Il phishing descrive tipicamente le tecniche di ingegneria sociale che gli hacker utilizzano per sottrarre informazioni degli utenti o dell'azienda attraverso le email. Gli attacchi di phishing sono più efficaci quando gli utenti non sono consapevoli di ciò che sta accadendo.
Il phishing è un metodo di attacco in circolazione dalla metà degli anni '90. È iniziato quando un gruppo di giovani ha modificato la funzione di chat room di AOL per impersonare gli amministratori di AOL. Questi volevano assicurarsi di godere di un accesso gratuito illimitato ad AOL, quindi avevano bisogno di numeri di carte di credito.
La "nuova chatroom degli iscritti” di AOL era progettata per offrire agli utenti assistenza sull'accesso al sito. Gli hacker crearono quelli che sembravano essere nomi di amministratori AOL legittimi come "ContabilitàFatturazione" e informavano l'utente della presenza di un problema con il loro account.
All'utente veniva chiesto di fornire un numero di carta per risolvere i problemi. I criminali usavano poi i numeri di queste carte per pagare i propri conti. Anche se il termine "phishing" è stato coniato per descrivere questo tipo attacco e altri simili, al giorno d'oggi è associato principalmente alle truffe via email. Le truffe di phishing continuano ancora oggi a essere frequenti. Secondo il Verizon 2021 Data Breach Investigations Report (DBIR), il 36% delle violazioni ha incluso una forma di phishing.
Poiché il phishing si basa principalmente sull'ingegneria sociale, è fondamentale che tutti gli utenti comprendano come operano gli aggressori per approfittare della natura umana. In primo luogo, l'ingegneria sociale è un inganno che gli hacker usano per convincere gli utenti a fare qualcosa che normalmente non avrebbero mai fatto.
L'ingegneria sociale potrebbe essere tanto semplice quanto qualcuno con le mani occupate che chiede di aprire una porta. In modo analogo, un attacco di ingegneria sociale può iniziare con qualcuno che lascia cadere delle chiavette USB etichettate come "foto di famiglia" in un parcheggio. Queste chiavette USB possono contenere un malware che viene installato sul computer compromettendo in qualche modo la sicurezza. Questa pratica è nota come offerta dell'esca.
Il termine phishing è usato principalmente in riferimento a generici attacchi tramite email. Si tratta dei casi in cui un aggressore invia email a più indirizzi possibili, facendo riferimento a servizi comuni come PayPal o Bank of America.
L'email afferma che l'account è compromesso e invita il destinatario a cliccare su un collegamento per verificare che l'account sia legittimo. Il collegamento fa solitamente una delle due seguenti cose, o entrambe:
Il phishing si è evoluto nel corso degli anni per includere attacchi che riguardano diversi tipi di dati. Oltre al denaro, gli attacchi possono anche prendere di mira dati sensibili o foto.
Un attacco di phishing è l'azione o l'insieme di azioni che un hacker intraprende per approfittare dell'utente. Gli schemi di phishing tramite email sono spesso facili da individuare a causa di errori grammaticali e/o di ortografia contenuti nei messaggi. Tuttavia gli aggressori stanno diventando tecnicamente sofisticati e i nuovi attacchi si concentrano sullo sfruttamento delle emozioni umane, tra cui paura, indignazione e curiosità, per indurre le vittime a sentirsi coinvolte.
L'attacco contro RSA nel 2011 era rivolto a sole quattro persone all'interno dell'azienda. L'email non era particolarmente sofisticata ma ha avuto successo per il fatto di aver preso di mira le giuste persone. L'email, intitolata "2011 Recruitment plan.xls" è stata progettata per suscitare l'interesse di questi individui mentre non sarebbe probabilmente stata di interesse per altri componenti dell'organizzazione.
Esistono molti tipi diversi di attacchi di phishing. Questi includono il classico attacco tramite email, gli attacchi sui social media e gli attacchi dai nomi strani come smishing e vishing.
Gli attacchi di phishing interno sono una preoccupazione crescente. Si verificano quando un utente fidato invia un'email di phishing a un altro utente della stessa azienda. Poiché l'utente mittente è attendibile, è più probabile che i destinatari clicchino su un collegamento, aprano un allegato o rispondano con le informazioni richieste.
Per inviare email di phishing interno, un aggressore controlla l'account email dell'utente con credenziali compromesse. Un aggressore può anche ottenere il controllo del dispositivo di un utente sia fisicamente, in seguito alla perdita o al furto del dispositivo stesso, sia attraverso l'installazione di un malware. Le email di phishing interne fanno parte di un attacco in più fasi con l'obiettivo finale di estorsione, ad esempio per mezzo di ransomware, o furto di risorse finanziarie o intellettuali.
Lo smishing è un attacco che sfrutta i dispositivi mobili. Dato che oggi si vendono più dispositivi mobili che personal computer, gli hacker si sono rivolti a questa piattaforma per sottrarre dati personali. Gli attacchi di smishing si verificano spesso quando gli aggressori inviano un testo al numero di telefono dell'utente con un messaggio che lo informa di un problema con il suo account insieme a un numero da richiamare per risolvere il problema. La richiamata spesso metterà in contatto l'utente personalmente con l'hacker o con un "dipendente" assunto dal malintenzionato per proseguire la truffa.
Se non si risponde alla telefonata, gli hacker possono chiamare per informare che "l'account è stato attaccato e che è necessario condividere i relativi dettagli per risolvere il problema". Per raggiungere il successo, gli hacker spesso fanno affidamento a una grande quantità di chiamate in uscita. Questo attacco è noto come vishing.
Ulteriori informazioni sullo smishing.
I social media sono diventati una parte importante del nostro mondo online, tanto che gli hacker sono in grado di utilizzarli facilmente per eseguire truffe di phishing. Un comune schema di phishing su Facebook include la pubblicazione di "affari" o "offerte" sugli account degli "amici" con le istruzioni per cliccarci sopra. Per intraprendere questa truffa, gli hacker devono ottenere l'accesso all'account dell'utente.
Nel caso di molti account questo può essere semplice da fare a valle di una violazione dei server online di un'altra azienda che si traduce in fughe di password. Gli hacker provano a usare le stesse combinazioni di email e password su altre piattaforme comuni come Facebook o LinkedIn.
Ulteriori informazioni sul phishing sui social media.
Poiché gli utenti sono diventati più attenti agli attacchi di phishing, gli hacker hanno creato nuovi metodi di attacco. Il pharming compromette la cache DNS (Domain Name System) nel computer dell'utente. Questo viene fatto tramite l'utilizzo di download guidati.
Mentre un utente naviga tra i siti web, cliccando per passare da uno all'altro, l'aggressore sfrutta la mancanza di sicurezza che si riscontra spesso su tali siti web. È abbastanza facile alterare il testo HTML che costituisce un sito in modo che includa il download di informazioni quando un utente raggiunge il sito web stesso o clicca su di esso.
Se l'utente non clicca sul collegamento contenuto nell'email, l'attaccante aspetta semplicemente che si connetta alla banca. Le informazioni alterate della cache del DNS indirizzano l'utente alla versione del sito web della banca creata dall'hacker. L'utente inserisce il suo ID utente e la sua password, dando al malintenzionato le sue credenziali per accedere al conto bancario e sottrarre i fondi.
Ci sono alcune cose molto specifiche che è possibile fare come individui per proteggersi:
Le aziende, oltre alle raccomandazioni di cui sopra, dovrebbero: