggendo le proprie vulnerabilità, Cisco Secure Email rimane un punto critico, con un potenziale errore di configurazione irrisolto. Inoltre, come spesso accade, una volta diffusa la patch, prima che venga diffusa e applicata da tutti, passa del tempo.

Particolarmente preoccupante è il numero di domini influenzati da queste vulnerabilità. Longin ha rivelato che sono milioni di domini in tutto il mondo: inclusi quelli di alto valore come microsoft.com, msn.com, github.com e altri, pienamente sfruttabili dagli aggressori. Inoltre, i ricercatori hanno scoperto che la falla in Cisco colpisce più di 40.000 istanze vulnerabili, aprendo la strada a e-mail contraffatte inviate a obiettivi di alto valore come Amazon, PayPal ed eBay.

Come mitigare il rischio di attacco

Nonostante le patch applicate da Microsoft e GMX, la situazione con Cisco solleva preoccupazioni. Contrariamente alle raccomandazioni dei ricercatori, Cisco non emetterà un avviso ai propri clienti, richiedendo invece che gli amministratori modifichino manualmente un’impostazione di configurazione per proteggersi.

In risposta a questa minaccia, SEC Consult consiglia alle organizzazioni di rimanere vigili e di effettuare regolarmente test di sicurezza sull’infrastruttura. Inoltre, incoraggia le aziende a condurre corsi di sensibilizzazione periodici per i dipendenti al fine di prevenire compromissioni attraverso questo nuovo vettore di attacco.

L’SMTP Smuggling rappresenta un’evoluzione preoccupante nel panorama della sicurezza e-mail. Organizzazioni e individui sono chiamati ad adottare misure proattive per proteggere le proprie comunicazioni digitali dalla minaccia del phishing, sempre crescente.

@RIPRODUZIONE RISERVATA

Valuta la qualità di questo articolo

  •  
  •  
  •  
  •  

WHITE PAPER

Come sfruttare le nuove tecnologie digitali per superare le 4 criticità indotte dall’inflazione

21 Dic 2023


Personaggi

D

Dario Fadda


Argomenti

C

cyber risk

E

email security

M

Microsoft Exchange

osservatorio phishing

P

phishing

V

vulnerabilità

Z

zeroday


Canali

Attacchi hacker e Malware: le ultime news in tempo reale e gli approfondimenti

News, attualità e analisi Cyber sicurezza e privacy

Speciale PNRR

filter_listFiltra per topic

chevron_left

chevron_right

CODICE STARTUP

Imprenditoria femminile: come attingere ai fondi per le donne che fanno impresa

DECRETI

PNRR e Fascicolo Sanitario Elettronico: investimenti per oltre 600 milioni

IL DOCUMENTO

Competenze digitali, ecco il nuovo piano operativo nazionale

STRUMENTI

Da Istat e RGS gli indicatori per misurare la sostenibilità nel PNRR

STRATEGIE

PNRR – Piano nazionale di Ripresa e Resilienza: cos’è e novità

FONDI

Pnrr, ok della Ue alla seconda rata da 21 miliardi: focus su 5G e banda ultralarga

GREEN ENERGY

Energia pulita: Banca Sella finanzia i progetti green incentivati dal PNRR

TECNOLOGIA SOLIDALE

Due buone notizie digitali: 500 milioni per gli ITS e l’inizio dell’intranet veloce in scuole e ospedali

INNOVAZIONE

Competenze digitali e InPA cruciali per raggiungere gli obiettivi del Pnrr

STRATEGIE

PA digitale 2026, come gestire i fondi PNRR in 5 fasi: ecco la proposta

ANALISI

Value-based healthcare: le esperienze in Italia e il ruolo del PNRR

STRATEGIE

Accordi per l’innovazione, per le imprese altri 250 milioni

STRATEGIE

PNRR, opportunità e sfide per le smart city

STRATEGIE

Brevetti, il Mise mette sul piatto 8,5 milioni

STRATEGIE

PNRR e opere pubbliche, la grande sfida per i Comuni e perché bisogna pensare digitale

FORMAZIONE

Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni

STRATEGIE

PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso

DISPERSIONE IDRICA

Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari

PNRR

Cloud, firmato il contratto per l’avvio di lavori del Polo strategico

FORMAZIONE

Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori

INIZIATIVE

Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti

COMPETENZE E COMPETITIVITÀ

PNRR, così i fondi UE possono rilanciare la ricerca e l’Università

FINANZIAMENTI

PNRR, si sbloccano i fondi per l’agrisolare

SANITÀ POST-PANDEMICA

PNRR, Missione Salute: a che punto siamo e cosa resta da fare

STRATEGIE

Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile

LA RELAZIONE

Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa

L'EDITORIALE

Elezioni 2022, la sfida digitale ai margini del dibattito politico

STRATEGIE

Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”

TRANSIZIONE DIGITALE

Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa

L'ANALISI I-COM

Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali

CINECA

Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso

L'INDICE EUROPEO

Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze

L'APPROFONDIMENTO

PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia

SERVIZI DIGITALI

PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA

LEGAL HEALTH

Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea

SERVIZI DIGITALI

PNRR e PA digitale: non dimentichiamo la dematerializzazione

DIGITAL HEALTHCARE TRANSFORMATION

La trasformazione digitale degli ospedali

GOVERNANCE DIGITALE

PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza

SERVIZI DIGITALI

Comuni e digitale, come usare il PNRR senza sbagliare

LA SURVEY

Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane

MISSIONE SALUTE

Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità

SERVIZI PUBBLICI

PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse

SKILL GAP

PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro

IL PIANO

Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023

FORUMPA2022

PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner

I CONTRATTI

Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano

NEXT GENERATION EU

PNRR, a che punto siamo e cosa possono aspettarsi le aziende private

FONDI

Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese

SERVIZI COMUNALI

Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini

HEALTHCARE DATA PLATFORM

PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità

SKILL

Competenze digitali, partono le Reti di facilitazione

GLI OBIETTIVI

Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo

SISTEMA PAESE

PNRR 2, è il turno della space economy

FORUM PA 2022

FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR

ANALISI

PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme

INNOVAZIONE

Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza

FORUM PA 2022

PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement

ANALISI

PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!

RAPPORTI

Competenze digitali e servizi automatizzati pilastri del piano Inps

ANALISI

Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022

PROGETTI

Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace

ANALISI

PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»

LA SVOLTA

Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr

ANALISI

Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023

FORUM PA 2022

Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR

IL PIANO

Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi

ANALISI

PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione

ANALISI

PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi

WEBINAR

Comuni e PNRR: un focus sui bandi attivi o in pubblicazione

ANALISI

Formazione 4.0: cos’è e come funziona il credito d’imposta

PA E SICUREZZA

PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione

PA E SICUREZZA

PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane

WATER MANAGEMENT

Water management in Italia: verso una transizione “smart” e “circular” 

LE RISORSE

Transizione digitale, Simest apre i fondi Pnrr alle medie imprese

PROSPETTIVE

Turismo, cultura e digital: come spendere bene le risorse del PNRR

ANALISI

Smart City: quale contributo alla transizione ecologica

DECARBONIZZAZIONE

Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma

UNIONCAMERE

PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare

I FONDI

Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr

CODICE STARTUP

Imprenditoria femminile: come attingere ai fondi per le donne che fanno impresa

DECRETI

PNRR e Fascicolo Sanitario Elettronico: investimenti per oltre 600 milioni

IL DOCUMENTO

Competenze digitali, ecco il nuovo piano operativo nazionale

STRUMENTI

Da Istat e RGS gli indicatori per misurare la sostenibilità nel PNRR

STRATEGIE

PNRR – Piano nazionale di Ripresa e Resilienza: cos’è e novità

FONDI

Pnrr, ok della Ue alla seconda rata da 21 miliardi: focus su 5G e banda ultralarga

GREEN ENERGY

Energia pulita: Banca Sella finanzia i progetti green incentivati dal PNRR

TECNOLOGIA SOLIDALE

Due buone notizie digitali: 500 milioni per gli ITS e l’inizio dell’intranet veloce in scuole e ospedali

INNOVAZIONE

Competenze digitali e InPA cruciali per raggiungere gli obiettivi del Pnrr

STRATEGIE

PA digitale 2026, come gestire i fondi PNRR in 5 fasi: ecco la proposta

ANALISI

Value-based healthcare: le esperienze in Italia e il ruolo del PNRR

STRATEGIE

Accordi per l’innovazione, per le imprese altri 250 milioni

STRATEGIE

PNRR, opportunità e sfide per le smart city

STRATEGIE

Brevetti, il Mise mette sul piatto 8,5 milioni

STRATEGIE

PNRR e opere pubbliche, la grande sfida per i Comuni e perché bisogna pensare digitale

FORMAZIONE

Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni

STRATEGIE

PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso

DISPERSIONE IDRICA

Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari

PNRR

Cloud, firmato il contratto per l’avvio di lavori del Polo strategico

FORMAZIONE

Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori

INIZIATIVE

Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti

COMPETENZE E COMPETITIVITÀ

PNRR, così i fondi UE possono rilanciare la ricerca e l’Università

FINANZIAMENTI

PNRR, si sbloccano i fondi per l’agrisolare

SANITÀ POST-PANDEMICA

PNRR, Missione Salute: a che punto siamo e cosa resta da fare

STRATEGIE

Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile

LA RELAZIONE

Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa

L'EDITORIALE

Elezioni 2022, la sfida digitale ai margini del dibattito politico

STRATEGIE

Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”

TRANSIZIONE DIGITALE

Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa

L'ANALISI I-COM

Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali

CINECA

Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso

L'INDICE EUROPEO

Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze

L'APPROFONDIMENTO

PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia

SERVIZI DIGITALI

PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA

LEGAL HEALTH

Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea

SERVIZI DIGITALI

PNRR e PA digitale: non dimentichiamo la dematerializzazione

DIGITAL HEALTHCARE TRANSFORMATION

La trasformazione digitale degli ospedali

GOVERNANCE DIGITALE

PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza

SERVIZI DIGITALI

Comuni e digitale, come usare il PNRR senza sbagliare

LA SURVEY

Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane

MISSIONE SALUTE

Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità

SERVIZI PUBBLICI

PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse

SKILL GAP

PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro

IL PIANO

Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023

FORUMPA2022

PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner

I CONTRATTI

Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano

NEXT GENERATION EU

PNRR, a che punto siamo e cosa possono aspettarsi le aziende private

FONDI

Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese

SERVIZI COMUNALI

Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini

HEALTHCARE DATA PLATFORM

PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità

SKILL

Competenze digitali, partono le Reti di facilitazione

GLI OBIETTIVI

Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo

SISTEMA PAESE

PNRR 2, è il turno della space economy

FORUM PA 2022

FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR

ANALISI

PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme

INNOVAZIONE

Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza

FORUM PA 2022

PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement

ANALISI

PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!

RAPPORTI

Competenze digitali e servizi automatizzati pilastri del piano Inps

ANALISI

Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022

PROGETTI

Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace

ANALISI

PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»

LA SVOLTA

Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr

ANALISI

Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023

FORUM PA 2022

Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR

IL PIANO

Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi

ANALISI

PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione

ANALISI

PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi

WEBINAR

Comuni e PNRR: un focus sui bandi attivi o in pubblicazione

ANALISI

Formazione 4.0: cos’è e come funziona il credito d’imposta

PA E SICUREZZA

PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione

PA E SICUREZZA

PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane

WATER MANAGEMENT

Water management in Italia: verso una transizione “smart” e “circular” 

LE RISORSE

Transizione digitale, Simest apre i fondi Pnrr alle medie imprese

PROSPETTIVE

Turismo, cultura e digital: come spendere bene le risorse del PNRR

ANALISI

Smart City: quale contributo alla transizione ecologica

DECARBONIZZAZIONE

Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma

UNIONCAMERE

PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare

I FONDI

Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr

News, attualità e analisi Cyber sicurezza e privacy

L'ANALISI

Vulnerabilità Microsoft Exchange Online: focus sul cyber attacco

07 Ago 2023

di Tullio Mario Cozzolino, Antonio Minnella, Michele Monaco

Condividi il post

Condividi 

News, attualità e analisi Cyber sicurezza e privacy

NUOVE MINACCE

Flipper Zero, il phishing prende di mira appassionati e smanettoni: come difendersi

04 Gen 2023

di Dario Fadda

Condividi il post

Condividi 

News, attualità e analisi Cyber sicurezza e privacy

L'ANALISI TECNICA

Phishing, migliaia di falsi siti AnyDesk diffondono il malware Vidar: come difendersi

11 Gen 2023

di Dario Fadda

Condividi il post

Condividi 

News, attualità e analisi Cyber sicurezza e privacy

L'ALLERTA CSIRT

Whaling phishing, una nuova frode prende di mira i manager aziendali: come riconoscerla

18 Gen 2023

di Dario Fadda

Condividi il post

Condividi 

WEBINAR

Future of work: l’intelligenza artificiale per la gestione delle persone e lo sviluppo professionale

  • Il webcast è disponibileGUARDA