Minacce “sempreverdi” del panorama della sicurezza informatica perché continuamente sfruttate dai criminali digitali per garantire il successo delle proprie attività illecita sono il phishing e lo scam e i criminali informatici le sfruttano per rubare informazioni riservate e sensibili attraverso la posta elettronica.
In particolare, i criminali sono certi di poter manipolare le potenziali vittime facendo loro credere che queste comunicazioni contraffatte siano reali, e indurle a scaricare software dannoso, inviare denaro o divulgare informazioni personali, finanziarie o altre informazioni sensibili. Vediamo nel dettaglio di cosa si tratta, cosa fare e soprattutto come prevenire questi accadimenti.
Indice degli argomenti
Identikit del phishing e dello scam
Il phishing è una tecnica per tentare di acquisire dati sensibili, come numeri di conto bancario, tramite una sollecitazione fraudolenta a mezzo di e-mail o tramite un sito Web, in cui l’autore del reato si traveste da azienda legittima o persona rispettabile (fonte: NIST). Le caratteristiche del phishing possono essere riassunte evidenziando:
- veicolo principale è la mail: il phishing si manifesta in forma di messaggio che sembra provenire da qualcuno che si conosce e che chiede di cliccare su un link oppure fornire la password o altre informazioni sensibili o riservate;
- sembra reale: è facile falsificare loghi e creare indirizzi e-mail falsi. Gli hacker cercano d’impersonare persone note e/o conosciute dalle potenziali vittime perché operanti presso clienti o fornitori simulando la loro mail aziendale.
- ha carattere di urgenza: il messaggio incita ad agire subito per evitare ritardi o penali.
- contiene un link fraudolento: il messaggio ospita sempre un link che se selezionato, installa automaticamente un ransomware o un malware capace di proliferare e moltiplicarsi nella rete della vittima o dell’azienda a cui appartiene con il fine ultimo di rubare credenziali, scalare privilegi, bloccare dati o sottrarli per chiedere un riscatto.
Lo scam è invece una truffa che si manifesta con uno schema disonesto e/o fraudolento sempre per sottrarre denaro o qualcosa di valore alle persone. È un trucco che tenta di sfruttare la fiducia della vittima.
In ambito informatico si manifesta quando il malintenzionato digitale fa uso di marchi e di brand noti per adescare la vittima e indurla all’errore con l’inganno. I truffatori potrebbero impersonare un’azienda tecnologica, come ad esempio Microsoft o altre. In queste mail vengono usati molti termini tecnici per persuadere che sono presenti reali problemi per il computer della vittima designata.
Tipicamente viene richiesto di aprire alcuni file o eseguire una scansione sul computer attraverso un link. A volte viene richiesto l’accesso remoto al computer per procedere con la risoluzione del problema, ma è proprio a questo punto che gli hacker possono accedere a tutte le informazioni nel PC e connettersi a tutte le reti collegate. Successivamente viene installato il malware che consenta l’accesso illecito ai criminali sia al computer sia ai dati sensibili in qualsiasi momento.
Ulteriori azioni malevole che vengono effettuate consistono nel chiedere i dati della carta di credito per servizi fasulli, oppure indirizzare verso siti Web al fine di far inserire informazioni personali, bancarie o di pagamento.
Come anticipato, un brand particolarmente sfruttato è Microsoft in relazione agli strumenti di Office, le cui macro sono spesso oggetto di attacchi di scam. L’uso dannoso dei documenti Microsoft si verifica così frequentemente che una delle tecniche principali utilizzate dagli hacker per il loro sfruttamento è stata ribattezzata “maldocs”.
Ogni giorno vengono scambiate migliaia di e-mail con questo tipo di documenti allegati: negli ultimi 30 giorni, in Italia, il 78% dei file malevoli è stato consegnato via e-mail di cui il 53% era un file “.pdf” (fonte: Check Point Software).
Il successo di questa tecnica deriva dal fatto che il più delle volte gli utenti non si interrogano sulla provenienza delle e-mail e degli allegati, il che facilita il lavoro agli aggressori. Nonostante Microsoft abbia riconosciuto il problema più volte, l’uso malevolo delle macro e delle vulnerabilità di Office è diventato sempre più diffuso nel corso degli anni. L’analisi dei ricercatori di CPS ha rilevato una percentuale pari al 61% per cento di tutti i payload malevoli allegati alle e-mail, fino a gennaio 2022, era composta da vari tipi di documenti come xlsx, xlsm, docx, doc, ppt, e altri. Gli ultimi dati di ThreatCloud mostrano che i soli file Excel costituiscono il 49% di tutti i file malevoli ricevuti via e-mail.
Andrea Toneguzzi di Brainwise spiega che il motivo per cui nonostante i ripetuti richiami a far attenzione, il phishing e lo scam continuano a mietere così tante vittime, risiede negli aspetti variegati e mutevoli che accrescono la possibilità di caderne vittima.
Il cyber crimine è sempre più organizzato e strutturato con logiche di business developement tali, da rendere le truffe sempre più sofisticate e difficili da individuare, come ad esempio con messaggi personalizzati e contestualizzati alle attività lavorative che si stanno svolgendo in quel momento.
Gli utenti invece sono sempre più pressati da attività frenetiche e frammentate, che portano a lavorare in modo reattivo ed estremamente rapido, dove risulta fondamentale processare velocemente ogni richiesta, spesso senza la possibilità di entrare nel merito e comprendere se sia corretta.
Un ulteriore elemento che accentua il rischio è la mancanza di processi documentati e diffusi a tutti i livelli dell’azienda, che rende difficile comprendere se quello che si sta facendo è corretto o contrario alle policy.
Ultimo elemento, ma non meno importante in termini di impatto, è la sicurezza psicologica degli utenti, che spesso evitano di segnalare dubbi o peggio azioni errate, perché temono di essere giudicati o puniti e quindi “nascondono” il fatto nella speranza che nessuno se ne accorga, quando invece la tempestività d’intervento costituirebbe la protezione più importante.
Come difendersi e prevenire le minacce
In caso di situazioni assimilabili a un attacco di phishing o di scam è importante attuare alcune azioni:
- controllare la provenienza: assicurarsi che il messaggio arrivi dall’azienda del Brand che appare nella mail, ovvero controllare ae proprietà dell’indirizzo di posta del mittente e verificare se il dominio da cui è stata inviata sia effettivamente quello che compare nell’e-mail;
- informare e confrontarsi con il supporto IT: il supporto IT informato dell’accadimento può aiutare la potenziale vittima per capire se la richiesta sia reale o se sia un tentativo di phishing. Può anche rendersi conto se la mail faccia parte di una campagna più ampia se altri colleghi segnalano o riportano la medesima situazione;
- ricontattare il mittente da un diverso canale: per dipanare il lecito dubbio si può provare a chiamare il mittente al telefono, utilizzando il numero dell’azienda e non quello proposto in firma o nell’e-mail;
- limitare il danno: è opportuno modifica immediatamente le password compromesse e disconnettere dalla rete qualsiasi computer o dispositivo infetto da malware;
- informare la supply chain: Se le policy aziendali lo prevedono è importante notificare a fornitori o ai partner dedicati questi accadimenti per limiate danni collaterali o l’estensione della minaccia;
- condividere con le parti interessate: In caso di compromissione di dati personali o di dati aziendali oltre all’avvio di controlli sull’intera rete per rilevare eventuali intrusioni, dovrebbero essere informate le parti interessate, anche se si tratta di clienti per avviare insieme una forma di tutela condivisa ed efficace. Un controllo obbligato riguarda anche l’infrastruttura di Backup per verificare eventuali compromissioni.
La prevenzione migliore da attuare
A titolo preventivo è consigliabile utilizzare password univoche per ogni account e servizio o l’utilizzo di un gestore di password centralizzato, come anche di un anti-malware affidabile da mantenere sempre aggiornato. Periodicamente si consiglia di avviare controlli sui propri dispositivi per eliminare tutto ciò che l’anti-malware segnala come problematico.
Riguardo all’infrastruttura di backup è necessario verificare la validità ed efficacia delle ultime porzioni di dati salvati siano essi back up incrementali o completi per capire se siano già stati violati o “avvelenati” da malware “dormiente”. Fra tutte le tipologie di utenti vis sono quelli più esperti digitalmente e coloro che meno avvezzi alle prassi digitali, non sanno bene come procedere.
In questo ambito Andrea Toneguzzi chiarisce che: “al giorno d’oggi tutti gli utenti dispongono di una conoscenza d’uso del digitale almeno minima, ma quello che si dovrebbe sviluppare ulteriormente, oltre agli strumenti tecnologici di protezione, è una cultura diffusa della sicurezza. Su questo tema anche i governi si stanno muovendo, con eccellenti esempi da parte degli USA attraverso iniziative di alfabetizzazione della security e guida per le PMI, e soprattutto da parte dell’Inghilterra che ha sviluppato varie iniziative per le microaziende e per l’utente privato. Anche l’Unione Europea ha avviato piani per il miglioramento della sicurezza e per la sensibilizzazione degli utenti e sta predisponendo una linea guida e certificazione per le aziende per stabilire un livello minimo di sicurezza IT comune a tutta l’UE, dato che è riconosciuta la correlazione tra sicurezza IT e continuità di Business, con conseguente impatto potenziale nel benessere dei cittadini”.
Sebbene prassi di formazione e aumento della consapevolezza, possano essere praticate, risultano ancora insufficienti se paragonate alla furbizia dei criminali: “il cybercrime non è più un tema di hacker o soggetti isolati che cercano di rubare qualcosa, ora siamo in presenza di gruppi criminali estremamente strutturati ed organizzati, che hanno applicato modelli e metodologie di Business Developement mutuati dall’industria e dispongono di capacità d’investimento impressionante. Senza contare che queste organizzazioni sono spesso manovrate da stati nazionali. Di fronte a questo scenario è chiaro che la consapevolezza data dalla formazione è una base fondamentale per gestire il rischio, ma sottolineo nuovamente la necessità di creare un nuovo contesto all’interno delle aziende, dove la sicurezza psicologica dei dipendenti deve diventare la base comune per fare squadra ed affrontare quella che a tutti gli effetti può essere classificata come guerra, non tanto per creare inutile ansia o allarmismo, quanto per affrontare una sfida che può rappresentare la sopravvivenza o meno della singola azienda a prescindere da quanto florida possa essere”.
Contributo editoriale sviluppato in collaborazione con Brainwise
