Cos’è il Phishing e cosa non dobbiamo fare
Il phishing è una forma di ingegneria sociale e truffa in cui gli aggressori ingannano le persone per rivelare informazioni sensibili o installare malware, come ransomware. Questi attacchi sono diventati sempre più sofisticati e spesso riflettono trasparentemente il sito che viene preso di mira, consentendo all’attaccante di osservare tutto mentre la vittima naviga nel sito e superare eventuali ulteriori limiti di sicurezza con la vittima. Nel 2020, il phishing è diventato il tipo di crimine informatico più comune, con il Centro di Reclami per i Crimini su Internet dell’FBI che segnala più incidenti di phishing rispetto a qualsiasi altro tipo di reato informatico.
Ci sono diversi tipi di phishing:
- Phishing via email: Gli attacchi di phishing, spesso consegnati tramite spam via email, cercano di ingannare le persone affinché rivelino informazioni sensibili o credenziali di accesso. La maggior parte degli attacchi è di tipo “bulk”, inviati in massa a un vasto pubblico. Gli obiettivi comuni includono istituti finanziari, provider di posta elettronica e servizi di cloud, nonché servizi di streaming. Le informazioni rubate possono essere utilizzate per rubare denaro, installare malware o effettuare attacchi mirati all’interno dell’organizzazione di destinazione.
- Spear phishing: Questo è un attacco di phishing mirato che utilizza email personalizzate per ingannare un individuo o un’organizzazione specifica facendo loro credere che siano legittime. Spesso si utilizzano informazioni personali sulla vittima per aumentare le probabilità di successo. Gli obiettivi comuni includono dirigenti o dipendenti di reparti finanziari con accesso a dati e servizi finanziari sensibili. Le aziende di contabilità e revisione sono particolarmente vulnerabili al spear phishing a causa del valore delle informazioni a cui i loro dipendenti hanno accesso.
Per proteggersi dal phishing, ecco alcune misure da prendere:
- Sii cauto con le email: Non fare clic su link o scaricare allegati da email sospette o non richieste.
- Verifica l’URL: Prima di inserire le tue credenziali, verifica attentamente l’URL del sito web. Assicurati che sia autentico e sicuro.
- Utilizza l’autenticazione a due fattori: Abilita l’autenticazione a due fattori (2FA) per aggiungere un livello extra di sicurezza.
- Mantieni il software aggiornato: Assicurati che il tuo sistema operativo, il browser e gli altri software siano sempre aggiornati con le patch di sicurezza più recenti.
Quali sono alcuni esempi noti?
Ecco alcuni esempi noti di phishing:
- Phishing via email:
- Gli aggressori inviano email che sembrano provenire da istituti finanziari o servizi online legittimi. Ad esempio, falsi avvisi di sicurezza da PayPal o Microsoft che cercano di indurre le persone a fare clic su link malevoli o a inserire le loro credenziali.
- Malware nascosto in allegati .HTML: Questi allegati sono spesso utilizzati da banche e istituti finanziari, quindi sembrano legittimi. Tuttavia, possono contenere link a siti di phishing.
- Macro malevole:
- Le email di phishing contengono documenti con macro che, se abilitate, possono scaricare ransomware o altri malware.
- Questi documenti spesso creano un senso di urgenza per il destinatario, spingendolo a seguire le istruzioni per abilitare le macro.
- Sfruttamento dei social media:
- Alcuni attacchi di phishing coinvolgono messaggi su Facebook o altre piattaforme social. Ad esempio, gli utenti ricevono messaggi da amici con allegati che li indirizzano a pagine web malevole.
- Spear phishing:
- Questo tipo di phishing è mirato a individui specifici. Gli aggressori utilizzano informazioni personali sulla vittima per rendere l’attacco più credibile. Ad esempio, un’email che sembra provenire dal capo dell’azienda richiede l’accesso a informazioni sensibili.
- Smishing:
- Gli aggressori inviano messaggi di testo (SMS) che sembrano provenire da istituti finanziari o servizi online. Chiedono alle persone di fare clic su link o di rispondere con informazioni personali.
Ricorda sempre di essere cauto e di verificare attentamente le comunicazioni online per evitare di cadere vittima di attacchi di phishing1234.
Cosa fare se penso di essere stato vittima di phishing?
Se pensi di essere stato vittima di phishing, ecco alcuni passi da seguire per proteggerti e mitigare i danni:
- Mantieni la calma: I phishing sono sempre più sofisticati, quindi non preoccuparti se ne sei caduto vittima. Respira profondamente, raccogli le idee e pianifica i tuoi prossimi passi.
- Cambia le tue password: Se hai cliccato su un link che ti ha portato a un sito che sembrava essere la tua banca, il tuo servizio email o il tuo account sui social media, accedi al sito reale e cambia la tua password. Se usi la stessa password per più account (cosa che dovresti evitare), cambia anche le password degli altri account. Modifica anche gli indizi delle password o le domande di sicurezza.
- Contatta l’organizzazione che è stata imitata: Segnala lo schema di phishing all’azienda che il truffatore ha impersonato. Informa l’azienda che hai cambiato la tua password e segui le loro istruzioni per proteggere le tue informazioni e il tuo account. Se hai fornito informazioni finanziarie, potresti dover annullare la tua carta esistente e richiederne una nuova.
- Scansiona il tuo computer per virus: Sia che tu abbia scaricato un allegato o cliccato su un link, è una buona idea scansionare il tuo computer per virus e malware.
- Stai attento ai segni di furto d’identità: Monitora attentamente le tue attività e il tuo profilo per verificare se il truffatore ha causato danni o effettuato acquisti utilizzando il tuo account.
- Segnala l’esperienza: Se vuoi aiutare altre persone a evitare truffe di phishing, puoi segnalare i dettagli della tua esperienza all’Anti-Phishing Working Group o al Centro di Reclami per i Crimini su Internet dell’FBI.
- Proteggiti dalle future truffe di phishing: Mantieni la tua consapevolezza e adotta pratiche di sicurezza online per evitare di cadere nuovamente vittima di phishing.
Ecco alcune misure preventive contro il phishing:
- Formazione e consapevolezza:
- Educa i tuoi dipendenti e organizza sessioni di formazione con scenari di phishing simulati. La consapevolezza è fondamentale per riconoscere e prevenire gli attacchi.
- Filtro SPAM: Implementa un filtro SPAM che rilevi virus, mittenti vuoti e altre minacce.
- Aggiornamenti di sicurezza:
- Mantieni tutti i sistemi aggiornati con le ultime patch di sicurezza e gli aggiornamenti.
- Presta attenzione prima di fare clic:
- Non fare clic su link in email sospette o casuali. Le email di phishing spesso affermano di provenire da aziende legittime e contengono link che portano a siti che sembrano autentici. Prima di fare clic, passa il mouse sopra il link per verificare la destinazione del sito.
- Le email malevole spesso non utilizzano il tuo nome, ma iniziano con saluti generici come “Gentile cliente”. Questo potrebbe essere un segnale di phishing.
- Monitoraggio delle informazioni personali:
- Poni un avviso di frode sui tuoi file di credito.
- Monitora attentamente i tuoi file di credito e gli estratti conto bancari.
- Segnala email o chiamate sospette alla Federal Trade Commission o chiama il numero 1-877-IDTHEFT.
