Le truffe via e-mail di phishing sono in aumento e gli aggressori stanno diventando sempre più creativi nei modi in cui tentano di rubare i dati. Vediamo i diversi tipi di attacchi di phishing e i modi migliori per proteggere voi stessi e la vostra azienda.
Cosa sono le e-mail di phishing e di spoofing?
Le e-mail di phishing sono e-mail accuratamente elaborate che vengono inviate da un aggressore in modo da sembrare legittime, per ingannare l'obiettivo e indurlo a intraprendere una qualche azione in buona fede.
Il phishing via e-mail può essere suddiviso a grandi linee nei seguenti tipi:
Phishing
In questo tipo di attacco, un aggressore si spaccia per un'azienda reale per ottenere le vostre credenziali di accesso. Potreste ricevere un'e-mail che vi chiede di verificare i dettagli del vostro account con un link che vi porta a una schermata di login fittizia che consegna le vostre informazioni direttamente agli aggressori.
Spear Phishing
Lo spear phishing è un attacco più sofisticato che include informazioni personalizzate che fanno sembrare l'aggressore una fonte legittima. Può utilizzare il vostro nome e numero di telefono e fare riferimento alla vostra azienda nell'e-mail per farvi credere di avere un legame con voi, rendendovi più propensi a cliccare su un link o un allegato.
Whaling
Questo attacco è diventato più popolare di recente: gli aggressori prendono di mira in modo molto specifico i dipendenti chiave dell'azienda per indurli a trasferire denaro o a inviare informazioni sensibili spacciandosi per un vero dirigente dell'azienda. Utilizzando un dominio falso che sembra simile a quello dell'azienda della vittima, o in combinazione con lo spoofing (vedi sotto), l'aggressore invia un'e-mail che sembra un messaggio proveniente da un collega di alto livello dell'azienda, in genere l'amministratore delegato o il direttore finanziario, e chiede informazioni sensibili (compresi nomi utente e password). Un esempio comune di whaling è quello di chiedere alla vittima di intraprendere azioni finanziarie sotto pressione ("trasferire rapidamente denaro su un conto bancario in modo che l'azienda non perda un grosso contatto").
Phishing di documenti condivisi
È possibile che riceviate un'e-mail che sembra provenire da una piattaforma di documenti condivisi (come SharePoint o Google Drive) e che vi avvisi che un documento è stato condiviso con voi. Il link fornito in queste e-mail vi condurrà a una falsa pagina di accesso che imita la pagina di accesso reale e ruberà le credenziali del vostro account se le inserite.
Email spoof
Un'email spoof è quella in cui un aggressore invia un'email spacciandola per un altro mittente. Spesso viene utilizzato in combinazione con gli attacchi precedenti per aumentare la fiducia nell'e-mail ricevuta, abbassando la guardia.
A cosa bisogna prestare attenzione?
La maggior parte delle piattaforme di posta elettronica filtrano molte e-mail dannose, ma alcune inevitabilmente riescono a passare, soprattutto a persone che ricoprono posizioni di responsabilità o che hanno i loro dettagli di contatto pubblicizzati. Per questo motivo dovete sempre stare in guardia quando aprite qualsiasi e-mail che ricevete. Abbiamo raccolto alcuni segnali di allarme evidenti a cui prestare attenzione quando si apre un'e-mail...
Avvertenze ovvie
Avvertenze sul mittente non verificato
Può capitare di trovare nella casella di posta elettronica messaggi con la dicitura "Non verificato" o simili accanto al mittente. Si tratta del vostro provider di posta elettronica che cerca di avvertirvi che il mittente potrebbe essere sospetto.
Avvertenze sull'oggetto e sul corpo dell'e-mail
Nelle piattaforme di posta elettronica come Office 365, gli amministratori possono impostare criteri personalizzati che antepongono all'oggetto di un'e-mail [AVVERTENZA] o [ATTENZIONE] quando vengono ricevute e-mail provenienti da un mittente non riconosciuto. In questo caso, anche il corpo dell'e-mail viene preceduto da un messaggio di avviso o di cautela come quello riportato di seguito.
Richieste anomale
Le e-mail di phishing vi chiederanno di intraprendere una qualche azione, quindi se ricevete una richiesta per una delle seguenti cose, dovreste considerarla sospetta;
1. Cliccate su un link incorporato che vi porta a un sito Web
2. Rispondere all'e-mail fornendo informazioni sensibili come nome utente, password o informazioni di identificazione personale.
3. Effettuare operazioni finanziarie come bonifici bancari o fornire dati bancari o di carte di credito.
Urgenza temporale
Le e-mail di phishing spesso creano un senso di urgenza, come ad esempio "devi farlo entro un'ora per non perdere l'accesso" o "puoi fare il bonifico oggi per non perdere un'attività critica". Se la richiesta è autentica e veramente urgente, spesso l'e-mail non è la forma di comunicazione migliore e questo dovrebbe destare sospetti.
Ortografia e grammatica scadenti
Le e-mail di phishing spesso utilizzano anche un'ortografia e una grammatica scadenti o non corrette. Se il tono dell'e-mail non sembra corrispondere a quello della persona che sembra aver inviato l'e-mail, dovreste sempre cercare di verificare la richiesta di persona o tramite una video/audiochiamata, in modo da essere sicuri di parlare con la persona giusta.
Avvertenze sottili
A volte i segnali sono meno evidenti, ma con alcuni controlli di base è possibile individuare le e-mail di phishing. Di seguito è riportato un esempio di un'e-mail proveniente da qualcuno che si spaccia per PayPal. A prima vista l'e-mail sembra legittima, ma con alcuni rapidi controlli è possibile identificarla come un'e-mail di phishing.
1. Se osserviamo l'indirizzo e-mail del mittente nell'esempio, sembra provenire da "service@intl.paypal.com", ma a un'ulteriore analisi si vedrà che in realtà proviene da "service.epaiypal@outlook.com".
2. L'e-mail contiene un link di accesso che conduce a un sito poco serio. Potete verificare dove vi porterà il link di un'e-mail passando il mouse sull'URL, che mostrerà l'indirizzo a cui conduce, in modo da poterlo controllare prima di fare clic. Di solito viene visualizzato in uno degli angoli inferiori o talvolta sul cursore.
Dos e don't
Tutto questo può sembrare un po' complicato, ma in generale, se si seguono le regole e le regole che seguono, si hanno ottime possibilità di intercettare le e-mail di phishing.
- Fare attenzione ai cartelli sopra indicati.
- Se non siete sicuri, cercate di verificare il mittente con un altro metodo di comunicazione.
- NON trasmettere informazioni sensibili o di identificazione personale via e-mail, ove possibile, soprattutto se provenienti da una richiesta esterna o non visibile.
- NON intraprendere azioni di amministrazione finanziaria o informatica senza aver verificato con un altro metodo di comunicazione.
- NON cliccare sui link presenti nelle e-mail senza aver prima verificato dove conduce l'URL.
- NON aprire gli allegati provenienti da mittenti sospetti o sconosciuti.
- NON CONDIVIDERE le proprie credenziali di accesso con nessuno, in nessun caso.
