Cos’è lo spear phishing?

Come funziona un attacco di spear phishing?

Quando un hacker vuole rubare denaro a un'azienda o installare un malware sui suoi sistemi, è probabile che prenda di mira l'anello più debole: i dipendenti. Individua una persona che abbia abbastanza potere e accessi all'interno dell'azienda, cercando di raccogliere quante più informazioni al riguardo.

Potrebbe ad esempio sfruttare i profili sui social media della vittima o dei suoi amici: i tweet, le storie pubbliche su Instagram e i tag geografici possono essere utili per tracciare l'identikit di una persona. Anche il sito web dell'azienda può essere un'utile fonte di informazioni, per non parlare di ciò che un malintenzionato potrebbe scoprire intercettando le comunicazioni online della sua vittima.

Una volta che conosce bene la persona, può imitarne lo stile nelle e-mail inviate ai colleghi. Potrebbe persino scrivere direttamente alla vittima, fingendo di essere un cliente importante e chiedendo favori o piccoli lavori da svolgere.

Questo tipo di attacco viene chiamato spear phishing perché prende di mira una persona specifica: in inglese, infatti, il termine "spear" significa "lancia". Proprio come un pescatore che usa una fiocina per catturare un grosso pesce, il criminale informatico adotta metodi su misura di ingegneria sociale per indurre con l'inganno una persona a fare qualcosa.

Le differenze tra spear phishing e phishing

Il phishing è l'attacco di ingegneria sociale più comune su internet e, di norma, prende di mira un pubblico generale, gli utenti che utilizzano un particolare servizio, e così via. Gli hacker inviano centinaia, o talvolta addirittura migliaia di e-mail, aspettandosi che almeno qualche persona risponda. Nella maggior parte dei casi questi messaggi sono scritti male, contengono caratteri strani e sono pieni di errori di battitura.

Lo spear phishing implica invece attività di ricerca e una lunga preparazione. Gli hacker prendono di mira una persona specifica, quindi dedicano più tempo per fare in modo che l'e-mail di phishing risulti credibile. Questi messaggi falsi sono così ben scritti che possono essere difficili da riconoscere anche per un professionista, per non parlare delle persone che devono rispondere a decine di e-mail ogni giorno. Questa strategia è più difficile da mettere in atto rispetto ai normali tentativi di phishing; ma se l'hacker riesce nel suo intento, ottiene tutte le informazioni e gli accessi necessari per portare a termine il suo attacco.

Un esempio di spear phishing

Immagina di ricevere un'e-mail di lavoro con questa richiesta: "Ciao Susanna, potresti saldare questa fattura per mio conto? Grazie mille!". Se ti chiami Susanna, gestisci spesso le fatture dell'azienda e il tuo capo conclude sempre le sue e-mail con un "Grazie mille!", scarichi la fattura allegata ed effettui il pagamento.

Potresti scoprire che si trattava di un'e-mail falsa nel giro di poche ore o addirittura il giorno successivo, senza però riuscire a recuperare il denaro dell'azienda. L'hacker ha monitorato le e-mail del responsabile, scoprendo chi si occupa delle fatture insieme al suo nome e indirizzo di posta elettronica; ha quindi scritto un'e-mail a questa persona, imitando alla perfezione il tono di voce abituale del suo capo. Ha persino falsificato il nome del mittente e inviato il messaggio. L'unica cosa che avrebbe potuto insospettire il destinatario era l'indirizzo e-mail del mittente; tuttavia, le persone di solito non lo controllano per ogni messaggio che ricevono.

Come prevenire lo spear phishing?

Le aziende e le organizzazioni sono i bersagli più comuni dello spear phishing. Esistono diverse misure che ogni impresa può adottare per ridurre il rischio di spear phishing; tuttavia, la maggior parte di esse si concentra sulla formazione del personale.

Sia che tu esternalizzi i servizi informatici o disponga di un reparto interno dedicato, discuti la questione con i responsabili dei sistemi di posta elettronica. Prendi in considerazione misure standard come filtri antispam, antivirus e filtri per i browser. Raccomandazioni come non cliccare, non scaricare e altre indicazioni di questo tipo non sono efficaci per chi deve occuparsi di un gran numero di fatture ogni giorno: prova quindi a modificare le procedure. Ad esempio, fai in modo che qualsiasi transazione finanziaria venga confermata da almeno due persone prima di procedere con il pagamento.

Inoltre le aziende dovrebbero esortare i propri dipendenti a utilizzare l'autenticazione a due fattori laddove possibile. In questo modo, anche se una password venisse violata, l'account ad essa associato rimarrà al sicuro perché l'hacker non potrà accedervi senza il secondo fattore. Potrebbe essere necessario un po' di tempo per abituarsi, soprattutto per i dipendenti meno esperti in ambito tecnologico, ma alla lunga ne varrà la pena. Avrai così la certezza che, anche se qualcuno venisse ingannato da un'e-mail di phishing, gli account dell'azienda rimarranno al sicuro.

Un altro fattore importante da tenere presente è la cultura aziendale. Per molti dipendenti è difficile mettere in discussione i propri capi; di conseguenza, se ricevono un'e-mail di spear phishing, fanno tutto ciò che viene richiesto loro senza interrogarsi sul motivo. Si tratta di un'abitudine difficile da eradicare, poiché richiede un cambiamento nel modo in cui le persone che lavorano in un'azienda comunicano tra di loro. Ma se gestisci informazioni sensibili, potrebbe essere una buona strategia da adottare.

Misure per la sicurezza informatica personale

Se un hacker vuole attaccare l'azienda per cui lavori, potrebbe cercare di contattarti tramite il tuo indirizzo e-mail personale. Per quanto riguarda i consigli sulla sicurezza informatica a livello personale, esistono alcune misure che si possono adottare per evitare di cadere vittima di un attacco di spear phishing:

• Fai attenzione alle e-mail, anche se provengono da colleghi o amici. Se in questi messaggi vengono richieste informazioni personali in modo inaspettato, verifica l'identità del mittente prima di inviare qualsiasi dato. Utilizzi un linguaggio informale nelle e-mail di lavoro? In tal caso, un messaggio più formale del solito da parte di un collega è un campanello di allarme. Leggilo con attenzione prima di fare qualsiasi cosa.

• Non condividere troppe informazioni online. Se possibile rendi i tuoi account privati, in modo che solo le persone che conosci possano vedere ciò che pubblichi. Anche in questo caso, evita di condividere troppe informazioni personali. Non usare tag geografici, non rivelare i piani per le tue vacanze e non condividere informazioni di identificazione personale, come il numero di telefono, i dati della carta di credito, la data di nascita e via dicendo. In questo modo, per gli hacker sarà più difficile tracciare il tuo identikit.

• Usa software aggiornati e, di tanto in tanto, scansiona i tuoi dispositivi alla ricerca di malware. Questi possono infiltrarsi nel tuo computer o smartphone in diversi modi e senza che tu te ne accorga, quindi effettua scansioni e aggiornamenti periodici dei dispositivi.

• Utilizza password complesse e completamente diverse per ogni account. In questo modo, anche se uno dei tuoi account venisse violato, gli altri rimarranno al sicuro. Adotta un gestore di password per conservare in modo sicuro tutte le tue credenziali. In questo modo, non dovrai ricordarne o scriverne nessuna. Hai bisogno di aiuto per creare nuove password? Prova a usare il nostro Generatore di password per ottenere i migliori risultati.