Il Phishing come non l’hai mai visto

Cari lettori di Tecnogalaxy, oggi parleremo di Phishing e andremo a vedere come funziona, quale tecniche utilizzano i cyber criminali e cosa importante, come difendersi.

Quando è nato il Phishing?

I primi casi di attacchi di phishing così come li conosciamo oggi si sono verificati a metà degli anni ’90 prendendo di mira America Online (AOL).

Cos’è il Phishing?

Il phishing è un crimine informatico che inganna le vittime inducendole a condividere informazioni sensibili come ad esempio le password, i numeri di carte di credito etc….

Se prendiamo come esempio lo sport della pesca, il fishing (in inglese), utilizza diversi modi per indurre il pesce (in questo caso la vittima) ad abboccare all’amo.

Nell’ambito informatico, la tecnica di phishing più diffusa è la seguente:

La vittima riceve un’e-mail o un messaggio di testo che imita una organizzazione o una persona di cui si fida, (potrebbe essere un collega, un istituto bancario o un ufficio governativo).

La mail o il messaggio ricevuto contiene informazioni di solito volte a spaventare la povera vittima, con la richiesta di visitare un sito web e intraprendere azioni nell’immediato per evitare conseguenze negative.

Se la vittima abbocca all’amo e fa clic sul link riportato all’interno del messaggio, viene reindirizzato su un sito fake. All’utente viene richiesto di accedere all’area riservata inserendo le proprie credenziali, come “nome utente e password”.

Se non vengono attivati dei controlli specifici e vengono inserite le informazioni richieste, tutti dati verranno trasmessi al criminale che potrà utilizzarle per rubare l’identità, intercettare accessi a conti bancari e vendere informazioni personali sul dark web.

Come tecnicna il phishing è il tipo di attacco informatico più semplice, eppure è anche il più pericoloso ed efficace.

A differenza di altri tipi di minacce, il phishing non richiede competenze tecniche sofisticate, ci sono tool che si possono utilizzare senza appunto essere un esperto informatico.

I phisher non provano a sfruttare le vulnerabilità tecniche presenti nel sistema operativo attaccato, ma fanno ricorso alla famosa ingegneria sociale.

Qualsiasi dispositivo come Windows, iPhone, Mac e Android possono essere soggetti agli attacchi di phishing a prescindere dalla solidità del sistema di sicurezza.

I cyber criminali spesso ricorrono al phishing proprio perché non riescono a rilevare nessuna vulnerabilità tecnica sul target da attaccare.

La domanda è…perché perdere tempo a cercare di penetrare un sistema dotato di diversi livelli di sicurezza quando è possibile ingannare le vittime facendosi consegnare direttamente la chiave di ingresso?

Nella maggior parte delgi attacchi, il punto più debole di un sistema di sicurezza non è una falla nel codice informatico o nel sistema operativo bensì un utente che non verifica la provenienza di un’e-mail.

Quali sono le tecniche di Phishing?

E-mail di phishing

La maggior parte dei messaggi di phishing viene recapitata tramite e-mail e non sono personalizzati o mirati a un individuo o un’azienda specifici: questo è definito phishing “bulk” . Il contenuto di un messaggio di phishing in blocco varia ampiamente a seconda dell’obiettivo dell’attaccante.

Gli obiettivi comuni per la rappresentazione includono banche e servizi finanziari, provider di produttività di posta elettronica e cloud e servizi di streaming. Gli aggressori possono utilizzare le credenziali ottenute per rubare direttamente denaro a una vittima, sebbene gli account compromessi siano spesso usati come punto di partenza per eseguire altri attacchi, come l’installazione di malware o lo spearphishingdi ad altre persone all’interno dell’organizzazione del target.

Spear-phishing

Lo spear phishing coinvolge un utente malintenzionato che prende di mira direttamente un’organizzazione o una persona specifica con comunicazioni di phishing personalizzate. Si tratta essenzialmente della creazione e dell’invio di e-mail a una determinata persona per far credere alla persona che la mail sia legittima.

Di solito attacchi mirati su commissione.

A differenza del phishing di massa , gli aggressori di spear phishing spesso raccolgono e utilizzano informazioni personali sul loro obiettivo per aumentare le probabilità di successo dell’attacco.

Lo spear phishing in genere prende di mira i dirigenti o coloro che lavorano nei dipartimenti finanziari che hanno accesso ai dati e ai servizi finanziari sensibili dell’organizzazione.

In passato il gruppo “Threat Group-4127”, aveva utilizzato tattiche di spear phishing per prendere di mira gli account di posta elettronica collegati alla campagna presidenziale del 2016 di Hillary Clinton.

Durante l’attacco avevavno preso di mira ben più di 1.800 account Google e implementato il dominio accounts-google.com per minacciare gli utenti.

Whaling and CEO fraud

Caccia alle balene e frode del CEO.

La caccia alle balene si riferisce agli attacchi di spearphishing diretti specificamente a dirigenti senior e altri obiettivi di alto profilo. Il contenuto sarà probabilmente creato per essere di interesse per la persona o il ruolo preso di mira, come una citazione o un reclamo del cliente.

La frode del CEO implica la creazione di e-mail contraffatte da dirigenti senior per convincere i dipendenti della propria organizzazione a eseguire un’azione specifica, (come il trasferimento di denaro a un conto offshore).

Questo tipo di attacco ha un tasso di successo basso, i cyber criminali però possono guadagnare somme di denaro molto elevate dai pochi tentativi che hanno successo.

Clona il phishing

La clonazione del phishing è un tipo di attacco di phishing dove viene presa una mail legittima, precedentemente consegnata contenente un allegato o un collegamento, e utilizzata per creare un’e-mail quasi identica o clonata.

Ovviamente l’allegato o il collegamento presente nella mail viene sostituito con una versione dannosa e quindi inviato da un indirizzo e-mail falsificato in modo che sembri provenire dal mittente originale.

Phishing vocale Il phishing vocale (o detto anche vishing), è l’uso della telefonia “spesso telefonia Voice over IP” per condurre attacchi di phishing. Gli aggressori comporranno un gran numero di numeri di telefono e

riprodurranno registrazioni automatizzate, spesso realizzate utilizzando sintetizzatori di sintesi vocale, che fanno false affermazioni di attività fraudolente sui conti bancari o sulle carte di credito della vittima.

Il numero di telefono del chiamante verrà falsificato per mostrare il numero reale della banca o dell’istituto impersonato e la vittima viene quindi indirizzata a chiamare un numero controllato dagli aggressori, che li inviterà automaticamente a inserire informazioni sensibili per “risolvere” la presunta frode, o li collegherà a una persona dal vivo che tenterà di utilizzare l’ingegneria sociale per ottenere informazioni.

SMS di phishing

Il phishing o lo smishing tramite SMS è concettualmente simile al phishing tramite e-mail, gli aggressori utilizzano i messaggi di testo del cellulare per consegnare l’esca.

Gli attacchi smishing in genere invitano l’utente a fare clic su un collegamento, chiamare un numero di telefono o contattare un indirizzo e-mail fornito dall’attaccante tramite messaggio SMS. La vittima è quindi invitata a fornire i propri dati privati; spesso, credenziali ad altri siti web o servizi. Inoltre, a causa della natura dei browser mobili gli URL potrebbero non essere visualizzati completamente (in modo da verificare l’affidabilità).

Dirottamento della pagina

Il dirottamento della pagina implica la compromissione di pagine Web legittime per reindirizzare gli utenti a un sito Web dannoso o a un kit di exploit tramite scripting incrociato.

Un cyber criminale può compromettere un sito Web ed inserire un exploit in modo da compromettere gli utenti legittimi che visitano il server Web ora compromesso.

Una delle forme più semplici di dirottamento della pagina consiste nell’alterare una pagina Web per contenere un frame inline dannoso che può consentire il caricamento di un exploit.

Il dirottamento della pagina viene spesso utilizzato in tandem con un attacco di irrigazione alle entità aziendali per compromettere gli obiettivi.

Phishing del calendario

Il phishing del calendario si verifica quando i collegamenti di phishing vengono inviati tramite inviti del calendario. Vengono inviati gli inviti del calendario, che per impostazione predefinita vengono aggiunti automaticamente a molti calendari. Questi inviti spesso prendono la forma di RSVP e altre richieste di eventi comuni.

Come difendersi?

L’utilizzo di questa tecnica purtroppo è un problema che riguarda anche le più grandi realtà del mondo IT e non solo i normali cittadini, Google ha implementato un sistema che analizza programmi e script potenzialmente pericolosi, questo sistema si chiama Google safe Browsing.

Google safe Browsing analizza le pagine web e ogni URL infetto lo registra in un database (una sorta di lista nera), ovviamente questo non basta a farti navigare al 100% in sicurezza.

Come ribadito più volte come prima cosa è importante sapere che una banca o altri servizi non vi chiederanno mai via e-mail o via sms dati privati.

L’utilizzo di filtri anti-spam attivi nella propria posta e-mail vi aiuterà.

Il controllare il dominio del mittente quando ricevete una mail, è un altro punto a vostro favore, nel senso che una società scriverà sempre con il proprio dominio, microsoft.com ad esempio.

Un cyber criminale registrerà un dominio simile a quello reale, ad esempio aggiungendo magari una lettera (microsooft.com), quindi anche la lettura del dominio sarà importante.

In caso di rinnovi su abbonamenti che avete, è sempre meglio collegarsi al sito reale e non tramite il link ricevuto magari all’interno di una mail.

Nel caso in cui ricevessi un’email sospetta ti consiglio di informare subito ad esempio in caso di un messaggio ricevuto dalla banca, la tua filiale oppure contattare il Servizio Clienti.

Puoi anche denunciare l’accaduto all’Autorità Giudiziaria o alla Polizia postale, come potrai immaginare le segnalazioni possono essere molto utili perché ci permettono di adottare contromisure e proteggere anche altre persone.

Come sempre fatene buon uso facendo dei test su vostri device / computer , farli su device/computer non vostri è illegale.

Al prossimo articolo 😊

N.B.: Non mi assumo nessuna responsabilità dell’uso che farete della guida, in quanto stilata per uso didattico e formativo.

Giorgio Perego
IT Manager