Il phishing è un crimine informatico in cui le persone vengono contattate via e-mail, telefono o SMS da qualcuno che si spaccia per un’istituzione legittima per indurre le persone a fornire dati sensibili, come informazioni di identificazione personale, dati bancari e di carte di credito e password. Non importa quanto se ne parli e quanto si possa mettere in guardia di fronte al pericolo, il phishing è in continua crescita.
Nel 2020 gli incidenti segnalati in cui gli utenti sono stati indotti a rivelare informazioni sensibili sono quasi raddoppiati. Di conseguenza, il metodo di hacking del phishing dilaga e diventa progressivamente più sofisticato. I nostri colleghi del Security Operations Center (SOC) di CyberOne ci hanno illustrato i dettagli inerenti ai più frequenti tipi di phishing, e ci hanno aggiornato sulle nuove tendenze e conseguentemente sugli approcci preventivi che voi e i membri della vostra squadra potete adottare.
Il phishing non è una pratica nuova ed esiste da più di 20 anni. Tuttavia, è stato sviluppato e adattato alle condizioni odierne. Un esempio di attacchi informatici ad hoc che sfruttano le circostanze attuali contro persone innocenti sono le truffe pandemiche per il furto di dati personali o denaro. Nonostante leggere variazioni, il tono principale cerca sempre di apparire e suonare il più credibile possibile.
I tipi più comuni di phishing
- Phishing e-mail: invio di un messaggio che sembra provenire da un’organizzazione nota, che chiede informazioni personali, come numero di carta di credito, codice fiscale, numero di conto bancario o password.
- Vishing: avviene tramite telefono. Viene descritto come l’utilizzo di questo particolare canale nel tentativo di ingannare gli utenti facendogli cedere informazioni private che vengono utilizzate per il furto di identità.
- Whaling: gli hacker si presentano come rappresentanti di una grande organizzazione e cercano di rubare denaro o informazioni sensibili di una determinata azienda o di accedere ai suoi sistemi informatici con intenti criminali.
- Smishing: le vittime vengono indotte a fornire le proprie informazioni private tramite un messaggio di testo o SMS.
- Spear Phishing: invio di e-mail fraudolente che appaiono provenire da un mittente noto o di fiducia al fine di indurre gli individui presi di mira a rivelare informazioni riservate.
Cosa c’è di nuovo?
L’ultima tendenza nel phishing è l’utilizzo di servizi reali ampiamente conosciuti per indurre ad aprire contenuti dannosi. Ad esempio, gli hacker utilizzano Google Forms e i bot di Telegram per gestire i propri attacchi. Secondo uno studio della società di intelligence informatica Group-IB, i criminali informatici prendono di mira principalmente i servizi online per la visualizzazione di documenti, acquisti online e streaming – attacchi, questi, che rappresentano il 30,7% delle attività dannose. Prendendo di mira gli account online, gli hacker sono in grado di rubare conti bancari collegati a loro.
Gli specialisti della sicurezza informatica di CyberOne hanno anche osservato che i criminali informatici ora contano sull’automazione. Questa tecnica consente loro di sostituire i siti Web di phishing bloccati e quindi compiere attacchi di phishing complessi su larga scala. L’automazione rende meno efficaci i metodi tradizionali per bloccare gli attacchi di phishing.
Per fortuna, stanno facendo progressi anche le tecnologie per evitare e limitare gli attacchi di phishing. I più recenti servizi di filtraggio ispezionano la corrispondenza in entrata e in uscita collocandola in una macchina virtuale prima di procedere all’invio alla sua destinazione finale.
Sii creativo nell’affrontare la minaccia di phishing
La comunicazione è finora la strategia più efficace per sconfiggere i criminali informatici. Rimanere in silenzio non farà un favore né a te, né alla tua azienda. Il miglior atteggiamento da assumere è reagire attivamente e adottare contromisure adeguate, ma anche creare un ambiente in cui i tuoi colleghi si sentano incoraggiati a segnalare gli incidenti.
Esiste un luogo comune per cui se un dipendente fa clic su un link dannoso, diventa automaticamente un aggressore. La verità è che chiunque può compiere un errore nel proteggersi. Tuttavia, prendendo consapevolezza e utilizzando una combinazione di strumenti tecnologici di prevenzione e polizze assicurative informatiche potrai raggiungere un livello di sicurezza soddisfacente e rassicurante.
