Il phishing può essere eseguito su qualsiasi mezzo di comunicazione. Alcuni dei tipi più comuni di phishing includono:
Quando la maggior parte delle persone pensa al phishing, pensa alle e-mail. Il phishing via e-mail si distingue a sua volta in alcuni tipi diversi:
Gli attacchi di phishing vocale prevedono che si chiami la vittima prevista e si cerchi di convincerla a compiere un'azione. Il chiamante può fingere di essere un'agenzia di riscossione che interroga una fattura non pagata o qualcuno del "supporto tecnico" che ha bisogno di accedere al computer dell'utente.
In un attacco di phishing via SMS, il malintenzionato invierà un messaggio di testo chiedendo alla vittima di fare clic su un collegamento o di rispondere al messaggio. Questi attacchi spesso copiano il tipo di messaggio SMS che una persona riceverebbe da un corriere o da un sito web governativo, fino a replicare il numero da cui è stato inviato.
Gli attacchi di dirottamento delle pagine prevedono che l'aggressore cloni un sito Web e indirizzi la vittima a esso. Potrebbe trattarsi di un attacco ampio, in cui si cerca di generare molto traffico verso la pagina falsa attraverso la pubblicità a pagamento, oppure di un attacco mirato in cui il dirottamento della pagina viene combinato con altre forme di phishing.
Questo attacco sfrutta le impostazioni predefinite del calendario mal configurate per inserire link di phishing nei calendari online delle persone. Molte persone sono addestrate a prestare attenzione ai link di phishing nelle loro e-mail, ma potrebbero non essere consapevoli del fatto che è possibile inserire link dannosi anche nei loro calendari, dando a questi attacchi una probabilità di successo relativamente alta.
Il modo in cui i messaggi vengono recapitati è solo una parte del phishing. È anche importante essere consapevoli di come funziona la truffa. Le e-mail di phishing che hanno successo utilizzano diverse tecniche per eludere i filtri delle e-mail e ingannare il destinatario, inducendolo a fare clic su un link o a seguire l'azione desiderata.
La manipolazione dei collegamenti viene utilizzata per fare in modo che i collegamenti in un'e-mail assomiglino all'indirizzo del sito Web che l'utente malintenzionato sta impersonando. Tuttavia, quando l'utente fa clic sul link, viene portato sul sito Web del malintenzionato. Alcuni autori fanno un ulteriore passo avanti e utilizzano caratteri insoliti o indirizzi lunghi e complessi per ingannare gli utenti che potrebbero non capire la differenza tra un dominio di primo livello e un sottodominio.
I malintenzionati utilizzano spesso immagini per aggirare i filtri di phishing e spam. Le piattaforme e i software di posta elettronica dispongono spesso di filtri per bloccare lo spam e le e-mail dannose, ma questi filtri non sono sempre in grado di elaborare le immagini.
La pratica dell'ingegneria sociale implica l'identificazione delle vittime e la costruzione della fiducia. Ad esempio, se qualcuno cade nella prima fase di un attacco di phishing e risponde a un'e-mail, il malintenzionato gli chiederà gradualmente di consegnare le informazioni personali, utilizzando scuse plausibili per spiegare il motivo per cui ha bisogno di ogni singolo dato, piuttosto che richiedere tutte le informazioni in una volta sola.
I tentativi di phishing possono variare dall'essere messaggi di posta elettronica costruiti relativamente male, pieni di errori di ortografia, punteggiatura e grammatica a messaggi accuratamente elaborati e altamente mirati. Alcune cose comuni a cui prestare attenzione includono:
Le aziende che vogliono proteggersi dagli attacchi di phishing mirati dovrebbero prendere in considerazione l'adozione di una serie di precauzioni, tra cui il miglioramento delle politiche di sicurezza e la formazione del personale per individuare ed evitare gli attacchi informatici. Alcune precauzioni utili includono:
Se possibile, attiva un filtraggio aggressivo delle e-mail e la riduzione dei contenuti a livello di rete. Il blocco del malware noto o dei siti di tracciamento può fare molto per ridurre le minacce di phishing. Considera la possibilità di far apparire un avviso su tutte le e-mail provenienti da un indirizzo non presente nella rubrica dell'utente.
Utilizza un browser configurato per visualizzare un avviso se l'utente viene indirizzato a un sito Web non sicuro o a un sito Web noto per il phishing. Assicurarsi che gli utenti non siano in grado di disabilitare o ignorare questi avvisi.
Utilizza funzionalità di sicurezza aggiuntive oltre agli accessi con password. Ad esempio, la sicurezza biometrica può essere impiegata per sistemi importanti. Inoltre, l'utilizzo di "immagini di confidenza" come parte del processo di accesso può avvisare gli utenti della possibilità che si trovino su un sito di phishing.
L'abilitazione dell'MFA per sistemi importanti può ridurre il rischio di phishing e altre forme di attacchi informatici. Considera l'utilizzo di un autenticatore hardware rispetto all'autenticazione a due fattori basata su SMS, perché l'autenticazione via SMS può essere aggirata tramite attacchi SIM-swap.
Gli attacchi di phishing alle aziende possono essere incredibilmente costosi, soprattutto se forniscono agli aggressori la possibilità di infettare la rete con il ransomware. Scopri come Veeam può aiutarti a proteggere i dati vitali della tua azienda con soluzioni di backup e ripristino e protezione contro il ransomware.