Phishing, spear phishing e whaling

L'email rimane il vettore di accesso iniziale più comune negli attacchi informatici. Il phishing sfrutta la psicologia umana — creando urgenza, facendo leva sull'autorità o suscitando paura — per indurre i destinatari a fare clic su link dannosi, aprire allegati infetti o cedere le proprie credenziali. A differenza delle vulnerabilità tecniche, che possono essere corrette con una patch, la suscettibilità umana alla pressione sociale non può essere eliminata con un aggiornamento software. Chi si prepara all'esame Security+ deve comprendere l'intero spettro degli attacchi di phishing, dalle campagne di massa rivolte a milioni di destinatari casuali ai messaggi altamente mirati, creati per una persona specifica.

Il phishing di massa (o bulk phishing) invia simultaneamente la stessa email dannosa a migliaia o milioni di indirizzi, facendo affidamento sull'enorme quantità di bersagli per ottenere una piccola percentuale di successo. Tra gli adescamenti più comuni figurano falsi avvisi bancari, notifiche di consegna dei pacchi, avvisi di scadenza della password e offerte di rimborso fiscale. Le email sono generiche: l'aggressore non conosce personalmente i destinatari. Nonostante la scarsa sofisticazione, le campagne di phishing di massa causano un numero enorme di vittime in tutto il mondo e sono responsabili della maggior parte degli incidenti di furto di credenziali.

Lo spear phishing è una forma mirata di phishing in cui l'aggressore personalizza il messaggio per una persona specifica o per un piccolo gruppo. Gli aggressori ricercano i propri bersagli su LinkedIn, sui social media, sui siti web aziendali e nei database delle violazioni, per creare messaggi convincenti che fanno riferimento a nomi reali, ruoli professionali, progetti o colleghi. Un'email di spear phishing potrebbe sembrare provenire dal responsabile del bersaglio e richiedere l'approvazione urgente di un bonifico, oppure dall'ufficio Risorse umane con un allegato relativo a un "aggiornamento dei benefit". La personalizzazione aumenta notevolmente il tasso di successo rispetto al phishing generico.

Il whaling è una forma di spear phishing rivolta specificamente a persone di alto valore, come CEO, CFO, membri del consiglio di amministrazione e altri dirigenti C-Suite. Questi bersagli hanno l'autorità per approvare ingenti transazioni finanziarie, accedere a dati sensibili e aggirare le policy di sicurezza. Un attacco di whaling riuscito potrebbe indurre un CFO ad autorizzare un bonifico di diversi milioni di dollari verso un conto controllato dall'aggressore, secondo uno schema noto come Business Email Compromise (BEC). L'FBI ha stimato che le perdite dovute al BEC superino i 3 miliardi di dollari all'anno. I dirigenti sono inoltre bersagliati per il loro accesso alla proprietà intellettuale, alle informazioni su fusioni e acquisizioni e ai piani strategici.

L'angler phishing prende di mira gli utenti sulle piattaforme di social media: gli aggressori creano falsi account di assistenza clienti di grandi marchi e rispondono agli utenti che pubblicano reclami, attirandoli verso false pagine di accesso. Il clone phishing duplica un'email legittima (ad esempio, una fattura recente o una newsletter), sostituisce i link o gli allegati con versioni dannose e la invia nuovamente da un indirizzo falsificato, sostenendo che si tratti della versione corretta. Il clone phishing è particolarmente efficace perché il destinatario riconosce il formato e il mittente dell'email, riducendo considerevolmente i propri sospetti.

Il pharming reindirizza le vittime verso siti web dannosi senza richiedere loro di fare clic su un link di phishing. In genere questo risultato viene ottenuto tramite il DNS cache poisoning (inserendo record DNS falsi in un resolver, in modo che il dominio legittimo venga risolto nel server dell'aggressore) oppure modificando il file hosts locale della vittima. A differenza del phishing, che richiede un'azione da parte della vittima, il pharming funziona anche se l'utente digita direttamente nel browser l'URL corretto. DNSSEC e la convalida dei certificati HTTPS sono le principali difese tecniche.

Una delle competenze più importanti per contrastare il phishing consiste nell'analizzare gli URL per individuare le tecniche di spoofing. Gli aggressori utilizzano diversi metodi: il typosquatting (paypa1.com, g00gle.com), i trucchetti con i sottodomini (paypal.com.attacker.com: il dominio reale è attacker.com), gli URL shortener che nascondono la destinazione effettiva e gli attacchi omografici che utilizzano caratteri Unicode simili a quelli ASCII (xn--pple-43d.com utilizza una "а" cirillica per falsificare apple.com). I professionisti della sicurezza devono sempre posizionare il puntatore sui link prima di fare clic e utilizzare strumenti di analisi degli URL per espandere in sicurezza gli URL abbreviati.

Per insegnare agli utenti a riconoscere il phishing è necessario spiegare loro quali segnali d'allarme specifici cercare. Esaminate: l'indirizzo del mittente (il nome visualizzato corrisponde al dominio email effettivo?), le intestazioni dell'email (Return-Path o Reply-To differiscono dall'indirizzo From?), il linguaggio di urgenza o minaccia che spinge ad agire rapidamente, gli allegati non richiesti o le richieste impreviste di reimpostazione della password e i link che non corrispondono alla destinazione dichiarata. La presenza di un solo segnale deve destare sospetti; più segnali insieme indicano fortemente un tentativo di phishing. Le organizzazioni devono definire una procedura chiara per segnalare le email sospette.

Molte campagne di phishing indirizzano le vittime verso false pagine di accesso che hanno un aspetto identico a quello dei siti web legittimi. Gli aggressori clonano il codice HTML/CSS dei siti reali e lo ospitano su domini simili o su siti web compromessi. I moderni strumenti evilginx2 e Modlishka agiscono come reverse proxy, inoltrando la vittima al sito reale e intercettando contemporaneamente i token di sessione, riuscendo così ad aggirare persino l'MFA. Gli utenti dovrebbero cercare l'icona del lucchetto (HTTPS), ricordando però che HTTPS conferma solo che la connessione è cifrata, non che il sito sia legittimo. I log di Certificate Transparency rendono visibili i siti di phishing che utilizzano domini simili a quelli legittimi.

Gli allegati malevoli distribuiscono malware direttamente all'endpoint della vittima. I formati comuni includono documenti Office con macro abilitate (.docm, .xlsm), che eseguono script VBA quando l'utente abilita le macro, file PDF con JavaScript o collegamenti incorporati, immagini disco ISO/IMG (utilizzate per eludere le protezioni Windows Mark of the Web) e archivi compressi (.zip, .rar) contenenti file eseguibili a cui sono state assegnate estensioni fuorvianti. Le organizzazioni dovrebbero disabilitare le macro di Office per impostazione predefinita tramite Criteri di gruppo e configurare i gateway di posta elettronica affinché blocchino i tipi di file ad alto rischio.

Proteggere i dirigenti dagli attacchi di whaling richiede una combinazione di controlli tecnici e procedurali. Dal punto di vista tecnico: applicare DMARC per rifiutare le email contraffatte che dichiarano di provenire dal dominio dell'organizzazione, configurare il gateway di posta elettronica affinché aggiunga banner alle email esterne e iscrivere i dirigenti all'MFA resistente al phishing (FIDO2). Dal punto di vista procedurale: stabilire procedure di verifica tramite un canale alternativo (chiamare direttamente il richiedente utilizzando un numero di telefono noto) prima di approvare bonifici o condividere dati sensibili, indipendentemente dall'urgenza con cui l'email viene presentata. Formare i dirigenti specificamente sugli scenari di whaling, poiché la formazione generica sulla consapevolezza della sicurezza spesso non raggiunge i vertici aziendali.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) presentati in questa lezione.

In questa lezione ha imparato che: il mass phishing si basa sul volume per colpire una piccola percentuale di destinatari casuali; lo spear phishing è mirato e personalizzato, e utilizza ricerche OSINT per creare messaggi convincenti destinati a persone specifiche; il whaling prende di mira dirigenti con autorità su finanze e dati sensibili ed è contrastato tramite DMARC, MFA resistente al phishing e procedure di verifica tramite un canale alternativo. Nella prossima lezione esamineremo gli attacchi vocali e basati su SMS: vishing, smishing e pretexting.