AIUTO, HO CLICCATO SU UN LINK PHISHING: COME PROTEGGERSI DAI TRUFFATORI ONLINE
Un recente sondaggio condotto da NordVPN ha messo in evidenza come circa il 50% degli italiani abbia ricevuto un messaggio di phishing. Una persona su 10 ha ammesso di essere caduta nel tranello e di aver dato credito alla truffa, subendone le conseguenze.
GLI ATTACCHI PHISHING: UN PERICOLO SEMPRE PIÙ PRESENTE
Gli attacchi phishing si presentano sotto diverse forme, ma tutti hanno un obiettivo comune: indurre gli utenti a divulgare informazioni personali o riservate come credenziali di accesso, dati sui propri account, estremi dei conti correnti online, dettagli anagrafici e così via.
COSA SONO E COME POSSONO PRESENTARSI GLI ATTACCHI PHISHING
Di solito, i criminali che sviluppano campagne phishing cercano di congegnarle in maniera tale che i messaggi ricordino da vicino lo stile e le “personalizzazioni” delle comunicazioni provenienti dalle realtà più conosciute.
I BERSAGLI PIÙ GHIOTTI PER I CRIMINALI INFORMATICI
Alcune delle realtà più bersagliate dai phishers sono le banche e le istituzioni finanziarie: i criminali cercano di ottenere informazioni finanziarie e l’accesso ai conti degli utenti. Molto “gettonate” sono anche le aziende tecnologiche e i fornitori di servizi online, dato che possono conservare un gran numero di informazioni sugli utenti, compresi i loro dati personali.
ALCUNI ESEMPI DI PHISHING: EMAIL E SITI CONTRAFFATTI
L’esempio più comune sono le email di phishing, messaggi di Posta Elettronica fasulli che i truffatori inviano cercando di “scimmiottare” le modalità di comunicazione di aziende e istituzioni. L’obiettivo è quello di persuadere la vittima a visitare una pagina Web creata “ad hoc” e indurla all’inserimento dei propri dati e delle proprie credenziali. Gli attaccanti possono anche allegare file dannosi, che una volta aperti infettano il dispositivo dell’utente.
SMISHING, VISHING E INGEGNERIA SOCIALE
I tentativi di phishing sono sempre più diffusi anche sulle piattaforme di Messaggistica istantanea ma, molto di più, si concretizzano sotto forma di SMS. Lo smishing, ovvero la ricezione di SMS truffaldini che invitano a fornire informazioni personali o a cliccare su link dannosi, è sempre più all’ordine del giorno. Anche il phishing tramite telefono (vishing) ha fatto registrare una vera esplosione: in questo caso, gli attaccanti possono fingersi incaricati di banche e istituzioni finanziarie, utilizzando tecniche di ingegneria sociale per ottenere dalle vittime informazioni strettamente personali. La manipolazione psicologica, che fa leva su approcci persuasivi o vere e proprie minacce, è una delle leve preferite dai criminali informatici.
SPEAR PHISHING E WHALING
Anziché inviare campagne email o messaggi truffaldini su larga scala, alcuni phisher preferiscono colpire direttamente “i pesci più grossi”. Si chiama Spear phishing la forma di attacco più mirata. In questo caso, il criminale cerca informazioni specifiche sulla potenziale vittima, ne studia gli interessi, la vita lavorativa e privata per poi creare e inviare un messaggio ancora più convincente (perché personalizzato). Il Whaling, infine, prende di mira dirigenti di alto livello o individui in posizioni di potere all’interno di un’azienda. Queste metodologie di attacco spesso sfruttano un senso di urgenza o di paura per spingere la vittima a compiere un’azione nell’immediato, compreso il trasferimento di denaro o la condivisione di dati che andrebbero invece mantenuti segreti.
COSA FARE SE SI È CADUTI NELLA TRAPPOLA DEL PHISHING
Quasi un decimo (7%) degli italiani colpiti da un attacco phishing ha perso del denaro o le proprie credenziali di accesso (nome utente, password). Se si fossero malauguratamente fornite delle informazioni personali a un attaccante, ad esempio compilando un form presente su un sito Web fasullo, la prima cosa da fare è agire con calma ma, allo stesso tempo, con la massima risolutezza.
CAMBIARE LA PASSWORD DI ACCESSO
Se si fossero colpevolmente forniti dati estremamente importanti come le credenziali di accesso a un qualunque servizio online, la prima cosa da fare è cambiare password. A questo proposito, vale la pena ricordare che è sempre importante scegliere e impostare una password sicura, accertandosi di non utilizzare la stessa per l’accesso ad altre piattaforme. I criminali informatici sono infatti soliti provare le stesse credenziali su più piattaforme, facendo leva proprio sul fatto che tanti utenti continuano a non differenziare le loro credenziali di accesso. In generale, le password devono essere complesse, uniche e difficili da indovinare.
ATTIVARE L’AUTENTICAZIONE A DUE FATTORI (2FA)
L’abilitazione dell’autenticazione a due fattori è uno strumento essenziale per proteggersi efficacemente dagli attacchi phishing. Si tratta di un meccanismo di Sicurezza che aggiunge un ulteriore livello di protezione. Con 2FA, infatti, è richiesta una seconda forma di autenticazione, come un’impronta digitale o una password unica.
NON DARE CREDITO ALLE COMUNICAZIONI CHE RICHIEDONO L’AVVIO DI App SPECIFICHE
Soprattutto se l’utente utilizzasse l’autenticazione a due fattori, in alcuni casi gli aggressori proveranno a convincerlo a eseguire un’applicazione malevola (con un’email, un SMS, una chiamata,…). L’obiettivo è sottrarre il cookie di autenticazione che il Browser conserva in locale e che è utilizzato per evitare la ripresentazione di frequenti richieste di login. Il meccanismo noto come cookie o session hijacking permette all’aggressore, una volta impossessatosi del cookie di autenticazione altrui, di porre in essere operazioni così come se fosse l’utente-vittima. Superando così il meccanismo di login.
ATTENZIONE AI REVERSE PROXY USATI PER IL PHISHING
Sempre con l’obiettivo di superare l’autenticazione a due fattori, tanti criminali informatici usano reverse proxy per il phishing. Creano cioè delle pagine che simulano i meccanismi di autenticazione a due fattori, inoltrando le richieste al server di autenticazione legittimo e gestendo le risposte ricevute.
SEGNALARE L’INCIDENTE E MONITORARE GLI ACCOUNT
Se si fosse risposto a un messaggio phishing inserendo le informazioni richieste dall’attaccante, è essenziale informare prima possibile il reparto IT dell’azienda e/o il fornitore del servizio che gli aggressori hanno preso di mira (ad esempio l’istituto di credito). Le segnalazioni tempestive aiutano gli amministratori a prendere provvedimenti per evitare che altri soggetti possano cadere nel medesimo tranello. La maggior parte dei servizi online fornisce un registro che tiene traccia dei tentativi di accesso, dell’orario in cui il login è effettuato e degli indirizzi IP utilizzati dai dispositivi client.
STARE IN GUARDIA PER EVITARE I SUCCESSIVI TENTATIVI DI TRUFFA
Una password può essere di solito agevolmente cambiata e l’autenticazione a due fattori è ormai un pilastro fondamentale per buona parte dei servizi online. Se, tuttavia, si fossero condivisi con il phisher dati anagrafici e altre informazioni personali (ad esempio numeri di telefono), state all’erta. Quei dati sono ormai acquisiti da soggetti senza scrupoli (che spesso li rivendono in blocco a terzi…).
CONCLUSIONE
In conclusione, la consapevolezza e la prudenza sono fondamentali per proteggersi dai rischi connessi agli attacchi phishing. È importante conoscere le tecniche utilizzate dai truffatori online e adottare misure preventive per evitare di cadere nelle trappole. Mantenere alta la guardia e informarsi costantemente su nuovi metodi e strategie adottate dai criminali informatici è un passo fondamentale per proteggere le proprie informazioni personali e riservate.
Ricordate che nessuna istituzione finanziaria o piattaforma online vi chiederà mai di confermare le vostre credenziali attraverso link ricevuti via email o messaggi. Restate vigili e pronti a denunciare qualsiasi sospetta attività, contribuendo così a proteggere non solo voi stessi, ma anche altri potenziali bersagli.
Il team di NordVPN è sempre attento a fornire informazioni utili per proteggere la sicurezza online e rimanere al sicuro dai truffatori informatici.
Credit immagine in apertura: iStock.com – Sadi Maria