Con il termine spoofing si identifica in ambito informatico un’ampia gamma di attacchi in cui un attore malevolo prevede di nascondere la propria identità fingendo di essere una fonte affidabile per ottenere accesso a informazioni riservate e dati sensibili, aggirando per l’impersonificazione ad esempio le regole di autenticazione basate su indirizzi IP e nomi host.
Indice degli argomenti
Come funziona lo spoofing
Qualunque sia il tipo di strategia adottata, tutte le forme di spoofing hanno un comune denominatore: sfruttare la fiducia per carpire o manipolare dati, rubare denaro, eludere i controlli di accesso alle reti e diffondere malware tramite link e allegati malevoli.
Fingendo di essere un’entità fidata, infatti, un attaccante potrebbe ingannare sia un operatore umano che un dispositivo (client/server).
In un tipico schema di attacco l’attore malevolo:
- identifica la vittima o il gruppo di vittime da colpire;
- procede con l’analisi del dominio o della rete target;
- procede a sferrare un primo tentativo di attacco.
Spoofing: metodi e tipologie di attacchi
Diverse le strategie e le tecniche che possono essere impiegate per un attacco di spoofing. Eccone alcune tra le più note e adoperate:
Web site spoofing
In un attacco di spoofing del sito web, il criminale prova a dare un aspetto credibile a un sito web ingannevole. In genere, questo tipo di attacchi consiste nel creare una replica più o meno verosimile di un sito reale (utilizzando un layout con font, colori, loghi apparentemente autentici) con l’intenzione di convincere gli utenti a inserire credenziali, dati di carte di credito e di accesso.
Per rendere ancora più efficace una impersonificazione del genere si possono camuffare ad arte gli URL.
Allo scopo si può impiegare il cosiddetto typosquatting registrando un nome dominio sostituendo delle lettere con dei numeri rispetto al nome del sito che si vuole impersonare (il nome di Google potrebbe essere impersonato sostituendo le lettere “o” con degli zeri, ad esempio G00gle, o la lettera elle “l” con il numero 1, ad esempio Goog1e) oppure semplicemente cambiando il dominio di primo livello (ad esempio impersonando nomesitolegittimo.com con il dominio nomesitolegittimo.net).
Poiché le persone possono facilmente sbagliare nel digitare l’URL di un nome di dominio affidabile, i truffatori sfruttano proprio questo errore comune per ingannare gli utenti e far credere loro di essere finiti sul sito web legittimo.
E-mail Spoofing
In un attacco di questo genere, ad essere impersonati sono gli indirizzi di posta elettronica in cui l’attaccante invia messaggi provenienti da indirizzi falsi con l’obiettivo di distribuire malware o rubare dati tramite phishing.
L’indirizzo falso potrebbe assomigliare a quello di uno dei contatti della vittima. Anche per impersonare un indirizzo di posta elettronica, si potrebbe cambiare una lettera o un numero in modo che la differenza sia minima e difficile da notare rispetto all’indirizzo originale oppure si potrebbe utilizzare semplicemente un alias coincidente con il nome esatto di un determinato contatto.
Spoofing dell’ID chiamante
L’ID chiamante consente al destinatario di una telefonata di vedere l’identità del chiamante. In un attacco di caller ID spoofing, gli attaccanti spesso utilizzano la tecnologia VoIP per personalizzare più facilmente un numero di telefono e creare un ID chiamante ad hoc per ingannare la fiducia di chi risponde e avviare una truffa telefonica (vishing).
Spoofing degli SMS
Anche lo spoofing degli SMS consiste nell’invio di SMS (Short Message Service) il cui l’identità del mittente è falsa.
A tal fine, l’attaccante potrebbe impersonare l’ID chiamante alfanumerico di un contatto o di un ente e inviare un sms a loro nome, ad esempio con un link che dirotta verso un sito di phishing (a tema delivery, home banking) o che innesca il download di un malware.
IP spoofing
In un attacco di spoofing dell’IP, l’attaccante cerca di nascondere l’identità di un client/server facendo credere che le informazioni inviate/ricevute provengano da una fonte affidabile (impersonando l’indirizzo IP di un host).
Spoofing del server DNS
Questa tipologia di attacco permette di dirottare il traffico dati verso destinazioni diverse da quelle richieste dal browser della vittima.
In questo tipo di spoofing l’attaccante può compromettere un server DNS (Domain Name Service) alterando le tabelle degli indirizzi dei nomi.
In tal modo le manomissioni trascritte nei database di traduzione sul server DNS, potrebbero restituire a un PC, richiedente una ricerca, un reindirizzamento verso un sito fraudolento.
ARP Spoofing
In questo caso un utente malintenzionato invia messaggi ARP (Address Resolution Protocol) contraffatti su una rete locale (l’ARP spoofing richiede che l’attaccante abbia accesso diretto alla rete locale da attaccare) con l’obiettivo di associare il proprio indirizzo hardware MAC con l’indirizzo IP di un altro host (ad esempio, il gateway predefinito) facendo in modo che tutto il traffico destinato a quell’indirizzo IP venga invece dirottato.
I pacchetti provenienti dal target vengono quindi instradati all’indirizzo hardware dell’attaccante spacciato come appartenente ad una delle macchine fidate.
Come difendersi dallo spoofing
Gli attacchi spoofing essendo talvolta molto subdoli richiedono sempre una maggiore attenzione per difendersi efficacemente. Lo spoofing risulta essere ancora più efficace se impiegato in particolar modo in attacchi mirati sfruttando anche il social engineering e la scarsa attenzione prestata da molti utenti.
Per tutti questi motivi oltre ad evitare configurazioni/impostazioni di rete errate alcune delle misure precauzionali da adottare potrebbero essere quelle di:
- attivare il filtro antispam;
- verificare le la veridicità delle informazioni contenute nei messaggi cercando di contattare il presunto mittente tramite altro canale fidato;
- non rispondere a e-mail o chiamate di mittenti sconosciuti;
- impostare quando possibile l’autenticazione a due fattori;
- installare un programma di sicurezza completo da tenere sempre aggiornato;
- non aprire link o allegati sospetti;
- evitare di condividere informazioni personali e riservate;
- usare password diverse per servizi diversi, aiutandosi in caso con un buon password manager, limitando in tal modo i danni qualora uno dei nostri account sia stato violato.
In ogni modo, qualora si ritenga di essere vittima di una qualsiasi forma di attacco informatico, occorre sempre denunciare l’evento alla polizia postale di pertinenza per dare corso alle indagini e soprattutto evitare quanto prima che i responsabili possano continuare a perpetrare l’attività illecita coinvolgendo ancora altre vittime.
