Phishing 101: Come funziona e cosa cercare

Qual è lo scopo del phishing?

Nella sua forma più basilare, il phishing è un tipo di frode che mira ad attirare il bersaglio nell’interazione con un messaggio ingannevole. Gli attacchi di phishing variano in complessità, ma molti usano sofisticate tecniche di social engineering combinate con le informazioni raccolte dal dark web per simulare l’autenticità e la rilevanza per i loro obiettivi ignari. Se l’attacco è destinato a distribuire malware come ransomware, basta aprire il messaggio è spesso sufficiente per distribuire il suo carico. In caso contrario, il contenuto del messaggio sarà progettato per spingere il destinatario a eseguire un’azione che avvantaggia il criminale informatico e compromette la sicurezza della vittima come visitare un sito Web, aprire un allegato, inviare denaro o informazioni, scaricare un PDF o fornire una credenziale.

La storia del phishing

Le prime forme di phishing come attacco informatico iniziarono su AOL a metà degli anni 1990. Il primo attacco di phishing noto contro una banca al dettaglio è stato riportato dalla rivista di settore The Banker nel settembre 2003, e il primo tentativo diretto noto contro un sistema di pagamento come un attacco a E-gold nel giugno 2001.

Il phishing è decollato davvero nei primi anni 2000, con i primi attacchi contro banche, sistemi di pagamento e consumatori. Il phishing da parte degli attori dello stato-nazione era prevalente nel 2006, quando gli esperti stimano che più della metà di tutti gli attacchi di phishing ha avuto origine in Russia. Entro il 2010, il phishing era diffuso e più simile a quello che vediamo oggi, con attacchi contro le imprese, agenzie governative, banche e consumatori diventando sempre più comune. Questo attacco ha raggiunto nuove vette nel 2020: Google ha registrato un aumento di oltre il 600% dei messaggi di phishing nel marzo 2020 come COVID-19 è diventato il suo argomento più phished nella storia.

Da dove nasce il termine “Phishing”?

Phishing è un termine che è stato probabilmente coniato da una combinazione di videogiochi “leetspeak” e un vecchio tipo di frode telefonica chiamato phreaking. Si pensa che il termine prima apparizione in stampa nella rivista hacker 2600 nei primi anni 1980. Il primo record di phishing come un importante argomento di discussione tra i professionisti della sicurezza proviene da un documento e la presentazione consegnato al 1987 International HP Users Group, Interex. Il primo utilizzo diffuso è stato nel toolkit di cracking AOHell creato da Koceilah Rekouche nel 1995.

I primi attacchi di phishing sono stati perpetrati sugli utenti di AOL come un tentativo di strappare le password per facilitare altri crimini informatici. Le specializzazioni di phishing sono emerse su scala globale a metà degli anni 2000, quando i criminali informatici hanno iniziato a vendere o scambiare software di phishing a bande organizzate che potevano quindi utilizzarlo per condurre campagne di phishing. La pratica era strettamente associata alla pirateria del software e alle frodi con carta di credito. Man mano che il mondo diventava più digitale, il phishing si è evoluto per consentire ai cattivi attori di utilizzarlo in modi nuovi, incluso il phishing sui social media. Oltre il 60% dei criminali informatici ha utilizzato il phishing come forma primaria di attacco nel 2020.

Quali sono alcuni esempi reali di phishing?

Il phishing non discrimina. Dalle scuole elementari ai giganti della tecnologia, il phishing è una minaccia per le pari opportunità. Un dipendente cliccando su una e-mail può scatenare un mondo di male su un’organizzazione. Ecco alcuni esempi dei danni che il phishing può fare.

• Twitter era sul sedile caldo dopo che i conti di utenti estremamente importanti come Donald Trump ed Elon Musk sono stati rilevati dai criminali informatici e utilizzati per diffondere messaggi attirando le persone in una truffa di criptovaluta. L’indagine ha rivelato che l’intero incidente derivava da un phishing criminale informatico una singola password di amministratore da un dipendente di Twitter affermando di essere un subappaltatore.
• Alla fine del 2020, il phish sentito in tutto il mondo ha scatenato una cascata di incubi sulla sicurezza informatica ai più alti livelli di governo, affari e finanza dopo che i criminali informatici russi hanno ottenuto l’accesso ai sistemi SolarWinds. Quella password ha permesso loro di impostare backdoor in alcuni dei sistemi più sensibili negli Stati Uniti, raggiungendo in profondità gli obiettivi di sicurezza nazionale, invadendo le agenzie governative e strappando informazioni sensibili alle imprese. L’impatto completo non può mai essere misurato.
• Una complessa truffa di phishing perpetrata da sospetti hacker dello stato-nazione contro i dipendenti del produttore di farmaci AstraZeneca è stata progettata per inibire la ricerca e lo sviluppo di un vaccino COVID-19. Gli attori delle minacce hanno utilizzato annunci di lavoro falsi inviati tramite social media come LinkedIn e WhatsApp per attirare i dipendenti a fornire informazioni personali che potrebbero essere utilizzate per alimentare lo spear phishing o scaricare allegati pieni di malware.

Quanto spesso avviene il phishing?

Il phishing è l’attacco informatico più ordinario da gestire per i team IT. Gli esperti dell’Università del Maryland stimano che un nuovo attacco venga lanciato ogni 39 secondi. La pandemia e il caos di accompagnamento sono stati un enorme vantaggio per i criminali informatici, che sono stati pronti a capitalizzare. A marzo 2020, Google ha annunciato di aver registrato un salto del 667% nei tentativi di phishing nello stesso periodo in 2019, stimando di aver bloccato circa 18 milioni di email di truffa COVID-19 al giorno dai suoi 1.5 miliardi di utenti. Entro la metà del 2020, i ricercatori di Internet hanno visto il numero di minacce di phishing quotidiane top 25.000 al giorno, un aumento del 30% rispetto alle cifre del 2019. In autunno, il numero era cresciuto a 35.000 al giorno ed è cresciuto a 50.000 al giorno entro dicembre 2020. il 75% delle organizzazioni di tutto il mondo ha subito un qualche tipo di attacco di phishing nel 2020.

Il phishing è illegale?

Questo fa un’ondata di criminalità informatica. Il phishing è una forma di frode e furto di identità, punibile con multe e persino il carcere. Negli Stati Uniti, ci sono statuti federali, statali e locali contro il phishing e gli stili associati. Il phishing è a volte perseguito secondo gli statuti federali di frode filo perché viene trasmesso attraverso Internet. Anche il Regno Unito, l’Unione Europea e altre nazioni hanno leggi contro il phishing.

Come funziona il phishing

Nel suo senso più ampio, il phishing ha lo scopo di ingannare il bersaglio nel fornire informazioni, credenziali o accesso che consente al mittente di ottenere l’ingresso di sistemi, dati e altre risorse in modo fraudolento. I criminali informatici fanno uso di ingegneria sociale, psicologia, stress e interruzioni per creare potenti esche allettanti. Spesso, i cattivi attori otterranno informazioni specifiche sui loro obiettivi dal dark web. Miliardi di record pieni di informazioni su persone e aziende sono disponibili nei mercati dei dati web scuri e discariche, con più aggiunti ogni giorno — 22 milioni sono stati aggiunti nel solo 2020. Non hai nemmeno bisogno di competenze tecnologiche per eseguire un’operazione di phishing. Tutto da completo plug-and-play “kit di phishing” per completamente outsourcing attraverso operatori freelance è disponibile per un prezzo.

Cosa succede durante un attacco di phishing?

Dai un’occhiata a una panoramica di base di un attacco di phishing standard.

1. I cattivi attori generano un elenco di obiettivi e raccolgono le informazioni necessarie per raggiungere le loro vittime previste.
2. La preparazione a questo punto può includere l’acquisto di informazioni personali identificabili (PII), l’ottenimento di un database rubato di record per altri account online che l’obiettivo mantiene o i dettagli necessari per impersonare un marchio di fiducia.
3. Quindi, i cattivi attori creano un’e-mail progettata per il massimo appello alla vittima designata per attirarli ad aprirla o completare un’azione.
4. L’e-mail includerà spesso dettagli personalizzati raccolti da dark web data markets e dump.
5. Il messaggio potrebbe mascherarsi come qualcosa che sembra innocuo e di routine, come una comunicazione da alumni association della vittima o un ente di beneficenza favorito.
6. A volte, il messaggio conterrà un allegato, come un PDF, che trasporta malware.
7. Un altro richiamo comune è quello di includere un link che chiede alla vittima di reimpostare la propria password utilizzando un link incluso.
8. Se l’obiettivo dell’attacco è fornire malware, il payload verrà distribuito quando la vittima completa un’interazione di destinazione, ad esempio scaricando un file o facendo clic su un collegamento.
9. Oppure, se il compromesso delle credenziali è l’obiettivo, la vittima viene in genere indirizzata a una pagina Web falsificata e tosata delle proprie credenziali.
10. I criminali informatici sono quindi liberi di acquisire dati, distribuire malware o altrimenti devastare la vittima o la società della vittima.

A cosa può portare il phishing?

Che tipo di caos? Il tipo che chiude le aziende e distrugge i sogni. Gli esperti stimano che il 60% delle aziende cessino l’attività dopo un attacco informatico. La spesa per la risposta agli incidenti, le indagini, la bonifica e il recupero può essere catastrofica. Inoltre, le aziende non finiscono per pagare per un incidente come ransomware proprio quando accade. Si può richiedere anni per determinare la piena portata del danno e pagare le bollette. Insieme a quel gigantesco colpo di bilancio, le aziende che sono colpite da un attacco informatico dannoso perdono produttività e subiscono un’ammaccatura nella loro reputazione. Il phishing è particolarmente devastante quando le aziende perdono informazioni preziose come segreti commerciali o record altamente sensibili, specialmente quando tale perdita comporta anche pesanti sanzioni normative ai sensi di leggi come HIPAA o GDPR.

Come individuare i tentativi di phishing

I criminali informatici possono produrre messaggi e allegati fraudolenti estremamente convincenti che possono essere una sfida anche per i professionisti della sicurezza informatica da rilevare. Tuttavia, ci sono alcuni segni comuni che i potenziali obiettivi possono cercare di individuare un potenziale messaggio di phishing e la testa fuori disastro. Una procedura dettagliata per indagare e giudicare un potenziale messaggio di phishing in modo sicuro è disponibile nell’infografica, Il percorso sicuro per e-mail.

Quali sono i segni comuni di un’email di phishing?

Alcuni segni rivelatori che un messaggio è probabilmente phishing includono:

• Se la lingua è spento o il messaggio non sembra come fosse grattugiato da qualcuno che è un madrelingua del target del linguaggio, compresi gli errori di ortografia e di grammatica o di utilizzo
• Se il messaggio si pretende da un marchio di fiducia, ma contiene cose che sembrano sconosciuti come non-abbastanza-colori giusti, formati o tipi di carattere
• Se sembra molto “professionale”, ma è stato presentato come una comunicazione da parte di un dirigente o di altra persona potente.
• Se si tratta di un U. S. l’agenzia del governo federale, che chiede di fornire i propri dati personali via e-mail
• Se il mittente chiede di previdenza Sociale o il numero di identificazione fiscale di blu
• Se l’indirizzo del mittente, nome o indirizzo e-mail sembrare strano,
• Se qualcuno di voi non conoscete bene la chiede per carte regalo, trasferimenti di denaro, bancario o carta di credito
• Se c’è un link per voi a scegliere o un allegato da scaricare, ma l’indirizzo o il nome del file sembrare insolito

in caso di dubbio, sempre peccare per eccesso di cautela. Il tuo team IT ti ringrazierà.

Come faccio a sapere se un collegamento è dannoso?

I link dannosi sono uno strumento estremamente popolare per gli attacchi di phishing a causa della maggiore consapevolezza che la maggior parte degli utenti ha sviluppato nel corso degli anni intorno agli allegati. Tuttavia, un collegamento fasullo può essere altrettanto brutto come un attaccamento infettivo-e talvolta peggio. Controllare sempre un link prima di fare clic su di esso per vedere se in realtà va dove dice che sta andando. I link falsi possono avere ortografie strane, suffissi inaspettati, strani mashup del nome di un’azienda e dettagli simili che non sono proprio giusti. Google ha registrato 2.145.013 siti di phishing a partire dal 17 gennaio 2021. Questo è in aumento da 1,690,000 su Jan 19, 2020 (up 27% over 12 mesi).

Come posso identificare un allegato dannoso?

Gli allegati dannosi sono ciò a cui gli utenti tendono a pensare quando pensano al phishing, specialmente per quanto riguarda il malware. Gli esperti hanno stimato in un recente studio che il 94% delle e-mail di phishing utilizza allegati dannosi come fonte di payload o infezione per l’attacco. Hanno inoltre notato che i migliori tipi di allegati e-mail dannosi che stanno vedendo sono .doc e .dot a 37% della torta, con .exe in arrivo a 19.5% e altri nomi di file inferiori. Gli allegati dannosi possono anche essere PDF. I criminali informatici audaci hanno avuto una giornata campale inviando velenose mappe COVID-19 in quel formato da fonti come l’Organizzazione Mondiale della Sanità all’inizio del 2020. Allegati imprevisti o file con nomi insoliti o sconosciuti sono tratti distintivi di allegati dannosi.

Ridurre al minimo i pericoli di phishing con una forte postura difensiva che include SaaS Backup

Cattura messaggi di phishing può essere difficile. Le aziende che si impegnano in regolari corsi di sensibilizzazione alla sicurezza che includono la resistenza al phishing per ogni dipendente almeno trimestralmente hanno fino al 70% in meno di incidenti di sicurezza. Le soluzioni di sicurezza e-mail convenzionali come filtri o strumenti integrati nelle applicazioni e — mail non sono all’altezza delle sofisticate minacce di phishing odierne: oltre il 40% delle e-mail di phishing inviate in un test 2020 non sono state catturate dalla sicurezza e-mail tradizionale.

L’altra metà della medaglia nella costruzione di una forte difesa contro il phishing è anche essenziale per la costruzione di cyber resilienza: SaaS backup. Si stima che il 60% delle aziende colpite da un attacco di phishing perda dati irrecuperabili e ciò può creare una cascata di danni sempre più devastante.

Ecco perché soluzioni come Spanning 360 con funzionalità di difesa phishing integrate sono un must in qualsiasi piano di sicurezza informatica. Oltre il 70% delle organizzazioni negli Stati Uniti è stato colpito da un attacco di phishing riuscito negli ultimi 12 mesi. L’obiettivo di ogni azienda dovrebbe essere quello di dire fuori quella lista nel 2021.

Scopri di più su Spanning 360