Il furto di dati è un problema molto grande legato alla sicurezza informatica aziendale, perché purtroppo sono tantissimi i metodi con cui gli hacker riescono a intrufolarsi nei pc e a sottrarre le informazioni a cui sono interessati.
I cyber attacchi possono essere fatti tramite l’utilizzo di virus e malware ma anche attraverso l’utilizzo di tecniche più subdole, come il phishing. Questo termine si indica un’attività illegale, portata avanti dagli hacker, che mirano a raggiungere gli utenti dei pc attraverso una mail. Obiettivo di questo messaggio è indurre i malcapitati a fornire password o altri dati sensibili.
Il phishing è una pratica molto diffusa non solo a livello aziendale, ma anche verso i privati. Non è raro ricevere alla propria casella di posta delle false mail da banche o altri istituti importanti, in cui viene richiesto di condividere delle informazioni personali, come per esempio le credenziali di accesso ai servizi di home banking.
Gli hacker nel tempo hanno affinato le loro tecniche ed è sempre più difficile distinguere queste mail fasulle e pericolose. Molte banche cercano di proteggere i loro clienti da eventuali attacchi di phishing, avvisandoli che non gli verrà mai richiesta la comunicazione di questi dati tramite mail.
Se può essere difficile identificare una mail di phishing nella propria casella personale, lo diventa ancora di più sul lavoro. I dipendenti di un’azienda, infatti, ricevono spesso moltissime mail al giorno e nella fretta può capitare di rimanere vittime di questo tranello.
Quando l’attacco è rivolto a un’impresa, spesso gli hacker inoltrano mail che simulano quelle di un collega o di un’organizzazione con cui il dipendente è solito interfacciarsi. Il phishing è una strategia efficace tanto quanto semplice: non sono coinvolti virus e l’hacker cerca di entrare nella rete utilizzando la porta principale, ovvero inducendo il personale a consegnargli i dati di cui ha bisogno.
Per proteggere una rete aziendale da un attacco così subdolo è necessario comprendere a fondo il concetto di phishing e formare i propri dipendenti e collaboratori sul fenomeno, in modo che non ne rimangano vittime. Continua la lettura per approfondire l’argomento.
Indice dell'articolo
Phishing: qual è il significato di questo termine?
Il phishing è una tipologia di attacco informatico molto diffuso fin dagli albori del web e che ancora oggi viene utilizzato come strumento di data breach. La truffa sfrutta le email (ma anche i canali di messaggistica dei social media e le app di messaggistica istantanea) per inoltrare alla vittima un messaggio falso, “camuffato” da un interlocutore di cui si fida, che varierà quindi a seconda delle circostanze e della necessità.
Chi apre la mail, nella fretta o per la poca attenzione, spesso non si accorge che si tratta di un falso e finisce per cliccare i link contenuti, inserire i dati richiesti e nella peggiore delle ipotesi infettare il pc con malware o trojan, mandati sempre dall’hacker tramite un allegato al messaggio o attraverso il link.
Il phishing è un’attività criminale che si basa su tecniche di ingegneria sociale. Si manipolano le persone (inviando loro una mail falsa, magari scritto con tono concitato e di urgenza) per obbligarle a consegnare dei dati, sfruttando così la loro reazione allo stimolo a cui li si sottopone.
Da qui il nome di questo cyber crimine, che è una variante dell’inglese “fishing”, cioè pescare. Il cyber criminale prepara la mail, la manda a quanti più contatti possibili e attende che qualche utente “abbocchi” e gli serva i dati richiesti su un piatto d’argento.
Proprio per la sua versatilità e per le differenti tipologie di canali che può sfruttare, il phishing è sempre più frequente: secondo il Verizon 2021 Data Breach Investigation Report, i casi nel 2021 sono aumentati del 25%.
Attacchi phishing in azienda: sono tutti uguali?
Come abbiamo detto, una delle caratteristiche che ha reso questa tecnica uno dei cyber crimini più gettonati da parte degli hacker è la sua capacità di adattarsi a ogni circostanza. Gli attacchi di phishing, infatti, non sono sempre uguali tra loro e non vengono effettuati tutti allo stesso modo.
Questo rende ancora più difficile identificarli ad un primo colpo d’occhio. Analizziamo più nel dettaglio le principali tipologie di attacchi phishing che possono colpire un’azienda.
Whaling
Rimaniamo in tema pesca: “whaling” è la caccia alla balena e nel gergo dei cyber criminali sta ad indicare un attacco indirizzato a una figura importante dell’azienda, come può essere un CEO. Affinché la vittima cada nella trappola, spesso i criminali si prendono del tempo per studiare il bersaglio e capire come farlo cedere.
Il whaling è una tecnica molto sfruttata dagli hacker che desiderano rubare informazioni aziendali, perché le più importanti sono proprio in mano a manager e dirigenti.
Pharming
Come nel classico phishing, anche nel pharming si indirizza l’utente verso un sito web manomesso, che però ha un aspetto autentico. In questo caso, però, gli utenti non vi accedono cliccando un link inviato via mail, ma gli hacker infettano il pc interessato e reindirizzano direttamente l’utente sulla pagina falsa quando lei digita l’url corretta.
Spear phishing
Nel phishing, come la pesca, si lancia l’amo e si aspetta che le vittime abbocchino, meglio se in gran numerp. Nello spear phishing la tecnica cambia leggermente, perché non si inoltra lo stesso messaggio a più persone, ma a una nello specifico che si ha interesse a prendere di mira.
In questo modo, è possibile personalizzare ancora di più il contenuto della mail a seconda del destinatario e aumentano così, di pari passo, le probabilità che la vittima cada nel tranello. Questa tipologia di phishing è molto usata per cercare di intromettersi con successo in una rete informatica aziendale e molte volte è proprio la prima azione che si compie per aprire le sue maglie.
Le diverse possibilità di attacco rendono ancora più difficile riconoscere il phishing. Se si sospetta di esserne vittima, ci sono però delle best practice che possono essere messe in atto per tutelare la sicurezza dei dati. Approfondiamo l’argomento nel paragrafo successivo.
Come difendersi dal phishing e cosa fare dopo aver aperto un messaggio
Purtroppo non c’è un sistema tecnologico in grado di difendere dagli attacchi di phishing. Può capitare che il filtro antispam non rilevi le mail di phishing e queste finiscano per trovarsi nella cartella principale della posta elettronica.
Diventa quindi fondamentale formare adeguatamente i dipendenti e renderli consapevoli dei rischi che si possono celare dietro a un banale messaggio di posta elettronica. Per scongiurare il furto di dati, ogni volta che si riceve una mail o un link per messaggio, ci si dovrebbe chiedere:
- il link è corretto o presenta anomalie a livello di spelling? È bene controllarlo, copiandolo e incollandolo nella barra di ricerca del browser o passandoci sopra il mouse per verificare.
- la connessione è HTTPS?
- La mail è scritta con un tono anomalo? Ci sono errori di sintassi o punteggiatura?
- Qual è il mittente? Il suo indirizzo mail è identico a quello che si conosce?
In alcuni casi, nonostante queste attenzioni, la fretta può far cadere le vittime nel tranello del phishing: cosa fare dopo? È fondamentale avvertire i propri diretti superiori, che a loro volta contatteranno la Polizia Postale per fare una segnalazione e, in base alla gravità della situazione, un addetto alla sicurezza informatica.
Per aiutare i propri collaboratori a migliorare nella gestione dati sensibili (che non vanno mai comunicati via mail), si può organizzare un assessment aziendale interamente dedicato al phishing: potranno capire davvero cos’è e accrescere la loro consapevolezza in materia di attacchi informatici.
Se vuoi proteggere la tua azienda da pericolosi furti di dati, rivolgiti a personale esperto nel settore della cyber security aziendale per una consulenza.
