Phishing

Il phishing si riferisce a qualsiasi tentativo di ottenere informazioni sensibili come nomi utente, password o dettagli bancari, spesso per motivi dannosi, impersonando un'entità affidabile in una comunicazione elettronica.

Il phishing è un esempio di tecnica di ingegneria sociale utilizzata per ingannare gli utenti e sfruttare le debolezze nella sicurezza della rete. Sono stati fatti vari tentativi per controllare l'aumento dei casi di phishing segnalati, tra cui legislazione, formazione dei dipendenti e degli utenti generali, educazione pubblica e protocolli di sicurezza della rete standardizzati.

Il phishing viene generalmente effettuato tramite comunicazione digitale diretta. Un attacco spesso indirizza gli utenti a inserire informazioni sensibili su un sito web falso, il cui aspetto e funzionamento corrispondono al sito legittimo. La corrispondenza, che sostiene di provenire da social media, siti di aste o vendita al dettaglio, istituzioni finanziarie o amministratori di rete e IT, viene utilizzata per intrappolare gli utenti. Le e-mail di phishing possono persino contenere link a malware distribuito, danneggiando ulteriormente il sistema della vittima.

Tipi di phishing

Oltre alle tecniche di phishing standard, tipi specifici di phishing possono essere utilizzati per raggiungere vari obiettivi.

• spear phishing: Un attacco di spear phishing che prende di mira un'organizzazione o un individuo specifico, cercando di ottenere accesso non autorizzato a informazioni sensibili. Gli attaccanti di solito raccolgono informazioni personali sul bersaglio per aumentare le loro possibilità di successo.
• Clone phishing: Dove un'email autentica, precedentemente valida, viene rubata nel suo contenuto e indirizzo del destinatario, ingegnerizzata inversamente per creare un'email identica o clonata. Eventuali allegati o link reali nell'email originale vengono sostituiti con software dannoso, e poi inviati da un indirizzo email falsificato per ingannare la vittima facendole credere nella sua autenticità.
• Whaling: Un attacco di phishing progettato per colpire un dirigente in base al ruolo della persona nell'azienda. Il contenuto di un'e-mail di attacco whaling è spesso scritto come un mandato legale, un reclamo del cliente o un problema esecutivo. Le e-mail di truffa whaling sono progettate per sembrare una e-mail aziendale critica, inviata da un'autorità aziendale legittima.

Caratteristiche comuni delle e-mail di phishing

Quando si tratta di sicurezza web, è importante essere in grado di riconoscere gli aspetti più comuni di un attacco di phishing. Gli utenti sono spesso l'unica ragione per cui gli attacchi di phishing hanno successo, quindi evitare errori importanti può aiutare le aziende a evitare minacce alla sicurezza informatica.

• Dichiarazioni drammatiche: Offerte lucrative e dichiarazioni accattivanti o che catturano l'attenzione sono progettate per attirare immediatamente l'attenzione delle persone. Ad esempio, molti affermano che un obiettivo ha vinto un telefono, una lotteria o qualche altro premio sontuoso.
• Urgenza: Una tattica comune tra i criminali informatici è quella di chiedere alla vittima di agire rapidamente prima che un'opportunità finisca. La maggior parte delle organizzazioni affidabili concede ampio tempo prima di chiudere un account e non chiede mai informalmente ai propri utenti di aggiornare i dettagli personali su Internet.
• Iperlink: Un link potrebbe non essere ciò che sembra. Passando il mouse su un link si mostra l'URL effettivo, che potrebbe essere completamente estraneo al testo del link. A volte potrebbe sembrare un sito web sicuro, ma con una leggera alterazione dell'ortografia – ad esempio, con il numero “1” al posto di una “l” minuscola.
• Allegati: Gli allegati inaspettati nelle e-mail dovrebbero essere trattati con sospetto. Spesso contengono payload come ransomware o altri virus.
• Mittente insolito: Lo spam di basso livello viene spesso inviato da utenti sconosciuti o con nomi sospetti. Quando si riceve un'e-mail da qualcuno sconosciuto, che sembra agire in modo sospetto, è consigliabile esercitare cautela nel rispondere troppo rapidamente, se non del tutto.

Evitare gli attacchi di phishing

• Risposte sociali: Addestrare le persone a riconoscere i tentativi di phishing e ad affrontarli. L'istruzione può essere efficace, soprattutto quando la formazione enfatizza la conoscenza concettuale.
• Avvisi del browser: Mantieni un elenco di siti di phishing conosciuti e controlla i siti web rispetto all'elenco. Uno di questi servizi è il servizio Safe Browsing fornito da Google Chrome.
• Eliminazione delle e-mail di phishing: Filtri antispam specializzati che riducono il numero di e-mail di phishing che raggiungono le caselle di posta dei destinatari, o forniscono una soluzione post-consegna, analizzando e rimuovendo gli attacchi di phishing al momento della consegna tramite integrazione a livello di provider di e-mail.
• Monitoraggio e rimozione: Servizi 24 ore su 24 per monitorare, analizzare e assistere nella chiusura di siti web di phishing.
• Verifica e firma delle transazioni: Utilizzo di un telefono cellulare (smartphone) o di un indirizzo e-mail alternativo come canale di backup per l'autenticazione e l'autorizzazione di interazioni sensibili (come le transazioni finanziarie).

Il phishing è una delle maggiori minacce per le imprese oggi. Un attacco di phishing riuscito può non solo costare denaro, ma può esporre un'azienda a violazioni di sicurezza e dati molto più gravi. Ecco perché formazione ed educazione sono così importanti, poiché possono ridurre notevolmente il tasso di attacchi di phishing riusciti.