Phishing e Incantesimi Digitali: la prima difesa sta nelle tue mani

Tempo di lettura: 6 min.

Nell’era in cui l’interconnessione digitale è diventata la spina dorsale della nostra società, non si può che accogliere con urgenza la necessità di proteggersi dai pericoli del “Cyberspazio”, il luogo di scambio digitale in cui si intersecano reti di comunicazione, database e fonti di informazioni di tutti i generi. Ovunque “[...] ci siano fili telefonici, cavi coassiali, linee in fibra ottica o onde elettromagnetiche”(Dyson et al., 1996) si dice che si crea un’“ecosistema di rete”, un luogo pieno di opportunità, ma anche di pericoli infimi e ben nascosti: dagli attacchi di phishing ai software malevoli, queste minacce possono avere come obiettivi il furto di dati sensibili o la distruzione di dati, l’interruzione di servizi online o anche il sabotaggio di infrastrutture critiche.

Sicurezza Digitale e pericoli reali

La CyberSecurity riguarda sia i rischi cui questo ambiente ci espone sia le pratiche o i processi per renderlo (più) sicuro, con un focus sulle attività e le misure intese a proteggerne i dati. I timori degli utenti di oggi sono rivolti ai famigerati “hacker”, termine più travisato della storia del digitale: originariamente, infatti, descriveva programmatori particolarmente abili o esperti tecnici che, attraverso la conoscenza approfondita delle interfacce di programmazione, erano in grado di creare software innovativi facendo capo a un’etica sentita che valorizzava la condivisione, l’apertura, l’accesso libero ai computer e alle informazioni, oltre alla decentralizzazione del potere (Levy 1984); tuttavia, nell’uso comune odierno, “hacker” descrive più frequentemente gli intrusi informatici o i criminali, coloro che utilizzano le loro competenze per compiere atti illeciti, spesso con gravi conseguenze economiche e sociali, proprio come nel caso del phishing. Per proteggersi dalle minacce, individui e organizzazioni adottano diverse pratiche, come l’utilizzo di software antivirus, firewall, la crittografia dei dati, l’autenticazione a più fattori, la gestione delle patch e degli aggiornamenti software e - da non sottovalutare - la formazione essenziale degli utenti sulle buone pratiche di sicurezza informatica.

Cybersecurity e Phishing

Quella del phishing è una delle tecniche di attacco informatico più diffuse (per Khan & Haque 2017 riguarda più di un quarto della popolazione mondiale e, secondo il Verizon 2022 Data Breach Investigations Report (DBIR), rappresenta oltre il 60% delle violazioni totali), sfruttata dai malintenzionati per ingannare le vittime e indurle, mediante sottili dissimulazioni testuali e grafiche, a condividere informazioni personali, dati finanziari o credenziali di accesso.

Natura e Tipi di Phishing

Gli attacchi di phishing iniziano tipicamente con un messaggio proveniente da una fonte apparentemente legittima (come banche, poste, servizi online o autorità governative) che invita l’utente a cliccare su un link, inviare le proprie credenziali di accesso per risolvere un problema relativo al suo account e/o a una transazione, ad allegare un file. Queste azioni conducono, però, come è ovvio, a una pagina web truffa, quasi identica a quella vera, dove all’utente viene chiesto di inserire le proprie informazioni personali. Una volta fornite, esse cadono nelle mani dei cybercriminale e la truffa è servita. Caratterizzato quindi da un’alta dose di ingegnosità psicologica, che fa leva sulla fiducia ingenuamente professata dagli utenti, il phishing può declinarsi in modi diversi, mantenendo il comune denominatore della puntuale imitazione di aspetti e layout caratteristici di entità fidate pubbliche o private. Di seguito alcuni tipi dirimenti di phishing:

• Spear Phishing: è rivolto a individui o organizzazioni specifiche per ottenere informazioni riservate. Questa tipologia richiede da parte dell’hacker un’analisi della vittima volta a scoprire informazioni come nomi e/o indirizzi e-mail, in modo da generare un e-mail credibile da inviare al malcapitato;
• Clone Phishing: si attua per mezzo di una copia plausibile (clone) di e-mail che sono state magari ricevute in passato dalla vittima. In questo caso l’hacker sostituisce il link e/o i file allegati con degli altri simili ma dannosi e, così, l’utente concede l’accesso all’hacker, che diviene in grado di falsificare l’identità della vittima per spacciarsi come mittente affidabile e di mira altri utenti;
• Smishing e Vishing: rispettivamente phishing tramite SMS e chiamate vocali, sfrutta la fiducia degli utenti nei confronti dei messaggi di testo e delle telefonate per ricavarne dati sensibili.

Come difendersi? Alcune strategie

In quanto utenti del cyberspazio, siamo vulnerabili in ogni istante ai pericoli del phishing, contro cui possiamo tuttavia intraprendere qualche strategia di protezione.

• ➤ Educazione e Consapevolezza: la prima linea di difesa è l’informazione perché solo avendo presenti le tecniche di phishing è possibile riconoscere i tentativi di truffa o, quantomeno, aprirsi al dubbio di fronte a richieste sospette. Ciò vale sia a un livello circoscritto, come quello dei singoli utenti che navigano sul web, sia a uno di più ampio respiro come quello aziendale, entro il quale i dipendenti dovrebbero poter usufruire di regolari sessioni di formazione mirata per la protezione propria e della propria azienda;
• ➤ Verifica delle Fonti: mai cliccare su link o scaricare allegati da e-mail non sollecitate o da fonti non verificate. Se un messaggio sembra provenire da un’entità fidata ma suscita dubbi, è cruciale verificarne l’autenticità contattando direttamente l’entità tramite canali ufficiali. Il sospetto è dovuto e non solo lecito se
• • L’email contiene allegati inattesi o incongruenti, che potrebbero invece essere dei malware;
• • Il tono della mail presenta un linguaggio forte, allarmante, che gioca sulla retorica dell’urgenza e dell’inevitabilità. Ad esempio, quando si viene esortati a seguire un link per evitare che il proprio account venga subito bloccato/chiuso;
• • L’email contiene offerte troppo interessanti o viene chiesto di partecipare ad un concorso - poco plausibile - con premi esorbitanti;
• • Il testo è sgrammaticato, senza sintassi o con errori plateali di altro tipo. Se il messaggio della mail contiene troppi errori è possibile che il truffatore stia usando traduttori automatici per effettuare il tentativo di phishing.

• ➤ Uso di Soluzioni Tecnologiche: installare e mantenere aggiornati software antivirus e antimalware, utilizzare strumenti di filtro delle e-mail per bloccare messaggi sospetti e adottare l’estensione per la navigazione sicura che può segnalare siti web fraudolenti. Ad oggi esistono inoltre sistemi come quello della Security Email Gateway (SEG), un insieme di tecnologie che riescono ad individuare e classificare le mail di phishing in base alla pessima reputazione di link allegati nelle email stesse;
• ➤ Gestione delle Password: per quanto banale possa sembrare, utilizzare sempre password complesse e uniche per diversi account, adottando magari un gestore di password che possa semplificare questo processo. Ove possibile, sfruttare al massimo le opzioni di autenticazione a due fattori (2FA), che aggiungono un non trascurabile strato di sicurezza;
• ➤ Aggiornamenti Software: mantenere sistemi operativi, browser e applicazioni sempre aggiornati, perché riduce le vulnerabilità che possono essere sfruttate dagli attacchi di phishing;
• ➤ Scetticismo sui Dati: essere sempre critici e scettici sul tipo di informazioni che si decide di condividere online, perché dati apparentemente innocui possono essere utilizzati per costruire attacchi di phishing più convincenti.

Per concludere

Il phishing rappresenta una minaccia costante nel panorama della cybersicurezza: se siamo più interconnessi siamo maggiormente esposti alle falle che il cyberspazio può ospitare. Con un approccio proattivo alla sicurezza, che combina educazione, precauzioni tecniche e pratiche di buon senso, è possibile alzare una sorta di resilienza digitale per minimizzare i rischi associati a questa e a tutte le altre forme di attacco informatico. Ricorda: nell’era digitale, la propria vigilanza è il primo passo per rendersi autori di quegli incantesimi che ci possono difendere dalle insidie del cyberspazio.