Truffe online

Phishing: come riconoscerlo e proteggersi?

1402 0

In questo articolo torniamo sul Phishing: in un precedente approfondimento abbiamo visto cos’è, come riconoscerlo, come proteggersi da questi attacchi. Trattandosi di un fenomeno in continua evoluzione, facciamo qui il punto sulle tecniche per riconoscere questo tipo di attacco, in continuo cambiamento.

Infatti, nell’era 2.0, quella di internet, le truffe avvengono online. Non solo navigando sui siti web, ma anche via posta elettronica: nonostante gli enormi progressi nel settore della sicurezza informatica, con la creazione di efficientissimi filtri antivirus e antispam per l’e-mail, i messaggi di posta elettronica fraudolenti possono sfuggire a questi controlli, creando anche danni non indifferenti ai malcapitati truffati.

Cosa si intende per attacco Phishing?

malware

Il famoso attacco di phishing, è un attacco informatico che utilizza la e-mail, l’sms, le telefonate,  siti web fake, con l’unico scopo di indurre le vittime a commettere azioni che potenzialmente sono dannose. La conseguenza di queste azioni possono portare a scaricare malware, intraprendere azioni che comprometterebbero i propri dati o la propria organizzazione oltre a condividere informazioni sensibili.

Quando un attacco di Phishing viene portato a termine, le povere vittime vanno in contro ad un furto di credenziali e alla violazione dei dati personali e dell’integrità globale dei propri sistemi. Nel Phishing vengono sfruttate anche altre tecniche come ad esempio (forse la più utilizzata e importante) il social engineering), vediamo cos’è e quanto può essere pericoloso.

Cosa si intende per Social Engineering?

email false_truffe

L’ingegneria sociale nel campo della sicurezza informatica consiste nell’utilizzo, da parte degli hacker, di metodi che hanno come scopo quello di ottenere informazioni personali tramite l’inganno. Il social engineering è utilizzato per influenzare, ingannare e manipolare una vittima per indurla a compiere azioni o a condividere informazioni private. Questo tipo di pratica non è utilizzata solo nella sicurezza informatica, ma è stata utilizzata anche nella storia, (facendo un esempio il Cavallo di Troia).

Con la digitalizzazione e l’aumento dell’utilizzo dei social media e dei servizi di messaggistica, questa tecnica si è evoluta in una strategia ancora più subdola ed efficace in modo da portare a termine con successo un attacco.

I cyber criminali moderni sfruttano le emozioni umane per reperire le informazioni, questo perché è più facile manipolarle che violare una rete informatica o cercare di sfruttare delle vulnerabilità tecniche.

Come difenderci dal phishing?

Ransomware

Per contrastare questo tipo di attacco, è necessario implementare politiche di sicurezza rigide e adattate alle esigenze operative. Gli attacchi di “Social Engineering” sfruttano l’errore umano approfittando della disattenzione dell’utente autorizzato per fare breccia al sistema , come ad esempio server etc … .

Software come Spyware, Keylogger e Phishing, vengono sfruttati dai cyber criminali come esca per la parte iniziale dell’attacco, purtroppo questa metodologia è in continua crescita e di conseguenza sempre in evoluzione, quindi prevenirla completamente è praticamente impossibile.

È però possibile ridurre il rischio mettendo in campo alcune tecniche:

  1. Educare i propri tenti al riconoscere e-mail fake e tentativi di truffe online;
  2. Sensibilizzare i propri utenti alla salvaguardia dei dati personali.

Modalità di Phishing

Le tipologie di Phishing tecnicamente si dividono in:

  • Common Phish;
  • Spear Phish;
  • Clone Phish;
  • Whalink shark;

Le tipologie utilizzate si dividono in 4 modalità:

Modalità di PhishingDescrizioneAzioni
Avidità  Riceverete una mail inviata ad esempio da Amazon dove ci sarà scritto che siete stati selezionati per ricedere un regalo. Per completare l’operazione dovrete cliccare sul pulsanti avanti.  Cliccando sul pulsante, potreste cadere in tranelli, il primo verrete indirizzati su un clone del sito Amazon dove vi verrà chiesto di inserire i vostri dati. Il secondo, verrà scaricato automaticamente un virus che andrà a compromettere il vostro pc e tutti i pc nella rete.  
Gentilezza  Riceverete una mail da un indirizzo di vostra conoscenza, magari dalla stessa vostra società per cui lavorate, con all’interno un allegato contenente un virus, dove vi verrà chiesto con molta gentilezza di aprire il file perché la vostra collega ha riscontrato problemi nell’apertura, addirittura vi scriverà la password per aprire il file. Il testo della mail punta tutto sulla gentilezza delle richieste.  Aprendo l’allegato verrà scaricato ed installato un virus.  
Obbedienza  In questo caso il phisher punterà su una mail proveniente da un corpo militare, come ad esempio  la guardia di finanza, dove vi verrà chiesto di pagare.  Cliccando sul link contenuto nel corpo della mail, verrete veicolati al sito clone della guardia di finanza, dove vi verrò chiesto di inserire le vostre credenziali.  
Paura  In questo caso il phisher punta tutto sull’intimidazione, scrivendo nella mail che il vostro pc è stato violato, e che è in possesso di informazioni delicate. Di solito scrive che siete stati registrati mentre guardavate siti e video per adulti, e anche la vostra webcam è stata violata perciò è in possesso di video scottanti.  Accettando il pagamento, (al 99% in bitcoin), il phisher vi dirà che i vostri dati non saranno messi online.  

Difesa dal Phishing: cosa fare?

Per difendersi da Phishing:

  • Porre sempre attenzione alle e-mail che provengono da mittenti sconosciuti, bisogna sempre verificare l’indirizzo e-mail del mittente assicurandosi che sia quello legittimo;
  • Fare attenzione anche ad eventuali errori di ortografia o grammaticali presenti nel corpo della e-mail;
    • Ricordare che le organizzazioni reali non ti chiederanno mai informazioni tue personali o finanziarie via e-mail o al telefono, perciò non fornire mai password, numeri di carte di credito, dati bancari  tramite e-mail;
    • Non cliccare su link sospetti anche se ti sembrano reali, potrebbero indirizzare ad un sito web fake.
    • Porta attenzione a richieste urgenti e minacciose, queste richieste hanno lo scopo di fare agire l’utente in fretta, in questo modo fanno leva sulla paura e sul timore da parte della vittima;
    • Mantenere sempre aggiornati i software che hai installato sul tuo computer, antivirus etc….
    • Mantenere sempre aggiornato il proprio sistema operativo con le pacth che vengono rilasciate da Microsoft;
    • Utilizzare software Anti-Spam evoluti per intercettare le minacce veicolate via e-mail.
    • Tenere sempre aggiornati i propri utenti spiegandogli come avvengono gli attacchi informatici.

    Come difendersi dal Phishing: leggi anche

    Consulta altri articoli sul tema del phishing pubblicati sul portale InSic:

    Malware e Phishing: come proteggere le credenziali

    Il Phishing e la truffa via sms

    Giorgio Perego

    Sono IT Manager di un gruppo italiano leader nella compravendita di preziosi presente in Italia e in Europa con oltre 350 punti vendita diretti e affiliati.

    Sono una persona a cui piace mettersi in gioco e penso che non si finisce mai di imparare, adoro la tecnologia e tutta la parte sulla sicurezza informatica.

    Mi diverto trovare vulnerabilità per poi scrivere articoli e dare delle soluzioni.

    Giorgio Perego

    Sono IT Manager di un gruppo italiano leader nella compravendita di preziosi presente in Italia e in Europa con oltre 350 punti vendita diretti e affiliati. Sono una persona a cui piace mettersi in gioco e penso che non si finisce mai di imparare, adoro la tecnologia e tutta la parte sulla sicurezza informatica. Mi diverto trovare vulnerabilità per poi scrivere articoli e dare delle soluzioni.