Il Phishing: la truffa online più comune

Il mondo delle truffe informatiche si sta evolvendo, e non in meglio. Gli hacker stanno affinando le loro tecniche e risulta sempre più importante la sicurezza informatica per gli utenti, per riuscire a prevenire e a proteggersi da questi attacchi. Il phishing è sicuramente una delle truffe online più comune, diffusa sia tra gli utenti privati che tra le aziende.

Ma di cosa si tratta precisamente?

Il phishing è una tipologia di frode realizzata attraverso la rete Internet o la rete telefonica in cui i truffatori si fingono siti web o aziende conosciute e il messaggio contenuto vi inviterà a cliccare su un link o a fornire dati personali, come le credenziali per un sito o le coordinate bancarie.

Il phishing è molto diffuso perché per gli hacker risulta molto più semplice mandare un semplice messaggio ingannevole che provare a violare le difese di un sistema informatico, e questo è ancora più diffuso nelle aziende dove la sicurezza informatica è implementata a un livello superiore. La maggior parte dei tentativi malevoli vengono filtrati dalla posta elettronica e indirizzati nella cartella spam, ma alcuni riescono ad aggirare la sicurezza del pc ed arrivare tra i messaggi comuni, e c’è da dirlo: questi sono i più ingannevoli.

Etimologia e storia del phishing

Il termine phishing deriva dalla parola inglese “fishing”, ovvero pescare, e allude all’attività dei truffatori di lanciare delle esce per “pescare” le vittime. Si pensa che sia stata influenzata dal termine “phreaking”, che indica l’attività di chi cerca falle nei sistemi telefonici per farne un uso improprio.

I primi attacchi di phishing, così come lo conosciamo oggi, hanno avuto inizio a metà degli anni ’90 ai danni degli utenti di American On Line (AOL), il primo Internet Service Provider degli USA. Il servizio era a pagamento e così, un gruppo di hacker chiamato Warez, si finsero dipendenti di AOL e chiesero per messaggio agli utenti di verificare i loro account inserendo i propri dati. Fu così che avvenne il primo attacco phishing della storia, il cui unico fine era di navigare gratuitamente su internet.

Agli inizi del 2000 l’attenzione degli hacker si sposta verso i sistemi di pagamento online, e così attaccavano clienti di istituti bancari, account Ebay e PayPal, invitandoli semplicemente ad aggiornare i dati delle loro carte di credito.

Con gli anni si sono formate delle enormi campagne di phishing, grazie alla diffusione di software pronti all’uso venduti sul mercato nero, e nel 2013 vennero rubati 110 milioni di record di clienti e carte di credito ai clienti Target, attraverso l’account di un subappaltatore in mano a degli hacker.

Come funziona il phishing

La maggior parte degli attacchi di phishing avvengono attraverso e-mail (90%), messaggio sui social network, sullo smartphone o anche tramite chiamata. A volte questi messaggi possono essere personalizzati, infatti i truffatori raccolgono informazioni sulle proprie vittime, come il nome, il lavoro e gli interessi, attraverso il web e i social network, attività che al giorno d’oggi è veramente semplice per chiunque.

Una volta che gli aggressori conoscono tutto su di noi, viene inviato il messaggio. Questo sembra inviato da un’azienda nota, come un sito a cui siamo iscritti o un’applicazione che abbiamo scaricato, oppure da un contatto di nostra conoscenza. Le somiglianze possono presentarsi sia a livello grafico, come loghi e immagini, che a livello tecnico, alterando l’indirizzo del mittente così da risultare lecito.

All’interno del messaggio possono essere richieste di compiere diverse azioni, solitamente attraverso un link, a seconda del fine dell’hacker. Le più comuni sono:

• Aggiornare una password

• Accettare il cambiamento delle condizioni contrattuali inserendo le proprie credenziali

• Aggiornare i dati della carta di pagamento

• Mancata o incompleta presenza di informazioni di un account

• Problemi riguardanti pagamenti, come accrediti o trasferimenti di denaro

Un altro modus operandi è quello di allegare un documento al messaggio, ma questo in realtà è un’immagine incorporata che se cliccata riporta l’utente su un’altra pagina, attraverso cui l’hacker può aver accesso alle vostre credenziali o installare un virus.

Tipologie di attacchi di phishing

Il phishing può non avvenire solamente come descritto prima, ma con il tempo si sono sviluppate diverse tecniche ai quali è stato attribuito un nome. Vediamo quali sono.

Deceptive phishing o phishing ingannevole

È la forma più come di phishing, cioè quella descritta prima, da cui trae origine. Consiste nell’invio casuale e massivo di e-mail a moltissimi utenti, dove questa sembra provenire da un mittente legittimo. Viene chiamato così perché l’utente, sia per ingenuità che per curiosità, clicca sul link o sull’allegato presente che riporta ad una pagina creata ad hoc dall’hacker (molte volte è uguale a quella dell’azienda di cui si pensa di aver ricevuto il messaggio) e l’intento è di ottenere un vantaggio economico.

Spear phishing

Si tratta di un attacco non massivo, ma rivolto solo a un individuo. Il phisher raccoglie quante più informazioni possibili, solitamente su internet, al fine di redigere un messaggio personalizzato che risulti credibile. Moltissimi di questi attacchi sono rivolti a dipendenti specifici di aziende e organizzazioni, per esempio a un dipendente arriva una e-mail da parte di un suo responsabile dove viene richiesto di autorizzare un pagamento.

Whaling phishing

Prende di mira i dirigenti delle aziende e chiunque abbia un ruolo chiave all’interno di questa. L’obiettivo dei truffatori può essere, oltre che appropriarsi di somme di denaro, quello di ottenere informazioni sensibili per venderle a qualche competitor o qualche nemico dell’organizzazione.

Clone phishing

Consiste nel modificare o “clonare” una mail legittima di un’azienda, sostituendo il link o l’allegato che reindirizzano al sito dannoso. Può accadere spesso quando gli hacker assumono il controllo delle risorse di un’altra vittima, così da rendere il messaggio molto credibile.

Vishing o phishing vocale

È una chiamata telefonica effettuata dal truffatore, sia automatizzata o registrata che fatta direttamente da lui, che si finge una compagnia telefonica, una banca, un fornitore di energia e vi spinge a rivelare informazioni personali. In Italia si stanno riscontrando molti casi, in quanto può essere molto prolifico per questi criminali dal momento che si possono raggiungere tutti gli utenti in maniera facile.

Smishing o sms phishing

È un comune sms, spesso contente un link, che sembra arrivare da una banca, da un gestore telefonico o anche un corriere, e lo scopo è, come sempre, sottrarre informazioni personali.

Come proteggersi dagli attacchi di phishing

L’arma migliore a disposizione di chiunque è la consapevolezza, è necessario informarsi e tenersi aggiornati in tema di crimini informatici. Si possono leggere articoli oppure frequentare un corso di sicurezza informatica, fondamentale per i dipendenti di aziende che ogni giorno trattano dati sensibili.

A livello tecnico è possibili eseguire una serie di operazioni per prevenire l’arrivo di messaggi sospetti:

• Installare un buon programma di antivirus

• Connettersi solo a reti sicure quando si accede a dati sensibili. Per una maggiore protezione è possibile installare un servizio di VPN

• Installare un filtro antispam esterno. I provider di posta elettronica lo forniscono automaticamente, ma spesso non è sufficiente, quindi potrebbe essere una buona idea installarne uno esterno

• Non diffondere il proprio indirizzo mail. Non è necessario iscriversi a tutte le newsletter e a tutti i siti, meno persone saranno a conoscenza del vostro indirizzo mail più sarete al sicuro

Se nonostante le precauzioni arriva lo stesso un messaggio di phishing

Cosa si può fare? Se non cadiamo nella truffa, va comunque subito segnalato. In quasi tutti i servizi di posta elettronica è possibile segnalarla come phishing, altrimenti va segnalato come spam.

Riconoscere una e-mail di phishing

Come detto in precedenza, il 90% dei tentativi di phishing avviene tramite e-mail e non tutti vengono filtrati in automatico dal sistema di sicurezza, per questo è fondamentale saperli riconoscere. Per quanto esperti possano essere i truffatori c’è quasi sempre qualcosa che possiamo fare per capire se si tratta di phishing o meno, ecco le migliori soluzioni:

• Il messaggio è inviato spesso da account gmail comune e non con un indirizzo aziendale

• Viene richiesto di verificare informazioni personali o aggiornare dati direttamente dal messaggio. Solitamente le aziende e gli istituti finanziari fanno eseguire queste operazioni attraverso i propri portali

• Il messaggio potrebbe non essere indirizzato direttamente a voi ma presenta, per esempio, un saluto generale senza nominativo

• Sono presenti errori ortografici o di struttura, sia nel testo della mail che nell’URL

• L’URL è sospetto, non porta al sito originale dell’azienda impersonata

• Il messaggio ha un tono allarmante e induce ad eseguire immediatamente le operazioni

Se ormai è troppo tardi e siamo caduti nella truffa

Se ormai è troppo tardi e siamo caduti nella truffa. Ecco cosa possiamo fare

1. Segnarsi tutti i dati che sono stati forniti
2. Cambiare la password dell’account coinvolto, ed effettuare l’autenticazione a più fattori se è possibile
3. Contattare gli enti e le organizzazioni coinvolte, come la banca o il sito web
4. Fare la denuncia alla polizia postale. È possibile effettuarla anche online attraverso il loro sito internet

Corsi di sicurezza informatica a Verona

Nexsys è un’azienda informatica con sede a Verona che offre diversi corsi sia per utenti che per tecnici. Il corso di sicurezza informatica tratta i temi di security awareness e insegna agli utenti a porre la giusta attenzione anche alle operazioni più semplici.

Il corso, della durata di mezza giornata, è rivolto a utenti privati e aziende che intendono formare il proprio personale ed è possibile frequentarlo direttamente nella sede della vostra azienda oppure online. Scopri il programma del corso e contattaci subito per prenotarlo chiamando il numero 0452456669.