Il Phishing-as-a-Service è in voga tra gli esponenti del cyber crime: se ne servono per prendere di mira i brand tecnologici più importanti. Lo rivela il report “State of the Internet security – Phishing: Baiting the hook” rilasciato oggi da Akamai, provider globale di servizi informatici per le aziende.
Tra i dati che emergono dal rapporto, colpisce che il 42,63% dei domini tenuti d’occhio avevano come obiettivo big come PayPal, DHL, Microsoft e Dropbox.
Indice degli argomenti
Il report Akamai
Il rapporto Akamai 2019 descrive come i criminali informatici stiano prendendo di mira i più importanti brand e i loro utenti tramite operazioni di kit di phishing altamente organizzate e sofisticate. L’analisi rileva 6.035 domini e 120 varianti di kit utilizzate contro le aziende tecnologiche durante il periodo di riferimento.
Anche l’e-commerce (1.979 domini, 19 varianti di kit) e i media (650 domini, 19 varianti di kit) hanno subito attacchi pesanti. Il rapporto di Akamai ha anche dettagliato un progetto di ricerca di uno sviluppatore di kit di phishing che ha offerto tre tipi di kit con tecniche di evasione avanzate, opzioni di progettazione e geo-targeting. Prezzi bassi e obiettivi di marca di alto livello nei kit creano ingressi interessanti e a bassa barriera nel mercato del phishing.
Le sfide del Phishing-as-a-Service
Il Phishing-as-a-Service è una forma inclusiva di criminalità informatica, che potenzialmente apre la porta a tutti. Ora, anche un principiante può avere la propria campagna di phishing. Infatti, uno degli ostacoli all’ingresso nel mondo del crimine informatico è stato a livello tecnico. In passato, era necessario creare la propria truffa, dalla codifica (incluso lo sviluppo di malware) all’hosting delle pagine di destinazione dello spoof e alla vendita dei dati raccolti come parte del phishing.
I passaggi coinvolti hanno comportato un processo piuttosto lento, accurato e intenso che ha comportato:
- progettare la truffa stessa: questo include l’identificazione degli obiettivi, l’elaborazione delle migliori marche da falsificare, la decisione su come funzionerà il ciclo di phishing (link? Allegati?), cosa farai con i dati raccolti e così via;
- progettazione e sviluppo di e-mail di phishing: compresa la configurazione di server e-mail, la scrittura di contenuti, la creazione di collegamenti o allegati dannosi;
- creazione del sito web di spoofing: il phishing spesso comporta l’inganno di una persona per rivelare dettagli come dati personali o informazioni finanziarie. Potrebbe anche essere necessaria una pagina di accesso contraffatta per raccogliere le credenziali di autenticazione;
- consumo e utilizzo dei dati raccolti: la fase finale, in cui si individua cosa fare con i dati phishing, se vendere tramite un marketplace darknet o un gruppo di app di messaggistica oppure servirsene per dirottare un account.
Il Phishing-as-a-Service è quindi un punto di svolta nel mondo del crimine informatico perché rimuove una serie di passaggi di cui sopra, in particolare quelli difficili come l’hosting e il design. L’apprendista criminale informatico non dovrà più violare i siti web per ospitare le loro pagine di destinazione dannose.
Utilizzando un’opzione di phishing come servizio già pronta, il crimine informatico diventa accessibile a tutti.
Come funziona il Phishing-as-a-Service
Esiste un mix di kit di phishing da singoli strumenti a campagne completamente orchestrate, disponibili per l’affitto sul darknet. È quest’ultima categoria che viene utilizzata per le offerte di phishing come servizio a tutti gli effetti. I prezzi dei servizi e dei kit, a partire da circa 50 dollari per un semplice download di kit una tantum. I servizi di phishing più complicati, come il Phishing-as-a-Service, prevedono prezzi da 50 a 80 dollari al mese per il noleggio. Cyren ha identificato 5.334 nuovi e unici prodotti di phishing in vendita nella prima metà del 2019.
Il Phishing-as-a-Service funziona generalmente come modello di abbonamento, in modo simile al noleggio di qualsiasi altro servizio online come lo streaming TV. Questo modello consente agli utenti inesperti di utilizzare strumenti di phishing professionali a un prezzo accessibile.
Chiunque desideri acquistare gli strumenti andrà in un marketplace (su darknet) che li offre come prodotti confezionati, più o meno allo stesso modo di qualsiasi altro sito di e-commerce. Si può scegliere tra diverse varianti di prodotto, aggiungerle al carrello e pagare.
I consigli per difendersi
Il modo migliore per proteggersi dagli attacchi di phishing è non cliccare mai su alcun collegamento o aprire alcun allegato. Ma questo consiglio non è realistico per la maggior parte delle persone. Gli attacchi di phishing che utilizzano malware spesso si basano su bug del software per attirare il malware stesso sul proprio computer.
Di solito, una volta che viene rilevato un bug, un produttore di software rilascerà un aggiornamento per risolverlo. Ciò significa che i software più vecchi hanno più bug noti pubblicamente che potrebbero essere utilizzati per aiutare a installare malware.
Mantenere aggiornato il software riduce i rischi di malware e risulta un consiglio realistico e spesso efficace.
