Apri la tua casella di posta. L’oggetto è urgente. Dice di provenire dalla tua banca. Dicono che il tuo account è bloccato. Se non fai clic sul collegamento e non accedi adesso, perdi tutto.
Il tuo cuore salta un battito. Quel panico? Questo è il problema.
Questo è phishing, una truffa digitale progettata per rubarti la vita. Non si tratta solo di perdere qualche centinaio di dollari. Si tratta di furto di identità. Si tratta di lasciare che estranei prosciughino i tuoi conti, effettuino acquisti a tuo nome o addirittura utilizzino il tuo computer per riciclare denaro senza che tu lo sappia.
La maggior parte delle persone pensa al phishing come a una brutta e-mail che finge di essere Amazon o una società di carte di credito. E certo, questa è la faccia più comune della bestia. Ma l’e-mail è solo l’esca. La trappola è molto più profonda.
L’anatomia di una truffa digitale
Il phishing non è magia. È un processo. Un ciclo freddo e calcolato che si è evoluto da quando la parola è apparsa per la prima volta nel 1996. Il termine stesso è un gioco di parole su “pesca”, il che implica che i criminali lanciano le reti per vedere quali informazioni riescono a catturare.
Ecco come funziona effettivamente il macchinario.
Pianificazione. Gli aggressori decidono chi prendere di mira. Non si limitano a indovinare. Usano le stesse tecniche di raccolta dati degli spammer. Raschiano indirizzi. Comprano liste. Identificano la base clienti di una banca o di un rivenditore specifico.
Setup. Una volta scelti gli obiettivi, l’infrastruttura viene potenziata. Creano un indirizzo email contraffatto che sembra legittimo. Costruiscono un sito Web falso. Questo sito rispecchia quello reale così perfettamente che anche un occhio allenato potrebbe esitare.
L’attacco. Il messaggio arriva nella tua casella di posta. Utilizza la pressione psicologica. Crea urgenza. Minaccia una perdita immediata. Richiede un’azione immediata.
Raccolta. Fai clic. Digiti la tua password. Inserisci il tuo numero di previdenza sociale. I dati confluiscono nel database dell’aggressore.
Le conseguenze. È qui che si verificano i veri danni. I ladri utilizzano le tue credenziali per effettuare acquisti illegali. Commettono frodi. Ed ecco la parte spaventosa: gli studi suggeriscono che fino al 25% delle vittime non si riprende mai completamente dalle ricadute finanziarie ed emotive.
Perché il tuo software di sicurezza non può salvarti
Facciamo affidamento su firewall e software antivirus per mantenerci al sicuro. Ma il phishing non si limita ad hackerare il tuo computer. Ti hackera *.
Sfrutta i punti deboli sia del software lato client che della sicurezza lato server. Ma in fondo è un trambusto vecchio stile. Si basa sulla fiducia. Si basa sul presupposto che un’e-mail proveniente da “[email protected]” provenga effettivamente dalla tua banca.
I criminali sanno che la maggior parte delle persone ha fretta. Sanno che sei stanco. Sanno che farai clic sul collegamento perché la minaccia sembra reale.
Individuazione dei segnali d’allarme
Quindi, come ti proteggi? Devi essere scettico.
Diffidare dei saluti generici. “Gentile cliente” è un omaggio morto. Le vere banche di solito conoscono il tuo nome.
Attenzione alle minacce. Le istituzioni legittime ti diranno che c’è un problema. Ti chiederanno di accedere a un portale sicuro per risolverlo. Non richiederanno un’azione immediata via e-mail.
Se un’e-mail ti chiede di verificare la password, eliminala. Non fornire mai informazioni personali tramite un collegamento contenuto in un’e-mail.
Segnalalo. Se sospetti un tentativo, segnalalo alle autorità competenti. Il dipartimento antifrode della tua banca è solitamente un buon inizio.
Il ciclo continua
I phisher non sono statici. Dopo un attacco, valutano cosa ha funzionato. Modificano i loro messaggi. Perfezionano i loro siti Web falsi. Ricominciano il ciclo.
Il primo utilizzo documentato del “phishing” risale a quasi tre decenni fa. Le tattiche sono cambiate, ma l’obiettivo rimane lo stesso: pescare le tue informazioni.
Stai ancora controllando la tua posta elettronica con lo stesso senso di urgenza?
Non daresti i tuoi dati bancari a uno sconosciuto. La maggior parte delle persone lo sa meglio. Eppure i phisher non chiedono. Rubano. Per ottenere queste credenziali, devono aggirare la psicologia umana. Questa è ingegneria sociale. Non si tratta di hackerare il codice. Si tratta di hackerare la fiducia.
I truffatori replicano il marchio familiare. Copiano esattamente le e-mail legittime. Quindi scambiano i collegamenti. La vittima fa clic su un pulsante che sembra ufficiale. Porta a una pagina fraudolenta. L’indirizzo email nel campo “Da:” è contraffatto. Sembra reale. L’indirizzo “Rispondi a” è falso. I collegamenti sono offuscati. Nascondono la vera destinazione. Ma copiare il look è solo metà dell’opera.
Il vero trucco è l’urgenza. I messaggi di phishing richiedono un’azione immediata. Vogliono che tu reagisca prima di pensare.
“Agisci adesso o perderai tutto.”
Questo è il messaggio. Alcune minacce promettono la cancellazione dell’account. Altri affermano che hai effettuato un acquisto che non hai fatto. Vai nel panico. Non vuoi perdere denaro per una transazione che non hai mai completato. Quindi fai clic. Segui il collegamento. Rinunci proprio alle informazioni che avevi paura che avessero.
La fiducia nell’automazione gioca un ruolo enorme qui. Le persone credono che i computer siano oggettivi. Pensano che gli algoritmi non commettano errori. I phisher sfruttano questo punto cieco.
I messaggi spesso affermano che un “controllo computerizzato” ha rilevato anomalie. Dicono che un processo automatizzato ha rilevato attività sospette. La vittima crede che qualcuno stia hackerando il suo account. Non credono che il sistema abbia commesso un errore. È più facile immaginare un ladro che un problema tecnico.
Il phishing non è più solo email. I truffatori gettano una rete più ampia.
- Messaggi istantanei
- SMS sul cellulare (SMS)
- Chat room
- Banner pubblicitari falsi
- Bacheche e mailing list
- Siti di ricerca di lavoro falsi
- Barre degli strumenti del browser false
Il mezzo cambia. L’obiettivo rimane lo stesso.
Perché un software complesso semplifica il phishing
Esiste una correlazione diretta tra la complessità del software e le vulnerabilità della sicurezza. Maggiore è il numero di funzionalità di un browser Web o di un client di posta elettronica, maggiori sono le opportunità che gli aggressori hanno di sfuggire. Man mano che i filtri di sicurezza migliorano, le tattiche di phishing si evolvono per aggirarli. È una corsa agli armamenti e gli strumenti su cui gli utenti fanno affidamento quotidianamente spesso forniscono le scappatoie.
Il metodo più diffuso rimane lo spoofing degli indirizzi. La maggior parte dei client di posta elettronica consente agli utenti di digitare ciò che desiderano nei campi “Da” e “Rispondi a”. Questa comodità è utile per le persone che gestiscono identità multiple, ma è una miniera d’oro per i truffatori. Possono creare messaggi che sembrano provenire da fonti attendibili. Alcuni server di posta elettronica aggravano questo rischio consentendo connessioni alla porta SMTP (Simple Mail Transfer Protocol) senza autenticazione. Ciò consente agli aggressori di ignorare completamente le password personali, istruendo il server a inviare direttamente messaggi dannosi.
Oltre ai mittenti falsi, gli aggressori utilizzano diversi trucchi tecnici per ingannare gli utenti ed eludere il rilevamento.
Collegamenti ingannevoli e codice nascosto
Gli URL offuscati sono un vettore primario. Questi collegamenti sembrano legittimi ma reindirizzano gli utenti a siti dannosi. Gli aggressori utilizzano diverse tecniche per raggiungere questo obiettivo:
- Typosquatting e IDN: potrebbero scrivere in modo errato l’URL di un’azienda o utilizzare registrazioni di nomi di dominio internazionali (IDN). Ciò consente loro di utilizzare caratteri di altri alfabeti che sembrano identici ai caratteri latini, ingannando l’occhio.
- Formati esadecimali: gli URL possono essere codificati in esadecimale per confondere gli scanner di base.
- Istruzioni di reindirizzamento: URL apparentemente legittimi possono contenere istruzioni nascoste che reindirizzano il traffico altrove.
- HTML ingannevole: Il testo visualizzato può differire completamente dalla destinazione effettiva. Ad esempio, potrebbe sembrare che un collegamento rimandi a una guida sulle “macchine zombie” in un sito affidabile, ma l’HTML sottostante indirizza il browser a un articolo dannoso completamente non correlato.
Inganno visivo e strutturale
Gli aggressori manipolano anche ciò che vedi sullo schermo. Rilevando quale browser e client di posta elettronica stai utilizzando, un phisher può sovrapporre grafica falsa. Possono posizionare immagini di barre degli indirizzi e lucchetti di sicurezza sulla barra di stato effettiva. Questo crea un falso senso di sicurezza.
Le finestre e i frame popup sono un’altra tattica comune. Il codice dannoso può essere eseguito in frame invisibili che circondano un sito oppure i popup possono coprire interamente il contenuto legittimo. Anche le email di solo testo possono essere ingannevoli. Molti contengono markup HTML nascosto con parole invisibili progettate per aggirare i filtri antispam.
Il rischio del pharming
L’avvelenamento della cache DNS, spesso chiamato pharming, è particolarmente pericoloso. In questo attacco, un utente malintenzionato modifica le informazioni del server DNS. Ciò potrebbe avvenire attraverso l’ingegneria sociale, ad esempio inducendo con l’inganno i rappresentanti del servizio clienti ad apportare modifiche.
Una volta modificati i record DNS, chiunque tenti di visitare il sito Web dell’azienda contraffatta viene reindirizzato a un sito diverso. Ciò riguarda tutti gli utenti della rete, non solo i singoli utenti. È difficile da rilevare perché il browser dell’utente mostra un indirizzo dall’aspetto legittimo, ma il contenuto è completamente compromesso.
Il panorama dell’ingegneria sociale è cambiato. Non hai più bisogno di un URL appariscente e falso per rubare dati. Gli attacchi più pericolosi ora avvengono all’interno di browser legittimi.
Considera il computer proxy. Questo dispositivo si trova tra te e il sito web di destinazione. Registra ogni transazione effettuata. Il sito sembra reale. La barra degli indirizzi mostra il dominio corretto. Ma il traffico viene rispecchiato.
I phisher che utilizzano questi metodi non devono nascondere i propri collegamenti perché la vittima si trova su un sito Web legittimo quando avviene il furto delle sue informazioni.
Questa è la trappola. Ti fidi dell’URL. Digiti la tua password. La procura lo ruba.
Malware: il complice nascosto
Il phishing non riguarda solo le email. Riguarda ciò che viene eseguito sulla tua macchina. Gli aggressori distribuiscono programmi dannosi per svolgere il lavoro pesante.
- Key logger catturano ogni sequenza di tasti. La tua password? Andato.
- I Trojan di cattura dello schermo scattano istantanee della tua attività. Lo riferiscono all’aggressore.
- Trojan di accesso remoto (RAT) trasformano il tuo PC in uno zombie. Il tuo computer diventa un nodo di una botnet. Invia e-mail di phishing o ospita pagine false.
- I Bot chattano con te. Imitano il comportamento umano nei forum. Coordinano le reti di zombi.
- Spyware tiene traccia delle tue abitudini di navigazione. Impara i tuoi schemi. Aiuta gli aggressori a pianificare il prossimo attacco.
La tua macchina è compromessa. Il phisher non ha bisogno di indurti con l’inganno a fare clic su un collegamento. Hanno solo bisogno che tu visiti una pagina.
Riesci a individuare la differenza?
Quanto sai effettivamente cosa stai guardando?
MailFrontier offre un test IQ sul phishing. Controlla se riesci a individuare i falsi. Next Generation Security Software pubblica una guida su altre tecniche. Antiphishing.org analizza un attacco passo dopo passo.
C’è molto da monitorare.
Antiphishing
Perché la sicurezza di base blocca la maggior parte delle truffe
Conosci già il trapano. Firewall attivo. Antivirus attivo. Queste non sono solo parole d’ordine; sono la tua prima linea di difesa contro il phishing. Ma se vuoi la vera sicurezza, devi guardare più da vicino. Controlla il certificato SSL su qualsiasi sito prima di accedere. Controlla i tuoi estratti conto riga per riga.
I phisher sono sciatti. Lasciano impronte nelle loro e-mail e nei loro siti web. Quando apri la posta in arrivo, cerca le bandiere rosse.
I saluti generici sono un indizio morto. “Caro cliente” urla truffa. Le banche legittime di solito impiegano del tempo per digitare il tuo vero nome. (Nota: lo spear phishing è un’eccezione. Questi aggressori fanno i compiti e usano il tuo nome, quindi non abbassare la guardia solo perché sembra personale.)
Attenzione alle minacce. Se un’e-mail dice “Rispondi entro cinque giorni o cancelleremo il tuo account”, eliminala. Le vere aziende vogliono il tuo business. Non si lasciano prendere dal panico per alcuni giorni di silenzio.
Nessuna azienda legittima richiede password o SSN via e-mail. Questo era vero prima che esistesse il phishing. È vero ancora adesso.
I collegamenti sono dove è tesa la trappola. URL lunghi? Caratteri strani come il simbolo @ al centro? Errori di battitura? Non fare clic. Digitare manualmente l’indirizzo. Ci vogliono due secondi in più. Ti evita di perdere tutto.
Gli errori di ortografia sono il trucco più antico del mondo. Una grammatica scadente non sembra professionale e non dovrebbe essere considerata attendibile in un messaggio finanziario.
Come i governi e gli ISP stanno reagendo
La guerra non è solo colpa tua. Aziende e governi si stanno opponendo. Il governo degli Stati Uniti ha imposto alle banche di utilizzare l’autenticazione a due fattori entro la fine del 2006. Ciò significa più di una semplice password. Hai bisogno di un token fisico o di una scansione biometrica. È un piccolo ostacolo che spezza la catena dell’attacco per la maggior parte dei criminali.
I fornitori di servizi Internet e gli sviluppatori di software offrono protezioni per le barre degli strumenti. Questi strumenti verificano istantaneamente i certificati di sicurezza. Ti dicono dove è registrato un sito. Analizzano i collegamenti prima di fare clic. Alcuni forniscono anche segnali visivi, come una barra verde o un logo specifico, che confermano che sei sul sito reale.
Usateli.
Cosa fare quando ti scotti
Se pensi che un’email sia falsa, non rispondere. Non fare clic. Non regalare nulla.
Segnalalo all’azienda che viene impersonata. Utilizza il loro sito ufficiale o chiamali direttamente. Non utilizzare le informazioni di contatto nell’e-mail sospetta. Puoi anche segnalare il tentativo al National Fraud Information Center e al gruppo di lavoro anti-phishing.
Se hai già fornito loro i tuoi dati, il danno è fatto. Ma puoi limitarlo.
- Contatta immediatamente l’azienda falsificata.
- Chiama la tua banca, prestatore o emittente della carta di credito.
- Segnala la frode ad almeno uno dei principali uffici di credito: Equifax, Experian o TransUnion.
- Presenta una denuncia alla polizia locale.
- Informare la Federal Trade Commission.
- Segnala il crimine informatico all’FBI tramite l’Internet Crime Complaint Center.
Cambia le tue password. Inizia con il sito compromesso. Quindi cambiali ovunque. Se riutilizzi le password, stai solo aspettando che l’altra scarpa cada.
La portata della minaccia
I numeri non mentono. Solo nell’agosto 2005 si sono verificati 13.776 attacchi di phishing collegati a 5.259 siti web diversi.
Hanno preso di mira 84 aziende. Ma tre società hanno preso l’80% dei risultati.
L’85% di questi attacchi ha preso di mira banche e istituti finanziari. Il denaro è nelle transazioni.
I phisher riescono nel 5% dei casi. Non si tratta di un tasso di conversione elevato, ma in termini di volume è enorme.
57 milioni di utenti Internet negli Stati Uniti hanno ricevuto almeno un’e-mail di phishing. Fino a 1,7 milioni hanno effettivamente divulgato le proprie informazioni personali.
Fonte: NGS Software e AntiPhishing.org
Proteggi i tuoi dati dagli attacchi di phishing
Anche le imprese hanno un ruolo da svolgere. Hanno bisogno dell’autenticazione a più fattori. Hanno bisogno di protocolli di autenticazione e-mail. E devono educare i propri utenti. Tu sei l’anello più debole. Renditi più forte.
Se sospetti un’e-mail di phishing, fermati. Non fare clic. Non fornire informazioni. Segnalatelo all’organizzazione. Elimina il messaggio.
È semplice. È noioso. Ma funziona.
