Lo spear phishing è una particolare tipologia di truffa, con la quale i cybercriminali spingono le vittime a rivelare informazioni sensibili. I truffatori ottengono l’accesso ai dati attraverso link o allegati malevoli, che, se aperti, installano dei malware nel pc della vittima.
Si distingue dal generico phishing a causa della natura mirata dell’attacco. Infatti, questi attacchi corrispondono all’invio di messaggi molto personalizzati, confezionati appositamente per una persona avvalendosi delle informazioni della vittima disponibili online.
Più le mail sono ricche di dettagli, più risultano credibili agli occhi delle vittime.
Mail scritte su misura
Le mail, quindi, vengono scritte su misura per ogni vittima. Chi attacca potrebbe fingersi un sostenitore di una causa condivisa, oppure spacciarsi per qualcuno che la vittima conosce; o ancora, utilizzare tecniche di social engineering.
Un esempio potrebbe essere qualcosa del tipo:
Ciao Paola! Vista la tua gran passione per i vini rossi di annata, non dovresti assolutamente perdere la fiera del vino di questo weekend a cui parteciperà anche Anna.
Nel messaggio ci sarà il link falsificato o compromesso del sito web della “fiera del vino”.
Phishing e spear phishing: quali sono le differenze
Sia il phishing che lo spear phishing hanno l’obiettivo di spingere le vittime a rivelare le proprie informazioni sensibili. Il secondo, però, richiede più sforzo da parte dei truffatori, dato che per creare una mail credibile dovranno fare accurate ricerche su una vittima.
Le campagne di phishing, invece, non hanno obiettivi specifici. I truffatori potrebbero infatti creare una mail molto generica da parte di PayPal, per esempio, senza sapere se l’utente abbia o meno un account PayPal.
Lo spoofing
Durante una campagna di phishing, un truffatore invierà molte mail ad una lunga lista di indirizzi, sapendo che soltanto una piccola parte degli utenti cadrà vittima nella trappola. Il dominio utilizzato per inviare i messaggi sembra molto simile a quello ufficiale dell’azienda per la quale si spacciano i cybercriminali.
Un attacco phishing potrebbe basarsi sullo spoofing (email finte). I server mail, infatti, vengono utilizzati per manipolare il dominio del mittente per far apparire la mail come proveniente dal sito vero e proprio.
Oggi lo spoofing è meno pericoloso, perché è stato concepito il DMARC (Domain-based Message Authentication, Reporting & Conformance) che rileva e blocca questo tipo di mail.
Aggirare le misure di sicurezza
Le vittime degli attacchi di spear phishing potrebbero effettuare bonifici molto alti intestati ai criminali o divulgare le credenziali di accesso per la rete aziendale.
Adottare l’autenticazione a due fattori e/o sistemi di rilevamento delle intrusioni si rivela molto utile per contenere i danni di queste operazioni criminali. Tuttavia, potrebbero subentrare anche metodi che aggirano queste misure di sicurezza, come l’installazione di malware sulla rete aziendale e l’utilizzo di credenziali rubate per esfiltrare i dati (data breach).
I criminali, una volta in possesso delle credenziali di accesso, possono anche decidere di mantenere la loro presenza sulla rete della vittima per mesi, prima di essere finalmente scoperti. Quando la compromissione esce allo scoperto, l’azienda dovrà correre ai ripari e risanare la vulnerabilità.
Iscriviti al canale Telegram di Servicematica
Notizie, aggiornamenti ed interruzioni. Tutto in tempo reale.
Brand noti che generano fiducia
Mai sottovalutare il rischio di diventare vittima di spear phishing soltanto perché pensate che la vostra azienda sia troppo piccola per ricevere questo tipo di attenzioni. I cybercriminali sanno benissimo che le aziende più piccole hanno anche risorse limitate da investire per la sicurezza informatica. Proprio per questo sono facilmente prese di mira.
Di solito vengono utilizzati nomi di brand noti, che generano fiducia nelle vittime, come PayPal, Google, Amazon e Microsoft. Per esempio, alcuni attacchi phishing sfruttano il nome di Google e Microsoft per informare i clienti che hanno vinto dei soldi da loro, e che per ricevere quei soldi dovranno inviare un piccolo anticipo per coprire i costi della spedizione.
Google di solito filtra molto bene questi messaggi, ma capita che gli utenti se li ritrovino lo stesso sulla propria mail. Questi messaggi, in una rete aziendale, dovrebbero essere messi immediatamente in quarantena.
Esempi di spear phishing
Vediamo insieme alcuni esempi di spear phishing:
- Un finto cliente insoddisfatto si lamenta di un recente acquisto. Il truffatore invita la vittima ad aprire un link che riporta ad un sito malevolo identico in tutto e per tutto a quello dell’azienda, dove il dipendente inserirà le proprie credenziali di accesso;
- Una mail o un sms vi avvisa che il conto in banca è stato compromesso. Per rimediare bisogna cliccare un link che collega alla finta pagina della banca dove inserire le proprie credenziali;
- Un finto fornitore informa la vittima del fatto il suo account sta per essere disattivato oppure è in scadenza. Dunque, per mantenerlo attivo sarà necessario cliccare sul link fornito;
- Un chiaro tentativo di spear phishing sono le richieste di inviare o donare denaro a qualche gruppo o ente;
- Prima di pagare una fattura, assicuratevi che sia dovuta. I truffatori infatti utilizzano il nome di aziende vere e proprie, con tanto di partita IVA falsa per ingannare la vittima.
La sicurezza parte dalle persone
I casi riportati di spear phishing e di phishing, dal 2020, sono aumentati tantissimo. Circa il 74% delle aziende americane ha subito un attacco phishing, e il 96% degli attacchi sono stati realizzati via mail.
Alla fine, la cosa fondamentale è adottare una strategia di sicurezza che si basa sulle persone. Bisogna, infatti, considerare il rischio individuale che rappresenta ogni singolo utente per la sicurezza della vostra azienda. Provate a capire in che modo un dipendente potrebbe essere preso di mira, in base a quali dati di accesso ha a sua disposizione o se è già stato vittima di truffe simili in passato.
La formazione dei vostri dipendenti è indispensabile: devono essere in grado di segnalare e individuare email sospette. Una formazione regolare, accompagnata anche dalla simulazione degli attacchi di phishing, potrebbe fermare molti attacchi veri e propri.
——————————–
LEGGI ANCHE:
