Che cos’è il phishing: tipi di attacchi e come prevenirli
La maggior parte delle persone utilizza Internet per qualsiasi cosa, dall’interazione con i colleghi di lavoro all’esplorazione del mondo dei chatbot basati sull’intelligenza artificiale . E se da un lato Internet è uno strumento straordinario per questi e molti altri motivi, dall’altro può anche danneggiare la sicurezza e la privacy delle persone. Innanzitutto, grandi aziende come Amazon e Google trovano nuovi modi per spremere ogni goccia di dati dalla nostra presenza online in nome dei profitti. A questo proposito, puoi seguire questi semplici passaggi per migliorare la tua privacy digitale su Android .
Dall’altra parte della medaglia della privacy e della sicurezza c’è un gruppo che prende più seriamente la raccolta dei dati. Invece di lasciarti cedere volontariamente la tua privacy in cambio di servizi, questi criminali informatici fanno del loro meglio per rubare le tue informazioni e usarle a proprio vantaggio a tue spese. Prima che tu ne sia vittima, ti spieghiamo cos’è il phishing e i modi migliori per affrontarlo sul tuo telefono Android più economico e ovunque tu abbia impronte online.
Cos’è il phishing e come funziona?
Il phishing è un tipo di attacco informatico che utilizza un mix di tecniche di ingegneria sociale per commettere furti di identità o un’altra forma di crimine volta a rubare denaro alle vittime. Gli hacker di solito cercano di indurre le vittime a consegnare informazioni sensibili come i dati della carta di credito, le credenziali di accesso all’online banking o le credenziali dei social media tramite ingegneria sociale. Gli hacker utilizzano questi dati per accedere ai conti delle vittime e rubare i loro soldi o come ulteriore passo nella catena dell’attacco.
Gli attacchi di phishing prendono di mira i dispositivi inducendo la vittima a scaricare software contenente malware per estrarre tali informazioni dal sistema della vittima o prenderne il controllo utilizzando un ransomware.
Quali sono i tipi di attacchi di phishing e come prevenirli?
Sebbene gli attacchi di phishing possano coinvolgere software sofisticati, di solito richiedono l’interazione umana. Per cadere vittima di un attacco di phishing, spesso è necessario aprire un’e-mail, scaricare un file, prendere in mano il telefono o tutto quanto sopra. L’ingegneria sociale alla base delle truffe di phishing le rende vincenti, ma ci consente anche di identificarle e fermarle senza particolari conoscenze tecniche.
Diamo un’occhiata ad alcune delle tecniche di phishing più comuni e a come prevenirle.
Spear phishing e phishing tramite posta elettronica
L’e-mail phishing e lo spear phishing funzionano secondo lo stesso principio. In entrambe le situazioni, gli hacker fingono di essere qualcun altro, come una grande azienda o un fornitore di servizi. Inviano e-mail a un individuo insistendo affinché intraprenda qualche azione, di solito accedendo a un sito o inviando informazioni agli hacker, per prevenire conseguenze negative o trarre vantaggio da qualche ricompensa.
C’è quasi sempre un senso di urgenza in queste e-mail e probabilmente vedrai qualcosa del tipo: “Se non agisci in risposta a questa e-mail entro due ore, il tuo conto bancario verrà congelato e ci vorranno 60 giorni riprendersi.” La presunta urgenza costringe le vittime a cadere nella truffa. Poiché hanno paura delle conseguenze, sono più propensi ad agire e meno propensi a dedicare tempo alla ricerca delle informazioni.
Lo spear phishing differisce dal normale phishing via email per il modo in cui viene implementata la truffa. Il normale phishing via e-mail è un messaggio e-mail ampio e generale con poco contesto o informazioni sulla vittima. Lo spear phishing prende di mira un individuo specifico utilizzando informazioni cancellate dai social media o una violazione dei dati per personalizzare l’e-mail.
Gli hacker di spear phishing di solito inviano un’e-mail spacciandosi per un’azienda affidabile utilizzata dalla vittima o che ha contattato in precedenza. Nella maggior parte dei casi, le e-mail di spear phishing contengono collegamenti dannosi che portano a siti Web falsi convincenti in cui gli utenti devono accedere per risolvere qualsiasi problema si verifichi con il proprio conto bancario o servizio. Quando il destinatario tenta di accedere, il sito Web dannoso salva le credenziali della vittima e l’autore del reato può utilizzare le credenziali di accesso e i dati sensibili a suo piacimento.
Gli attacchi di spear phishing possono essere più convincenti, e quindi efficaci, rispetto ai normali metodi di phishing via e-mail che fanno esplodere centinaia di e-mail contemporaneamente. Una sottocategoria di attacchi di spear phishing è il phishing di balene, una tecnica utilizzata per prendere di mira individui di alto profilo (solitamente dirigenti o celebrità) con accesso a informazioni sensibili o che possono autorizzare transazioni finanziarie sostanziali.
Come prevenire il phishing via email e lo spear phishing
I criminali informatici che utilizzano queste tecniche di spoofing per imitare entità legittime spesso affermano di essere nomi di aziende grandi e conosciute come Amazon, Microsoft, PayPal e società di carte di credito. L’e-mail che ricevi è solitamente un’imitazione convincente di un’e-mail legittima che potresti ricevere da una di queste società. Gli aggressori abili copiano e modificano il codice di markup delle e-mail originali per creare copie straordinariamente credibili.
Tuttavia, anche in questi casi, di solito ci sono indizi che l’e-mail sia falsa. La prima cosa da cercare in un’e-mail sospetta è l’ortografia e la grammatica scorrette, ma esistono altri modi per identificare un’e-mail fraudolenta. È anche utile sapere che Google Gmail fa un buon lavoro avvisandoti dei collegamenti fraudolenti se ne fai clic su uno.
Il principio fondamentale della prevenzione del phishing è non fidarsi di nessuno. Supponiamo che tu riceva un’e-mail inaspettata o non richiesta relativa a un rimborso, un problema bancario o un servizio online simile che contiene i tuoi dati sensibili. In tal caso, la cosa migliore da fare è ignorare eventuali collegamenti presenti nell’e-mail.
Se sei preoccupato, contatta l’azienda tramite un canale di comunicazione familiare. Ad esempio, se ricevi un’e-mail dalla tua banca che ti informa che c’è un problema con il tuo conto, vai alla pagina di accesso della tua banca digitando manualmente l’URL o accedendovi dal sito della banca, oppure chiama gli uffici della banca al numero numero che conosci. In nessun caso dovresti aprire un collegamento da un’e-mail e accedere al tuo conto bancario da lì a meno che tu non verifichi l’autenticità della pagina web.
Un altro modo semplice per individuare una truffa di phishing via email è guardare l’indirizzo email. Di solito, gli hacker non riescono ad accedere ai domini bancari effettivi, quindi utilizzano qualcosa che a prima vista sembra abbastanza vicino al dominio reale della banca. Se osservi attentamente l’indirizzo email, noterai che le parole vengono aggiunte dove non dovrebbero esserci, oppure le lettere vengono scambiate o sostituite con numeri (questa tecnica è nota come typosquatting). Puoi anche evitare attacchi di phishing basati su email utilizzando filtri antispam automatici .
Il phishing danneggia la fiducia che un’azienda ha guadagnato con i suoi utenti. Se ricevi messaggi di phishing, è una buona idea segnalarlo all’azienda che viene impersonata. E se finisci per fare clic su un collegamento di phishing, segui i nostri suggerimenti per ridurre al minimo il rischio di furto dei tuoi dati .
Attacchi di content injection e malvertising
Gli attacchi di content injection, malvertising e man-in-the-middle (MITM) sono difficili da combattere poiché fanno molto affidamento sulla compromissione di una terza parte da parte degli hacker (un host pubblicitario, un ISP o una rete locale), il che significa che conoscere l’ingegneria sociale può essere solo arrivare così lontano. L’iniezione di contenuto prevede che un hacker ottenga l’accesso a un sito Web che stai visitando e modifichi il sito per aggiungere un collegamento che scarichi malware sul tuo dispositivo o ti porti a un sito che tenta di convincerti a inserire informazioni personali che utilizzeranno per comprovare l’identità furto.
Il malvertising sfrutta le vulnerabilità dei componenti del browser come JavaScript, visualizzatori PDF e caratteri Web per scaricare malware sul tuo dispositivo. Spesso questi attacchi di phishing si basano sull’installazione di malware da parte dell’utente sul proprio sistema. I malware includono keylogger che rubano dati di input o ransomware che tengono in ostaggio i tuoi dati in cambio di una tariffa. Questi collegamenti possono essere visualizzati in e-mail o annunci pubblicitari, ma i phisher a volte nascondono il malware in software dall’apparenza ordinaria.
Come prevenire attacchi di content injection e malvertising
Esistono strumenti che puoi utilizzare e abitudini che puoi apprendere per ridurre le probabilità di successo dei truffatori che inseriscono software dannoso in un annuncio o in una pagina Web. Innanzitutto, disattiva i download automatici sul tuo computer e telefono per eliminarlo come vulnerabilità. In secondo luogo, installa un blocco annunci per impedire la visualizzazione di annunci compromessi nel tuo browser. Infine, controlla i collegamenti prima di aprirli. Di solito, puoi passarci sopra con il mouse sul desktop per visualizzare il collegamento. Se l’URL non sembra corretto o ti reindirizza a un sito diverso che non conosci, è meglio evitare di aprire l’URL ed eliminare l’e-mail. Puoi anche segnalarlo come phishing al tuo provider di posta elettronica in modo che possa agire contro quell’indirizzo email e proteggere altri utenti.
Una parola su bot e intelligenza artificiale
La maggior parte degli attacchi informatici menzionati in questo articolo sono stati storicamente prerogativa esclusiva degli hacker umani. Tuttavia, i rapidi sviluppi dell’intelligenza artificiale (AI) e dell’apprendimento automatico (ML) stanno cambiando questa tendenza. L’avvento dei bot per l’elaborazione del linguaggio naturale (NLP) come ChatGPT significa che i programmi di intelligenza artificiale possono creare e-mail praticamente indistinguibili da quelle scritte dagli esseri umani. Alcuni di questi chatbot (Bing AI e Google Bard sono i più famosi al momento in cui scrivo) possono accedere a Internet, il che significa che possono ricercare aziende e individui prima di scrivere e-mail che sembrano quelle di un CFO, di una grande banca o del tuo migliore amico. I programmi di intelligenza artificiale possono anche scrivere codice, il che significa che possono creare payload per attacchi di content injection e malvertising.
