Phishing: una delle truffe online più ricorrenti
Che cos’è un attacco di phishing?
Il phishing è un tipo di attacco di ingegneria sociale spesso utilizzato per rubare i dati degli utenti, comprese le credenziali di accesso e i numeri di carta di credito.
Generalmente si verifica quando un utente malintenzionato, mascherato da entità fidata. Utilizzando, infatti gli stessi colori, lo stesso layout e lo stesso font e marchio. In questo modo riesce ad ingannare una vittima facendogli aprire un’e-mail, un messaggio istantaneo o un messaggio di testo. Il destinatario viene quindi indotto con l’inganno a fare clic su un collegamento dannoso, che può portare all’installazione di malware, al blocco del sistema come parte di un attacco ransomware o alla rivelazione di informazioni riservate.
Un attacco può avere risultati devastanti: per gli individui, ciò include acquisti non autorizzati, furto di fondi o furto di identità.
Inoltre, il phishing viene spesso utilizzato per prendere piede nelle reti aziendali o governative come parte di un attacco più ampio, come un evento di Advanced Persistent Threat che significa minaccia persistente avanzata (viene utilizzata la sigla APT). In quest’ultimo scenario, i dipendenti vengono compromessi per aggirare i perimetri di sicurezza, distribuire malware all’interno di un ambiente chiuso o ottenere un accesso privilegiato ai dati protetti.
Un’organizzazione che soccombe a un tale attacco in genere sostiene gravi perdite finanziarie oltre al calo della quota di mercato, della reputazione e della fiducia dei consumatori. A seconda dell’ambito, un tentativo di phishing potrebbe degenerare in un incidente di sicurezza da cui un’azienda avrà difficoltà a riprendersi.
Tecniche di phishing
Truffe di phishing via e-mail
Il phishing via email è un gioco di numeri. Un utente malintenzionato che invia migliaia di messaggi fraudolenti può raccogliere informazioni significative e somme di denaro, anche se solo una piccola percentuale di destinatari cade nella truffa. Come visto sopra, ci sono alcune tecniche che gli hacker usano per aumentare le loro percentuali di successo.
Per uno, faranno di tutto per progettare messaggi di phishing per imitare le e-mail effettive di un’organizzazione contraffatta. L’utilizzo della stessa formulazione, caratteri tipografici, loghi e firme rende i messaggi camuffati e legittimi al primo colpo d’occhio.
Inoltre, gli aggressori di solito cercano di spingere gli utenti all’azione creando un senso di urgenza. Ad esempio, come mostrato in precedenza, un’e-mail potrebbe minacciare la scadenza dell’account e mettere il destinatario su un timer. L’applicazione di tale pressione fa sì che l’utente sia meno diligente e più incline all’errore.
Infine, i collegamenti all’interno dei messaggi assomigliano alle loro controparti legittime, ma in genere hanno un nome di dominio errato o sotto domini aggiuntivi.
Spear-phishing
Lo spear phishing prende di mira una persona o un’azienda specifica, al contrario di utenti di applicazioni casuali. È una versione più approfondita del phishing che richiede una conoscenza speciale di un’organizzazione, inclusa la sua struttura di potere.
Come si svolge un attacco?
Un perpetratore ricerca i nomi dei dipendenti all’interno del reparto marketing di un’organizzazione e ottiene l’accesso alle ultime fatture del progetto.
Fingendosi il direttore marketing, l’attaccante invia un’e-mail a un project manager dipartimentale utilizzando una riga dell’oggetto che recita Fattura aggiornata per le campagne del terzo trimestre. Il testo, lo stile e il logo incluso duplicano il modello di email standard dell’organizzazione.
Un collegamento nell’e-mail reindirizza a un documento interno protetto da password, che in realtà è una versione contraffatta di una fattura rubata.
Il project manager è pregato di effettuare il login per visualizzare il documento. L’attaccante ruba le sue credenziali, ottenendo pieno accesso alle aree sensibili all’interno della rete dell’organizzazione.
Come prevenire il phishing
La protezione dagli attacchi di phishing richiede l’adozione di misure da parte degli utenti e delle aziende.
Per gli utenti, la vigilanza è fondamentale. Un messaggio contraffatto spesso contiene sottili errori che ne espongono la vera identità. Questi possono includere errori di ortografia o modifiche ai nomi di dominio, specialmente nell’indirizzo URL. Gli utenti dovrebbero anche fermarsi e pensare al motivo per cui stanno ricevendo un’e-mail del genere.
Misure da adottare
Per le aziende, è possibile adottare una serie di misure per mitigare gli attacchi di phishing e spear phishing:
L’autenticazione a due fattori è il metodo più efficace per contrastare gli attacchi di phishing, poiché aggiunge un ulteriore livello di verifica quando si accede ad applicazioni sensibili. Essa si basa sul fatto che gli utenti abbiano due modi differenti: qualcosa che sanno, come una password e un nome utente, e qualcosa che hanno, come i loro smartphone. Anche quando i dipendenti sono attaccati, l’autenticazione a due fattori è in grado di impedire l’uso delle loro credenziali compromesse, poiché queste da sole non sono sufficienti per ottenere l’accesso.
Inoltre, le organizzazioni dovrebbero applicare rigorose politiche di gestione delle password. Ad esempio, ai dipendenti dovrebbe essere richiesto di modificare frequentemente le proprie password e di non poter riutilizzare una password per più applicazioni.
Le campagne educative possono anche aiutare a ridurre la minaccia di attacchi di phishing applicando pratiche sicure, come non fare clic su collegamenti e-mail esterni.
