Ancora oggi, nonostante il phishing sia diventato un termine piuttosto conosciuto in Italia, questa tecnica di hacking è fra le più insidiose ed efficaci.
- Phishing: di cosa si tratta?
- Perché il phishing è sempre più difficile da identificare?
- 1. IA di ultima generazione
- 2. Sfruttamento di eventi e notizie recenti
- 3. Contraffazione di siti affidabili
- 4. Attacchi mirati (Spear Phishing)
- 5. Piattaforme social e app di messaggistica
- Il phishing in Italia: un problema in crescita
- Come proteggersi dal phishing
Scendendo più nel dettaglio, il livello di sofisticazione dei messaggi inviati alle vittime rende sempre più complicato distinguere fra le comunicazioni serie e affidabili, e quelle che potrebbero celare delle insidie.
Per far luce su questo tema, spiegheremo cos’è il phishing, perché è così difficile da rilevare e cosa possiamo fare per difenderci da questo rischio.
Phishing: di cosa si tratta?
Precisamente, cos’è il phishing? Questo termine viene utilizzato per definire una truffa online, che ha l’obiettivo di rubare informazioni sensibili come password, numeri di carte di credito e dati personali, tramite l’invio di comunicazioni di vario tipo, in cui il truffatore finge di essere una fonte affidabile.
All’atto pratico, i cyber aggressori possono rivolgersi alle vittime tramite email, messaggi di testo (smishing) o chiamate vocali (vishing), cercando di convincerle a fornire i loro dati o a compiere una certa azione (come, ad esempio, cliccare su link malevoli).
L’esempio classico è il messaggio via email, in cui l’hacker finge di essere il dipendente della banca della vittima. All’interno della comunicazione viene prospettato uno scenario verosimile per convincere il “target” a rivelare informazioni sensibili, come ad esempio il nome utente e la password, all’interno del modulo collegato tramite link. In realtà, questo collegamento conduce l’ignara vittima all’interno di un sito fake, creato al solo scopo di carpire (e rivendere o utilizzare in altro modo illecito) queste informazioni.
Perché il phishing è sempre più difficile da identificare?
Fino a pochi anni fa gli attacchi di phishing erano piuttosto goffi, costellati di errori grammaticali e storpiature che facevano capire senza troppi problemi che il mittente non era una fonte seria e affidabile.
Grazie all’intelligenza artificiale generativa e altri strumenti, i cybercriminali hanno affinato le loro tecniche, rendendo così più realistici i propri messaggi.
1. IA di ultima generazione
I criminali informatici sono sempre all’avanguardia e non ci hanno messo molto ad applicare strumenti avanzati come l’intelligenza artificiale (IA) e il machine learning per i loro nefasti scopi.
Questi strumenti permettono di analizzare grandi quantità di dati in poco tempo, generando così messaggi più autentici, completi di elementi grafici, contatti e caratteri simili a quelli che si possono trovare di solito nelle comunicazioni via email delle aziende reali.
Ad esempio, l’IA può essere utilizzata per imitare il tono e lo stile delle comunicazioni di un istituto bancario online. Così, l’utente avrà molti più problemi a distinguere tra un’email legittima e una truffa.
2. Sfruttamento di eventi e notizie recenti
Gli hacker fanno leva sulle ultime tendenze o le notizie di maggiore impatto nell’ultimo periodo per rendere ancora più credibili i loro messaggi. Forse l’esempio più eclatante degli ultimi anni è stato l’uso di falsi messaggi relativi alla pandemia di COVID-19, con finti aggiornamenti o link a moduli per fornire la propria adesione alle campagne di vaccinazione. In questi casi, il senso di urgenza e la paura si fanno sentire con maggiore forza in presenza di eventi attuali ad alto impatto emotivo, spingendo un numero maggiore di persone a cliccare sui link senza un’attenta riflessione.
3. Contraffazione di siti affidabili
Alcuni truffatori si sono specializzati nella creazione di siti web di phishing che replicano perfettamente portali reali. Questi siti sono sostanzialmente identici alla versione ufficiale delle banche online, ad esempio. Quasi sempre ci sono delle differenze, ma si tratta di dettagli difficili da notare, soprattutto a un occhio poco attento.
4. Attacchi mirati (Spear Phishing)
Anziché inviare email generiche a migliaia di persone, molti attacchi di phishing sono mirati e personalizzati. Gli aggressori raccolgono informazioni specifiche su una persona per creare un messaggio cucito su misura. In gergo tecnico si parla di “spear phishing”, una tecnica molto usata contro dirigenti aziendali e dipendenti ad alto livello che hanno accesso a dati sensibili.
5. Piattaforme social e app di messaggistica
Oltre alle email, gli attacchi di phishing si sviluppano attraverso molte altre piattaforme, come i social media e le app di messaggistica. Sfruttando canali molto utilizzati da milioni di italiani, i truffatori possono raggiungere le loro vittime in modo meno formale, cogliendole spesso con le difese abbassate.
Nel nostro Paese sono piuttosto frequenti gli attacchi via SMS (smishing), soprattutto con messaggi che sembrano provenire da corrieri come SDA o DHL, e contengono al loro interno notifiche di consegne verosimili ma che non avverranno mai.
Il phishing in Italia: un problema in crescita
Secondo il Rapporto Clusit del 2023, il phishing è ancora oggi una delle minacce informatiche più rilevanti in Italia, come dimostra l’aumento degli attacchi negli ultimi anni. Settori come quello bancario, l’e-commerce e la pubblica amministrazione sono i più vulnerabili.
Un recente sondaggio ha rivelato che nel 2022, il 79% delle aziende italiane ha subito almeno un attacco via email. Le piccole e medie imprese (PMI) sono spesso quelle più a rischio, anche perché investono di meno in soluzioni di sicurezza informatica rispetto alle grandi aziende.
Come proteggersi dal phishing
Come abbiamo visto, gli attacchi di phishing sono sempre più raffinati. Questo non significa però che non ci siano buone abitudini e contromisure che possiamo mettere in pratica per prevenire le truffe. Ecco qualche consiglio pratico:
- Verifica l’indirizzo del mittente: anche se l’email potrebbe sembrarti seria e affidabile, controlla con attenzione l’indirizzo del mittente alla ricerca di eventuali anomalie.
- Non cliccare su link sospetti: se ricevi un’email o un messaggio con un link sospetto, non cliccarci sopra.
- Utilizza l’autenticazione a due fattori (2FA): per i criminali è molto più difficile violare i tuoi account se è necessario inserire un codice inviato via SMS al momento del login.
- Partecipa a corsi di formazione: online si possono trovare diverse risorse gratuite, utili a potenziare le proprie competenze, mettendole anche alla prova con test ed esercitazioni.
Ovviamente, non può mai mancare la giusta dose di attenzione. Dopo tutto, il phishing ha bisogno dell’errore umano per andare a segno. Ecco perché devi tenere le antenne ben dritte e non abbassare mai la guardia.
