Analisi Phishing: tecniche e strumenti per rilevare attacchi fraudolenti

Introduzione al phishing: cos’è e come funziona

Il phishing è una delle minacce informatiche più diffuse e pericolose. Si tratta di un tipo di attacco progettato per rubare dati personali, come credenziali di accesso o informazioni finanziarie, attraverso l’invio di email ingannevoli che contengono link dannosi o allegati infetti. Questi attacchi sfruttano il fattore umano, considerato l’anello più debole della sicurezza informatica.

Nel modello Cyber Kill Chain, il phishing rientra nella fase di "Delivery", dove gli aggressori inviano contenuti malevoli alle vittime. Una volta che l’utente clicca sul link o apre l’allegato, l’attaccante può sfruttare vulnerabilità, installare malware o rubare informazioni sensibili.

Phishing tools: cosa deve conoscere un team di sicurezza

Con il termine “phishing tools” si indicano strumenti molto diversi tra loro. Alcuni sono piattaforme legittime per simulazioni autorizzate e formazione; altri sono framework di social engineering e adversary-in-the-middle che possono essere usati nei penetration test ma anche abusati da attori malevoli. Per un team difensivo è più utile conoscere le categorie e gli indicatori che questi strumenti lasciano, piuttosto che impararne la configurazione operativa.

1. Framework adversary-in-the-middle e furto di sessione

I framework AiTM possono collocarsi tra utente e servizio legittimo e tentare di intercettare credenziali e token o cookie di sessione. È il motivo per cui la sola presenza di MFA non garantisce automaticamente resistenza al phishing: Microsoft raccomanda metodi realmente phishing-resistant, come passkey/FIDO2, Windows Hello for Business e autenticazione basata su certificato per gli scenari più sensibili.

In ambiente Microsoft 365, questo scenario va collegato alla guida Nexsys su phishing AiTM e cloud account takeover, che tratta session theft, identità cloud e contromisure moderne.

2. Framework di social engineering

Esistono framework utilizzati nei test autorizzati per simulare pagine di login, messaggi, allegati o altri scenari di social engineering. Dal punto di vista difensivo, la lezione non è quale comando usare, ma quali segnali monitorare: domini appena registrati, pagine che imitano portali reali, redirect anomali, autenticazioni inconsuete, download inattesi e comportamenti dell’utente non coerenti con il normale flusso operativo.

3. Piattaforme di phishing simulation

Strumenti come Gophish e piattaforme commerciali di Security Awareness possono essere usati in modo legittimo per campagne simulate, a condizione che il perimetro sia autorizzato e che privacy, comunicazione interna e trattamento dei dati siano gestiti correttamente. La simulazione deve misurare il rischio e generare apprendimento, non diventare una trappola punitiva per gli utenti.

Per un’attività gestita e documentata, la destinazione Nexsys corretta è il servizio di Phishing Simulation per aziende.

4. Social engineering su Wi-Fi, captive portal e canali alternativi

Il phishing non è limitato all’email. Portali Wi-Fi contraffatti, QR code, SMS, messaggistica, telefonate e false richieste di autenticazione sfruttano lo stesso principio: creare un contesto credibile che spinga la vittima a compiere un’azione. Per questo la difesa deve combinare controlli tecnici e capacità dell’utente di riconoscere anomalie.

5. Strumenti difensivi per analizzare un tentativo di phishing

Sul lato difensivo, gli strumenti più utili sono quelli che aiutano a validare evidenze: analisi degli header, SPF/DKIM/DMARC, reputazione di domini e IP, sandbox per file e URL, threat intelligence, Microsoft Defender e log di autenticazione. VirusTotal, MXToolbox, Talos Intelligence e servizi di sandbox possono supportare l’analisi, ma nessun singolo risultato deve essere interpretato come prova definitiva.

Perché alcuni attacchi superano la MFA tradizionale

SMS, OTP e push notification migliorano molto la sicurezza rispetto alla sola password, ma non tutti i metodi MFA sono resistenti al phishing. Microsoft evidenzia che campagne sofisticate possono sfruttare social engineering, man-in-the-middle e MFA fatigue. I passkey FIDO2 sono invece associati all’origine del servizio e progettati per resistere al phishing remoto.

Come usare i phishing tools in modo legittimo

Test e simulazioni devono essere eseguiti solo su sistemi e utenti inclusi in un perimetro autorizzato. In azienda è opportuno definire obiettivo, destinatari, dati raccolti, modalità di reporting, gestione privacy e procedura di debrief prima dell’avvio della campagna.

Se l’obiettivo è formare gli utenti anziché effettuare un test tecnico, il contenuto corretto è il Corso Phishing Awareness Nexsys. Per la componente mirata e personalizzata dell’attacco, approfondisci invece lo Spear Phishing.

Indicatori comuni di un'email di phishing: come riconoscerle

Le email di phishing sono uno dei metodi più comuni per truffare gli utenti online. Ecco alcuni segnali di phishing che possono aiutarti a identificare un'email sospetta e proteggere le tue informazioni personali:

1. Mittente sospetto

Uno dei primi segnali di phishing è l'indirizzo email sospetto. Potrebbe sembrare simile a quello di un'azienda affidabile, ma con piccole differenze, come nel caso di un'email che proviene da supporto@amaz0n.com invece di supporto@amazon.com. Presta attenzione anche al campo "Reply-To", che potrebbe essere diverso dal mittente originale.

2. Urgenza o minacce

Le email di phishing spesso utilizzano tattiche di urgenza per indurre gli utenti ad agire impulsivamente. Messaggi come "Il tuo account sarà bloccato" o "Conferma ora o perderai l'accesso" sono segnali di allarme che cercano di spingere a cliccare senza riflettere.

3. Link o allegati pericolosi

Un altro indicatore comune di phishing è la presenza di link sospetti che reindirizzano a pagine false, come una finta pagina di login di una banca o di un negozio online. Inoltre, gli allegati (come PDF, file .zip o documenti Word) potrebbero contenere malware dannosi.

4. Errori grammaticali e stilistici

Le email di phishing spesso contengono errori di battitura, frasi incomplete o un linguaggio poco professionale. Questo è un chiaro segno che l'email potrebbe non provenire da una fonte affidabile.

5. Richiesta di informazioni sensibili

Nessuna azienda legittima ti chiederà mai di fornire informazioni sensibili come password o dati di carte di credito via email. Se ricevi una richiesta del genere, è un chiaro segnale di phishing.

Come analizzare un’email di phishing

Per verificare se un’email è dannosa, è possibile eseguire un’analisi approfondita; ad esempio iniziando con l'Information Gathering (ovvero la raccolta di informazioni)

Information Gathering della mail sospetta

Per verificare manualmente se un'email è stata spoofata, puoi seguire questi passaggi:

• Verifica il record SPF: Usa strumenti come MxToolbox per cercare il record SPF del dominio e determinare se l'indirizzo IP di invio è autorizzato.
• Verifica la firma DKIM: Controlla se l'email è firmata con una firma DKIM valida e se corrisponde alla chiave pubblica nel DNS del dominio.
• Verifica il record DMARC: Accertati che il dominio abbia un record DMARC pubblicato e controlla la politica per capire come vengono gestite le email sospette.
• Verifica i record MX: I record MX aiutano a determinare quali server di posta sono responsabili per la gestione delle email in entrata per un dominio. Se un'email proviene da un dominio, ma i record MX non corrispondono, potrebbe trattarsi di uno spoofing.
• Cerca segnali di allarme: Ispeziona le intestazioni dell'email e cerca eventuali incongruenze, come informazioni di routing strane, che potrebbero indicare che l'email proviene da una fonte sospetta.

1. Analisi dell’header Email

L’header contiene informazioni tecniche come:

• Mittente (From) e Destinatario (To)
• Return-Path e Reply-To (dovrebbero coincidere con il mittente)
• Message-ID (univoco per ogni email)
• Received (mostra il percorso dell’email)

Come recuperare l'header di una email con Gmail

Per vedere l'header di un'email su Gmail, segui questi passaggi:

Apri Gmail: Accedi al tuo account Gmail.

Apri l'email: Vai alla casella di posta in arrivo e apri l'email di cui vuoi vedere l'header.

Visualizza l'header:

• Nella parte superiore dell'email, clicca sui tre puntini (l'icona con i "puntini di sospensione") che si trovano a destra del pulsante Rispondi.
• Nel menu che appare, seleziona l'opzione Mostra originale.

Come recuperare l'header di una email con Outlook

• Apri l'email: Apri Outlook e seleziona l'email di cui desideri vedere l'header.
• Visualizza l'header:
  • In Outlook per Windows:
  • Clicca con il tasto destro sull'email nella tua casella di posta.
  • Seleziona Proprietà.
  • Nella finestra che si apre, cerca la sezione Intestazioni Internet (Internet headers). Qui vedrai l'header completo dell'email.

Strumenti utili per la verifica:

• MXToolbox per verificare record SPF, DKIM e DMARC.
• VirusTotal per controllare l’indirizzo IP o il dominio.

2. Verifica del Dominio e dell’IP

• Controllare se l’IP del mittente corrisponde ai server ufficiali dell’azienda.
• Cercare l’IP su Talos Intelligence o AbuseIPDB per vedere se è stato segnalato come malevolo.

3. Ispezione di link e allegati

• Browser sandbox (come Browserling) per aprire link sospetti in sicurezza.
• Sandbox dinamiche (Cuckoo Sandbox, AnyRun) per analizzare file potenzialmente dannosi.

Phishing oggi: qualche numero che fa riflettere

Il phishing non è un fenomeno isolato: è in costante crescita e sempre più sofisticato. Secondo il Verizon Data Breach Investigations Report 2024, il phishing è coinvolto nel 36% delle violazioni di dati a livello globale.

Altri dati interessanti:

📈 Secondo il Rapporto Clusit 2025, gli attacchi di phishing in Italia sono aumentati del 61% rispetto all’anno precedente.

🏦 Oltre il 70% delle truffe finanziarie iniziano con un’email di phishing (dati ENISA).

👥 Le vittime più colpite sono utenti aziendali che lavorano in ambienti stressanti e ricevono centinaia di email al giorno.

Questi numeri dimostrano che non si tratta più di email sgrammaticate e facilmente riconoscibili, ma di messaggi spesso indistinguibili da quelli legittimi, progettati per colpire in momenti di distrazione.

Come proteggersi dal phishing

Ecco alcune misure preventive efficaci:

✅ Filtri Antispam e Antimalware
✅ Autenticazione DNS (SPF, DKIM, DMARC)
✅ Multi-Factor Authentication (MFA) per proteggere gli account
✅ Formazione sulla Sicurezza per riconoscere le minacce
✅ Verificare sempre i link passando il mouse sopra di essi

Proteggi la tua azienda dagli attacchi informatici! Se hai trovato utile questa analisi sul phishing, approfondisci le tue conoscenze e impara come difendere la tua rete con il Corso Blue Team di Nexsys. Scopri le tecniche di difesa avanzate e le best practices per rispondere agli attacchi informatici. Iscriviti al corso Blue Team ora!