Phishing e spear phishing

Il phishing è un attacco di ingegneria sociale che utilizza email, messaggi o siti web ingannevoli per indurre le vittime a rivelare credenziali, installare malware o trasferire denaro.

È il vettore iniziale di accesso più comune nelle violazioni dei dati a livello mondiale.

Le email di phishing efficaci includono:

• Un indirizzo del mittente falsificato o simile a quello reale
• Un senso di urgenza ("Il suo account verrà sospeso")
• Un link dannoso che conduce a un sito per la raccolta delle credenziali
• Elementi di branding e loghi di organizzazioni affidabili
• Richieste che aggirano il normale buon senso in materia di sicurezza

Varianti del phishing:

• Email phishing — campagne di massa rivolte a molte vittime
• Spear phishing — rivolto a persone specifiche con contenuti personalizzati
• Whaling — prende di mira i dirigenti (CEO, CFO)
• Vishing — phishing vocale tramite telefonate
• Smishing — phishing tramite SMS

Lo spear phishing utilizza informazioni sulla vittima per aumentare la credibilità. Gli aggressori raccolgono informazioni da LinkedIn, dai siti web aziendali e dai social media per creare messaggi personalizzati che fanno riferimento a colleghi, progetti o eventi reali.

BEC è una variante sofisticata dello spear phishing in cui gli aggressori si spacciano per dirigenti per autorizzare bonifici fraudolenti o divulgare dati sensibili. Gli attacchi BEC sono costati alle organizzazioni di tutto il mondo miliardi di dollari.

Gli aggressori utilizzano:

• Domini simili a quelli legittimi (ad esempio, paypa1.com, microsoft-verify.net)
• Server legittimi compromessi per aggirare i filtri basati sulla reputazione
• URL abbreviati e reindirizzamenti per nascondere le destinazioni finali
• Kit per la raccolta delle credenziali che copiano le pagine di accesso

Segnali di avvertimento nelle email:

• L'indirizzo del mittente non corrisponde al nome visualizzato
• Urgenza imprevista o richieste insolite
• Passi il mouse sui link: la destinazione non corrisponde al testo visualizzato
• Saluti generici ("Gentile cliente")
• Richieste di credenziali, pagamenti o dati sensibili

Meccanismi anti-spoofing:

• SPF — autorizza i server che possono inviare email per un dominio
• DKIM — firma crittograficamente le email inviate dal dominio
• DMARC — definisce la policy da applicare quando SPF/DKIM falliscono (quarantena/rifiuto)

Le organizzazioni senza DMARC possono essere falsificate con estrema facilità.

Le organizzazioni eseguono simulazioni di phishing per verificare la consapevolezza dei dipendenti e insegnare loro a riconoscere gli attacchi. I dipendenti che fanno clic su link di phishing simulati ricevono una formazione aggiuntiva. I programmi di simulazione riducono in modo misurabile la percentuale di clic nel tempo.

Quando viene segnalata un'email di phishing:

1. Bloccare il mittente e l'URL in tutte le caselle email
2. Identificare tutti i destinatari
3. Verificare se qualcuno ha fatto clic o inserito le proprie credenziali
4. Reimpostare immediatamente gli account compromessi
5. Conservare le intestazioni dell'email per l'indagine

Livelli di difesa:

• Filtraggio del gateway email (esecuzione degli allegati in sandbox)
• Verifica della reputazione DNS
• Filtraggio degli URL nel browser e pagine di avviso
• MFA — limita i danni anche se le credenziali vengono rubate
• MFA resistente al phishing (FIDO2/chiavi hardware)

Come viene chiamata un'email di phishing mirata che fa riferimento a un collega per nome e a uno specifico progetto interno?

Il phishing è il vettore di attacco più comune e utilizza messaggi ingannevoli per rubare credenziali o installare malware. Lo spear phishing utilizza informazioni raccolte per personalizzare gli attacchi. SPF, DKIM e DMARC contrastano la falsificazione delle email. MFA e credenziali resistenti al phishing (FIDO2) limitano i danni anche quando il phishing ha successo.