Che cos'è il phishing?

Il phishing descrive tipicamente le tecniche di ingegneria sociale che gli hacker utilizzano per sottrarre informazioni degli utenti o dell'azienda attraverso le email. Gli attacchi di phishing sono più efficaci quando gli utenti non sono consapevoli di ciò che sta accadendo.

Phishing

Il phishing è un metodo di attacco in circolazione dalla metà degli anni '90. È iniziato quando un gruppo di giovani ha modificato la funzione di chat room di AOL per impersonare gli amministratori di AOL. Questi volevano assicurarsi di godere di un accesso gratuito illimitato ad AOL, quindi avevano bisogno di numeri di carte di credito.

La "nuova chatroom degli iscritti” di AOL era progettata per offrire agli utenti assistenza sull'accesso al sito. Gli hacker crearono quelli che sembravano essere nomi di amministratori AOL legittimi come "ContabilitàFatturazione" e informavano l'utente della presenza di un problema con il loro account. 

All'utente veniva chiesto di fornire un numero di carta per risolvere i problemi. I criminali usavano poi i numeri di queste carte per pagare i propri conti. Anche se il termine "phishing" è stato coniato per descrivere questo tipo attacco e altri simili, al giorno d'oggi è associato principalmente alle truffe tramite email. Le truffe di phishing continuano ancora oggi a essere frequenti. Secondo il Verizon 2021 Data Breach Investigations Report (DBIR), il 36% delle violazioni ha incluso una forma di phishing.

Poiché il phishing si basa principalmente sull'ingegneria sociale, è fondamentale che tutti gli utenti comprendano come operano gli aggressori per approfittare della natura umana. In primo luogo, l'ingegneria sociale è un inganno che gli hacker usano per convincere gli utenti a fare qualcosa che normalmente non avrebbero mai fatto.

L'ingegneria sociale potrebbe essere tanto semplice quanto qualcuno con le mani occupate che chiede di aprire una porta. In modo analogo, un attacco di ingegneria sociale può iniziare con qualcuno che lascia cadere delle chiavette USB etichettate come "foto di famiglia" in un parcheggio. Queste chiavette USB possono contenere un malware che viene installato sul computer compromettendo in qualche modo la sicurezza. Questa pratica è nota come offerta dell'esca.

Il termine phishing è usato principalmente in riferimento a generici attacchi tramite email. Si tratta dei casi in cui un aggressore invia email a più indirizzi possibili, facendo riferimento a servizi comuni come PayPal o Bank of America.

L'email afferma che l'account è compromesso e invita il destinatario a cliccare su un collegamento per verificare che l'account sia legittimo. Il collegamento fa solitamente una delle due seguenti cose, o entrambe:

  1. Può condurre l'utente a un sito web malevolo che sembra simile al sito autentico, per esempio "www.PayPals.com" invece di "www.PayPal.com". Nota la "s" aggiuntiva sul primo URL. Una volta raggiunto il sito web dannoso, l'hacker può acquisire l'ID e la password dell'utente quando questi prova ad accedere.

    L'hacker ora ha accesso al conto corrente bancario e può trasferire denaro ovunque. C'è però un secondo possibile vantaggio. L'hacker potrebbe ora disporre di una password che può essere utilizzata per altri account dell'utente, tra cui quelli di Amazon o eBay.
  2. Può infettare il computer dell'utente con un software malevolo scaricato, chiamato malware. Una volta installato, il software può essere utilizzato per attacchi futuri. Il malware potrebbe essere un keystroke logger che cattura i login o i numeri delle carte di credito o potrebbe essere un ransomware che cripta il contenuto del disco al fine di richiedere un riscatto, di solito sotto forma di Bitcoin.

    A questo punto è possibile che l'hacker usi il computer infetto per estrarre Bitcoin. Questa attività potrebbe essere eseguita quando l'utente non è al computer oppure il malware potrebbe impegnare parte della capacità della CPU in modo continuativo. L'hacker può ora estrarre con successo Bitcoin e il computer dell'utente mostra generalmente dei rallentamenti.

Il phishing si è evoluto nel corso degli anni per includere attacchi che riguardano diversi tipi di dati. Oltre al denaro, gli attacchi possono anche prendere di mira dati sensibili o foto.

Attacchi di phishing

Un attacco di phishing è l'azione o l'insieme di azioni che un hacker intraprende per approfittare dell'utente. Gli schemi di phishing tramite email sono spesso facili da individuare a causa di errori grammaticali e/o di ortografia contenuti nei messaggi. Tuttavia gli aggressori stanno diventando tecnicamente sofisticati e i nuovi attacchi si concentrano sullo sfruttamento delle emozioni umane, tra cui paura, indignazione e curiosità, per indurre le vittime a sentirsi coinvolte.

L'attacco contro RSA nel 2011 era rivolto a sole quattro persone all'interno dell'azienda. L'email non era particolarmente sofisticata ma ha avuto successo per il fatto di aver preso di mira le giuste persone. L'email, intitolata "2011 Recruitment plan.xls" è stata progettata per suscitare l'interesse di questi individui mentre non sarebbe probabilmente stata di interesse per altri componenti dell'organizzazione.

Ulteriori informazioni

Tipologie di phishing

Esistono molti tipi diversi di attacchi di phishing. Questi includono il classico attacco tramite email, gli attacchi sui social media e gli attacchi dai nomi strani come smishing e vishing.

  • Phishing: di solito condotto tramite email
  • Spear phishing: email attentamente mirate
  • Whaling: email estremamente mirate, solitamente rivolte ai dirigenti
  • Phishing interno: attacchi di phishing originati dall'interno di un'azienda
  • Vishing: attacchi condotti tramite telefonate
  • Smishing: attacchi condotti tramite messaggi di testo
  • Phishing sui social media: post su Facebook o altri social media
  • Pharming: compromissione della cache del DNS
     

Ulteriori informazioni

Phishing interno

Gli attacchi di phishing interno sono una preoccupazione crescente. Si verificano quando un utente fidato invia un'email di phishing a un altro utente della stessa azienda. Poiché l'utente mittente è attendibile, è più probabile che i destinatari clicchino su un collegamento, aprano un allegato o rispondano con le informazioni richieste. 

Per inviare email di phishing interno, un aggressore controlla l'account email dell'utente con credenziali compromesse. Un aggressore può anche ottenere il controllo del dispositivo di un utente sia fisicamente, in seguito alla perdita o al furto del dispositivo stesso, sia attraverso l'installazione di un malware. Le email di phishing interne fanno parte di un attacco in più fasi con l'obiettivo finale di estorsione, ad esempio per mezzo di ransomware, o furto di risorse finanziarie o intellettuali.

Smishing

Lo smishing è un attacco che sfrutta i dispositivi mobili. Dato che oggi si vendono più dispositivi mobili che personal computer, gli hacker si sono rivolti a questa piattaforma per sottrarre dati personali. Gli attacchi di smishing si verificano spesso quando gli aggressori inviano un testo al numero di telefono dell'utente con un messaggio che lo informa di un problema con il suo account insieme a un numero da richiamare per risolvere il problema. La richiamata spesso metterà in contatto l'utente personalmente con l'hacker o con un "dipendente" assunto dal malintenzionato per proseguire la truffa.

Se non si risponde alla telefonata, gli hacker possono chiamare per informare che "l'account è stato attaccato e che è necessario condividere i relativi dettagli per risolvere il problema". Per raggiungere il successo, gli hacker spesso fanno affidamento a una grande quantità di chiamate in uscita. Questo attacco è noto come vishing.

Ulteriori informazioni sullo smishing.

Phishing sui social media

I social media sono diventati una parte importante del nostro mondo online, tanto che gli hacker sono in grado di utilizzarli facilmente per eseguire truffe di phishing. Un comune schema di phishing su Facebook include la pubblicazione di "affari" o "offerte" sugli account degli "amici" con le istruzioni per cliccarci sopra. Per intraprendere questa truffa, gli hacker devono ottenere l'accesso all'account dell'utente.

Nel caso di molti account questo può essere semplice da fare a valle di una violazione dei server online di un'altra azienda che si traduce in fughe di password. Gli hacker provano a usare le stesse combinazioni di email e password su altre piattaforme comuni come Facebook o LinkedIn.

Ulteriori informazioni sul phishing sui social media.

Pharming

Poiché gli utenti sono diventati più attenti agli attacchi di phishing, gli hacker hanno creato nuovi metodi di attacco. Il pharming compromette la cache DNS (Domain Name System) nel computer dell'utente. Questo viene fatto tramite l'utilizzo di download guidati. 

Mentre un utente naviga tra i siti web, cliccando per passare da uno all'altro, l'aggressore sfrutta la mancanza di sicurezza che si riscontra spesso su tali siti web. È abbastanza facile alterare il testo HTML che costituisce un sito in modo che includa il download di informazioni quando un utente raggiunge il sito web stesso o clicca su di esso.

Se l'utente non clicca sul collegamento contenuto nell'email, l'attaccante aspetta semplicemente che si connetta alla banca. Le informazioni alterate della cache del DNS indirizzano l'utente alla versione del sito web della banca creata dall'hacker. L'utente inserisce il suo ID utente e la sua password, dando al malintenzionato le sue credenziali per accedere al conto bancario e sottrarre i fondi.

Come si previene il phishing?

Ci sono alcune cose molto specifiche che è possibile fare come individui per proteggersi:

  • Abilitare l'autenticazione a due fattori (2FA) su ogni account idoneo
  • Usare programmi anti-malware
  • Usare i firewall
  • Diffidare di pop-up e pop-under
  • Diffidare degli allegati di email provenienti da fonti note e sconosciute
  • Diffidare di messaggi di testo o IM provenienti da fonti note e sconosciute che desiderano che l'utente clicchi su una destinazione o che contengono una richiesta di informazioni personali
  • Non fornire informazioni personali.

Le aziende, oltre alle raccomandazioni di cui sopra, dovrebbero:

  • Applicare filtri per le email di phishing e traffico web malevolo a livello di gateway
  • Autenticare i mittenti delle email usando un sistema DMARC (Domain-Based Message Authentication, Reporting, and Conformance)
  • Filtrare le email di phishing in base al mittente e al contenuto e analizzare URL e allegati alla ricerca di attributi dannosi utilizzando tecniche statiche e dinamiche
  • Adottare tecniche di filtraggio avanzate che utilizzano l'intelligenza artificiale (IA) per individuare gli attacchi Business Email Compromise (BEC) e gli attacchi che mirano al furto di credenziali.
  • Prevenire gli attacchi interni di phishing con una soluzione di sicurezza integrata nel servizio per la piattaforma di email in cloud o in locale tramite API. Tali soluzioni sono disponibili per i server Microsoft Office 365, Google G Suite, Microsoft Exchange Server e IBM Domino

Argomenti sul phishing