Allora, cos'è il phishing?
Il phishing è un tipo di crimine informatico che tenta di indurre le vittime a divulgare informazioni sensibili tramite e-mail, chiamate e/o messaggi di testo fraudolenti.
I criminali informatici spesso tentano di utilizzare l'ingegneria sociale per convincere la vittima a divulgare informazioni personali presentandosi come una persona affidabile al fine di effettuare una richiesta ragionevole di informazioni sensibili.
Esistono diversi tipi di phishing?
Spear Phishing
Lo spear phishing è simile al phishing generale in quanto prende di mira informazioni riservate, ma lo spear phishing è molto più mirato a una vittima specifica. Cercano di estrarre la maggior parte delle informazioni da una persona. Gli attacchi di spear phishing tentano di indirizzare in modo specifico il bersaglio e si mascherano come una persona o un'entità che la vittima potrebbe conoscere. Di conseguenza ci vuole molto più impegno per realizzarli in quanto richiede la ricerca di informazioni sull'obiettivo. Questi attacchi di phishing di solito prendono di mira le persone che mettono informazioni personali su Internet. A causa dello sforzo necessario per personalizzare l'e-mail, gli attacchi di spear phishing sono molto più difficili da identificare rispetto agli attacchi normali.
Caccia alla balena
Rispetto agli attacchi di spear phishing, gli attacchi di caccia alle balene sono drasticamente più mirati. Gli attacchi di caccia alla balena perseguitano individui in un'organizzazione o azienda e impersonano qualcuno di anzianità nell'azienda. Gli obiettivi comuni della caccia alle balene sono indurre un bersaglio a rivelare potenzialmente dati riservati o trasferire denaro. Simile al normale phishing in quanto l'attacco è sotto forma di e-mail, la caccia alle balene può utilizzare loghi aziendali e indirizzi simili per camuffarsi. Poiché è meno probabile che i dipendenti rifiutino una richiesta di qualcuno più in alto, questi attacchi sono molto più pericolosi.
Phishing del pescatore
Il phishing Angler è un tipo relativamente nuovo di attacco di phishing ed esiste sui social media. Non seguono il tradizionale formato di posta elettronica degli attacchi di phishing. Invece si travestono da servizi clienti delle aziende e inducono le persone a inviare loro informazioni tramite messaggi diretti. Un altro modo è portare le persone a un falso sito Web di assistenza clienti che scaricherà malware sul dispositivo della vittima.
Come funziona un attacco di phishing?
Gli attacchi di phishing si basano interamente sull'inganno delle vittime affinché forniscano informazioni personali attraverso diversi metodi di ingegneria sociale.
Il criminale informatico tenterà di ottenere la fiducia della vittima presentandosi come rappresentante di un'azienda rispettabile.
Di conseguenza, la vittima si sentirebbe al sicuro nel presentare al criminale informatico informazioni sensibili, che è il modo in cui le informazioni vengono rubate.
Come si può identificare un attacco di phishing?
La maggior parte degli attacchi di phishing avviene tramite e-mail, ma esistono modi per identificarne la legittimità.
- Controlla il dominio di posta elettronica
Quando apri un'e-mail, controlla se proviene o meno da un dominio di posta elettronica pubblico (ad es. @gmail.com). Se proviene da un dominio di posta elettronica pubblico, è molto probabile che si tratti di un attacco di phishing poiché le organizzazioni non utilizzano domini pubblici. Piuttosto, i loro domini sarebbero unici per la loro attività (ad es. il dominio email di Google è @google.com). Tuttavia, esistono attacchi di phishing più complicati che utilizzano un dominio univoco. Potrebbe essere utile fare una rapida ricerca dell'azienda e verificarne la legittimità.
- L'e-mail ha un saluto generico
Gli attacchi di phishing tentano sempre di farti amicizia con un bel saluto o empatia. Ad esempio, nel mio spam non molto tempo fa ho trovato un'e-mail di phishing con il saluto di "Caro amico". Sapevo già che si trattava di un'e-mail di phishing poiché nella riga dell'oggetto diceva "BUONE NOTIZIE SUI TUOI FONDI 21/06/2020". Vedere quei tipi di saluti dovrebbe essere una bandiera rossa istantanea se non hai mai interagito con quel contatto.
- Controlla i contenuti
I contenuti di un'e-mail di phishing sono molto importanti e vedrai alcune caratteristiche distintive che ne costituiscono la maggior parte. Se i contenuti sembrano assurdi o esagerati, molto probabilmente si tratta di una truffa. Ad esempio, se la riga dell'oggetto dice "Hai vinto alla lotteria $ 1000000" e non ricordi di aver partecipato, allora si tratta di una bandiera rossa istantanea. Quando il contenuto crea un senso di urgenza come "dipende da te" e cerca di farti cliccare su un link, non cliccare sul link e cancella semplicemente l'email.
- Collegamenti ipertestuali e allegati
Le e-mail di phishing hanno sempre un link o un file sospetto allegato. A volte questi allegati possono essere infetti da malware, quindi non scaricarli a meno che tu non sia assolutamente certo che siano sicuri. Un buon modo per verificare se un collegamento contiene un virus è utilizzare VirusTotal, un sito Web che controlla i file o i collegamenti alla ricerca di malware.
Come puoi prevenire il phishing?
Il modo migliore per prevenire il phishing è addestrare te stesso e i tuoi dipendenti a identificare un attacco di phishing.
Puoi formare adeguatamente i tuoi dipendenti mostrando molti esempi di e-mail, chiamate e messaggi di phishing.
Esistono anche simulazioni di phishing, in cui puoi mostrare in prima persona ai tuoi dipendenti com'è veramente un attacco di phishing, ne parleremo più avanti.
Puoi dirmi cos'è una simulazione di phishing?
Le simulazioni di phishing sono esercizi che aiutano i dipendenti a distinguere un'e-mail di phishing da qualsiasi altra e-mail ordinaria.
Ciò consentirebbe ai dipendenti di riconoscere potenziali minacce per proteggere le informazioni della propria azienda.
Quali sono i vantaggi degli attacchi di phishing simulati?
La simulazione di attacchi di phishing può essere molto utile per osservare come i dipendenti e l'azienda reagirebbero se venissero inviati contenuti effettivamente dannosi.
Fornirà inoltre loro un'esperienza diretta dell'aspetto di un'e-mail, un messaggio o una chiamata di phishing in modo che possano identificare gli attacchi reali quando arrivano.
