A causa del Covid-19 tantissime aziende hanno ricorso allo smart working. Purtroppo questo tipo di modalità è molto più sensibile agli attacchi informatici rispetto al classico lavoro d’ufficio perché, per ovvi motivi, non vedendosi, molte comunicazioni avvengono tramite email aziendale piuttosto che piattaforme di IM (Whatsapp, Telegram…) e risulta più facile per gli attaccanti sfruttare queste modalità di comunicazione. 

Phishing è una categoria di spam, cioè di email non richieste, che consiste nel chiedere al destinatario informazioni personali o direttamente trasferimento di denaro. 

Da uno studio di Lookout risulta che questo tipo di attacchi sia aumentato del 37% con il lockdown.  

Ci sono diverse categorie di phishing:

  • Phishing o pesca a strascico, mandare una mail fraudolenta che chiede informazioni personali o soldi (un esempio tipico è “Sono una principessa nigeriana, mandami 100$ e io ti ricompenserò con 1M$”) e che viene mandata a tantissimi utenti sapendo che almeno uno tra tutti i destinatari risponderà  
  • Spear phishing nel momento in cui l’obiettivo è un’azienda precisa. Richiede molto studio da parte dei criminali per capire come funzionano le comunicazioni, quali sono i ruoli eccetera, ma una volta infiltrati nel sistema un attaccante riesce poi a raggiungere il suo obiettivo
  • Clone phishing: caso in cui una mail viene alterata in modo da modificarne il contenuto. Ad esempio nel caso di transazioni finanziarie cambiando l’IBAN in modo da ricevere il pagamento
  • Whaling: in questo caso quello che succede è che la vittima di un attacco è una figura di spicco all’interno di un ente o una organizzazione. Spesso questo tipo di attacchi funziona perché questo tipo di persone non prestano la dovuta attenzione alle mail o messaggi che ricevono. 

Gli attacchi di phishing hanno successo perché vanno a “giocare” con quello che è il nostro cervello, ad esempio invertendo l’ordine di alcune lettere il nostro cervello riesce comunque a leggere e capire il senso della frase.

link

La migliore difesa contro gli attacchi di phishing, specialmente quelli mirati sono un buon filtro antispam che quantomeno vada a contrassegnare mail sospette, ma soprattutto sono le persone. Per difendersi da attacchi di phishing bisogna:

  •  controllare sempre il mittente di una mail e leggere bene l’indirizzo email, ad esempio security-forge e secutiry-forge sono simili ma profondamente diversi. Avete presente il consiglio della mamma o della nonna “non aprite agli sconosciuti?” ebbene vale lo stesso discorso, e diffidate ancora di più se l’indirizzo vi sembra familiare ma non lo è
  • nel dubbio non aprite la mail, eventualmente contattate il mittente per altro mezzo e verificate che sia effettivamente lui
  • se ci sono allegati apriteli solo se siete sicuri al 100% che non possano contenere codice malevolo
  • NON acconsentite MAI ad eseguire macro

Se conoscete l’inglese e volete divertirvi un po’ con il phishing, ecco un paio di video realizzati da James Veitch, OVVIAMENTE non vi raccomando di fare la stessa cosa: