La casella è certificata, la fattura dentro no: la campagna che viaggia su PEC compromesse

Il canale conta più del contenuto

Una casella PEC non è una casella email con un nome più lungo. È un domicilio digitale: il gestore certifica chi ha spedito e quando, la ricevuta ha valore legale, e per moltissime imprese e professionisti italiani è il canale su cui arrivano le comunicazioni che non si possono ignorare — fatture, notifiche, atti.

Questo è esattamente il motivo per cui è un buon canale d'attacco. Non perché sia tecnicamente più debole della posta ordinaria, ma perché chi la riceve la apre. Il filtro mentale che si applica a una email qualsiasi — chi è questo, che vuole — sulla PEC si abbassa, perché il canale è nato per essere affidabile.

CSIRT Italia, la struttura dell'Agenzia per la Cybersicurezza Nazionale che gestisce gli incidenti sul territorio, ha rilevato una campagna che si muove proprio qui: messaggi PEC a tema «Fattura Elettronica», inviati — riferisce l'avviso — verosimilmente da caselle certificate compromesse.

Va detto subito con precisione, perché è il fraintendimento più probabile: la PEC non è stata "bucata" come sistema. A essere compromesse sono singole caselle, cioè singole credenziali. Il sistema fa il suo lavoro e certifica correttamente il mittente; solo che quel mittente, in quel momento, non è chi crede di essere.

La catena, un passo alla volta

1. 01
   Messaggio PEC

   da una casella legittima, compromessa
2. 02
   Allegato ZIP

   contiene un file HTML con nome da documento fiscale
3. 03
   Pagina locale

   interfaccia curata, titolo «Fattura Elettronica», pulsante di download
4. 04
   Click

   l'indirizzo vero viene costruito al momento, poi si scarica ed esegue PowerShell

Il primo passaggio interessante è l'allegato ZIP. Non è un espediente nuovo, ma resta efficace: molti controlli automatici ispezionano gli allegati, e un archivio è un contenitore che richiede un passaggio in più. All'interno c'è un singolo file HTML, nominato in modo compatibile con una presunta documentazione fiscale o amministrativa.

Il secondo è che quel file si apre in locale. Non è un link a un sito: è una pagina che vive sul computer della vittima, e che quindi non passa da un controllo di reputazione del dominio nel momento in cui viene visualizzata. Mostra un'interfaccia dall'aspetto legittimo — un riquadro centrale, il titolo, un testo descrittivo, un pulsante «Scarica fattura», e nel piè di pagina riferimenti societari e fiscali messi lì per aumentare la credibilità.

Il terzo è il più istruttivo, e vale la pena spiegarlo bene perché racconta qualcosa sul modo in cui l'analisi automatica viene aggirata. Secondo la ricostruzione di CSIRT Italia, il comportamento malevolo si attiva solo dopo l'interazione dell'utente, e l'indirizzo del payload non è scritto nella pagina: viene generato dinamicamente via JavaScript al movimento del mouse.

È una scelta con un bersaglio preciso. Una sandbox che apre il file, aspetta qualche secondo e registra cosa succede vede una pagina che non fa nulla, perché nessuno muove un mouse. Un analista che legge il sorgente non trova un indirizzo da bloccare, perché quell'indirizzo non esiste ancora. La condizione per esistere è un gesto umano.

Sempre secondo l'avviso, la pagina è confezionata per colpire sistemi Windows: su macOS o Linux mostra un messaggio di errore. Anche questo riduce il rumore — meno esecuzioni inutili, meno campioni che finiscono in mano a chi analizza.

Il click sul pulsante porta al download e all'esecuzione di script PowerShell in grado di compromettere la macchina.

Cosa non sappiamo, e conviene dirlo

Qui si ferma quello che risulta documentato, e da qui in avanti servirebbero conferme che al momento non ci sono.

Non è attribuita a un gruppo noto. Non è pubblico il payload finale: PowerShell è il mezzo, non la destinazione — potrebbe portare a un infostealer, a un loader, all'accesso iniziale rivenduto a terzi. Chi dice di saperlo con certezza sta aggiungendo qualcosa che l'avviso non contiene.

Non è nota l'ampiezza. Non ci sono numeri pubblici su quante caselle siano state compromesse né su quanti messaggi siano partiti, e in assenza di un dato ufficiale qualunque cifra sarebbe inventata.

Non è chiaro come le caselle di partenza siano state compromesse: credenziali riusate, phishing precedente, infostealer su una postazione. Sono tutte ipotesi ragionevoli e nessuna è confermata.

Va anche registrato un limite di questa verifica: il portale di ACN risponde in modo poco affidabile alle richieste automatiche, e la ricostruzione qui riportata segue il contenuto dell'avviso di CSIRT Italia come riportato dalla sua pagina pubblica. Per il testo integrale e per gli indicatori tecnici, la fonte da consultare è quella — non questa pagina.

Perché questa campagna funziona meglio della media

Le tre proprietà si sommano male, per chi difende.

Il contesto è credibile senza sforzo: una fattura elettronica su PEC non è un pretesto esotico, è la normalità amministrativa italiana. Non serve costruire una storia — la storia è già il mestiere di chi riceve.

I controlli tecnici partono svantaggiati: il mittente è autenticato davvero, il dominio è legittimo, e le liste di blocco basate sulla reputazione del mittente non hanno appigli. Non c'è un mittente "strano" da segnalare.

L'analisi automatica arriva dopo: se l'indirizzo malevolo nasce solo quando qualcuno muove il mouse, il campione statico non lo contiene e la detonazione automatica non lo produce.

Cosa fare, in ordine di utilità

Sul comportamento. Una fattura su PEC che arriva come allegato ZIP contenente una pagina HTML è, di per sé, un'anomalia: la fattura elettronica italiana viaggia come XML, non come pagina web con un pulsante. Un documento vero non chiede di premere un pulsante per essere scaricato: è già lì, allegato. Se serve un click per "scaricare la fattura" che era allegata alla mail, la domanda giusta è: scaricarla da dove?

Sulla verifica. In caso di dubbio, il canale di conferma non deve essere quello del messaggio. Il fornitore si chiama al numero che si aveva già in rubrica, non a quello scritto nel piè di pagina della pagina sospetta.

Sulla tecnica, lato client. L'apertura di file .html provenienti da archivi scaricati è un comportamento che vale la pena rendere raro e rumoroso. Sul fronte PowerShell, la voce che conta è la registrazione: Script Block Logging e Module Logging attivi, e i log spediti fuori dalla macchina. Se una compromissione avviene, la differenza fra ricostruirla e indovinarla sta lì.

Sulla tecnica, lato caselle. Se una campagna parte da PEC compromesse, la contromisura strutturale è la protezione dell'accesso a quelle caselle: autenticazione a più fattori dove il gestore la offre, credenziali non riusate altrove, e attenzione agli accessi da luoghi e orari anomali. Una casella PEC compromessa non è solo un problema di chi la possiede: diventa uno strumento contro tutti quelli in rubrica.

Sull'organizzazione. Chi in azienda apre le fatture — amministrazione, segreteria, studio esterno — di norma non è la stessa persona che gestisce la sicurezza informatica, e spesso non ha nessun canale rapido per chiedere questa vi sembra strana?. Aprire quel canale, e renderlo privo di conseguenze per chi lo usa, costa poco e vale più di molti strumenti.

Il punto

La firma su una PEC certifica il mittente. Non certifica le sue intenzioni, e soprattutto non certifica che quel mittente sia ancora padrone della propria casella.

È una distinzione ovvia una volta enunciata, e completamente invisibile nel momento in cui si apre una mail fra le altre, di lunedì mattina, aspettandosi una fattura.