Hai mai sentito parlare di spear phishing?
Le minacce spear phishing consistono in attacchi di phishing mirati e personalizzati che sono indirizzati a persone o aziende specifiche.
A riprova che possiamo essere tutti vittime di attacchi digitali e che dobbiamo essere preparati ad affrontare situazioni impreviste e urgenti dietro le quali si può celare una minaccia concreta, vogliamo presentarvi questo case history tratto da un’esperienza reale.
La storia che riportiamo è quella di un dipendente di un’azienda che si occupa di gestione eventi. Il nostro protagonista, un mattino, riceve una richiesta piuttosto pressante e concitata dal suo titolare, tramite WhatsApp: il superiore è a un convegno molto importante e si trova con la necessità di regalare ad alcuni potenziali contatti un certo numero di ricariche per la piattaforma Google Play.
Tramite chat, il titolare giustifica questa richiesta dicendo che non può occuparsi personalmente dell’acquisto e che non può contattarlo a voce in quanto troppo occupato a gestire le public relations al congresso. Ovviamente il dipendente viene rassicurato dell’immediato rimborso di quanto anticipato per l’acquisto, che, data l’urgenza, deve essere fatto il prima possibile!
Il malcapitato è certo della buona fede del suo interlocutore: poco importa se il numero di telefono non corrisponde a quello che ha memorizzato in rubrica, poco importa se negli anni di collaborazione non ha mai riscontrato pretese simili.
L’epilogo è il seguente: una volta avuta la fiducia della vittima, facendo leva sul carattere di estrema urgenza della faccenda, il truffatore ottiene i numeri di sblocco delle cards acquistate e… si dilegua.
A nulla valgono le successive denunce e i vari tentativi di risarcimento.
L’attacco è un tipico fenomeno di spear phishing (ossia phishing mirato), probabilmente associato a qualche attività pregressa di social engineering con cui sono state carpite informazioni rilevanti sul dipendente e sulle sue relazioni aziendali.
Porre rimedio ad un simile problema, una volta caduti nella trappola, non è semplice: occorre infatti agire in modo preventivo e individuare i pattern di comportamento difformi da quelli consueti.
In questo caso la richiesta del titolare è stata fatta da un numero diverso da quello memorizzato dalla vittima e il truffatore ha domandato in modo pressante e insistente un “favore” mai chiesto prima.
Sarebbe stata sufficiente una telefonata di verifica, un dubbio, una diffidenza dimostrata rispetto a questo atteggiamento anomalo a mettere al riparo il malcapitato dalle conseguenze di un agire impulsivo.
Cosa fare quindi se ci si trova in una situazione simile?
Spear phishing: cosa fare?
- Diffidare da richieste che esulano da comportamenti abituali. La persona che ci sta scrivendo/parlando usa lo stesso tono e lo stesso modo con cui si rivolge a noi normalmente? C’è qualcosa nel suo atteggiamento che ci insospettisce?
- Verificare da chi arriva il messaggio, la chiamata, l’email. Non è sufficiente che l’immagine del profilo o l’indirizzo del mittente ci sembri a prima vista corretto, dobbiamo essere sicuri per esempio riconoscendo i nomi di dominio attendibili.
- Mai farsi prendere dalla fretta e non procedere istintivamente.
In qualità di esperti di Cybersecurity a Torino ti proponiamo un percorso formativo sulla privacy e sulla sicurezza informatica. In questo modo potrai aumentare la tua consapevolezza dei rischi in ambito informatico e potrai essere preparato ad agire prontamente rispetto a simili minacce!