Attacchi attraverso e-mail

Attacchi via e-mail: riconoscerli ed evitarli.

Il pericolo che causiamo noi utenti è allarmante quanto quello generato dall’esterno.

Partiamo dalla verità assoluta che il “fattore umano” è la debolezza più sfruttata per compiere attacchi informatici perché spesso l’utente non è consapevole del comportamento da adottatre quando utilizza i suoi strumenti informatici.

Suddividiamo i rischi interni del fattore umano in tre macro-categorie:

1. Inconsapevoli: chi commette errori o cade vittima di attacchi per la loro scarsa consapevolezza dei pericoli a cui sono esposti;
2. Incompetenti: chi non rispetta o trascura le procedure di sicurezza e controllo definite preventivamente;
3. Colpevoli: chi commette reato in maniera consapevole.

In quale di queste tre attitudini ti sei “applicato” fino ad oggi?

Gli attacchi più frequenti li subiamo attraverso posta elettronica dai contenuti rielaborati con varie tecniche di Social engineering.

Per descrivere il Social engineering potremmo paragonarlo ad una situazione nella quale, con l’intenzione di commettere un reato, piuttosto che aggredirci per rubarci qualcosa provano a convincerci a donarglielo attraverso manovre di convincimento.

Nel Social engineering, l’obiettivo dei criminali è quello di indurti a fidarti di ciò che ti viene inviato e a seguirne le indicazioni contenute.

Con questa tecnica vengono aggirati i basilari sistemi di sicurezza (ad esempio antivirus e firewall) puntando dritto sulle debolezze o curiosità della natura umana.

Quali sono le leve di vulnerabilità del “fattore umano”?

1. Colpa: le finestre che si aprono e contengono comunicazioni da parte di una finta polizia postale mentre navighi o scarichi qualcosa dalla rete.
2. Paura: un messaggio proveniente da un’agenzia che ti invita a cliccare da qualche parte per scaricare i dettagli di una pratica spinosa.
3. Incompetenza: la sconsiderata ipotesi di chi agisce senza prima capire di cosa potrebbe trattarsi senza porsi alcuna domanda.
4. Curiosità: il tipico invito a scoprire in cosa consiste il contenuto, ad esempio la consegna di un pacco o il ritiro di un regalo.
5. Desiderio: il genere di e-mail che propongono opportunità a “basso prezzo”.
6. Buoni propositi: la posta che riceviamo riguardo al supporto per donazioni a fini sociali.

Sfruttando tutte queste leve, si attua il Social engineering attraverso il “phishing”.

Cos’è il phishing? Il phishing è un sistema/software automatizzato attraverso il quale i cyber criminali inviano milioni di e-mail uguali e sanno già che alcune di queste, per una delle “leve” che abbiamo appena visto, verranno aperte.

Sono e-mail false ma costruite ad arte che per superare i sistemi base di sicurezza, vengono realizzate in modo da essere perfettamente identiche a quelle che potremmo aspettarci di ricevere.

La finalità è quella di diffondere malware con link o allegati per riuscire ad entrare nel sistema della vittima, prenderne il controllo e rubare le credenziali bancarie per svuotarne il conto.

Tutto ha inizio così, quando ricevi una e-mail che ti sembra realistica e ti richiede di cliccare un link o di scaricare un allegato.

Fino a quando apri la posta solo per leggerne il contenuto, non clicchi alcun link e non scarichi nulla, sei ancora “al sicuro”.

Alcuni dati per fare chiarezza sul phishing:

• Rappresentano il 75% dei metodi di attacco.
• Il 30% delle e-mail vengono aperte.
• Il 16% degli utenti clicca o scarica
• il 45% delle aziende subisce questi attacchi quotidianamente.

Non abboccare anche tu, rifletti prima di agire.

Il primo attacco di phishing  nel 1996 coinvolse il primo Internet Service Provider americano AOL, da allora questa tecnica si è evoluta fino rendere difficilissimo riconosce le e-mail legittime da quelle illegittime.

Un esempio della sua evoluzione è lo “spear phishing” che consiste in un attacco mirato e ben definito.

La vittima viene tracciata, controllata e studiata nelle sue abitudini grazie alle informazioni presenti in Internet.

È talmente simile alla e-mail originale che a volte non viene neppure bloccata dall’antispam e per questo è molto più pericolosa e subdola.

Soprattutto le banche, i diversi sistemi di pagamento presenti in rete e i negozi online, sono soggetti ad attività di phishing, confermando il trend in aumento delle attività criminali online legate all’ambito finanziario, triplicatosi negli ultimi 5 anni.

Magari adesso ti starai domandando: “ma come fanno a conoscere i miei indirizzi e-mail?”

Sono tre le principali tecniche per fare incetta di indirizzi e-mail:

1. Azzardare: provano a generare indirizzi che potrebbero esistere, basandosi su qualche logica di loro elaborazione.
2. Acquistarle: non è più una rivelazione che in Internet (Dark Web) si possa acquistare di tutto, indirizzi e-mail compresi.
3. Spambot: una programma realizzato per cercare e raccogliere tutti gli indirizzi e-mail presenti nelle pagine web, nei siti violati, nei social network…

“Nella rete del web si pesca in maniera indifferenziata, di tutto e di più, nessuno escluso.”

Clamoroso è stato il caso del “sito fake”, con l’estensione modificata (.net), della banca Fineco. Risultato? Conti svuotati per il rilascio di credenziali e password nel sito sbagliato.

Perché dovrebbero attaccarti? Qui trovi tutti i motivi

Conosci qualcuno che è rimasto conivolto in questi reati? Ti andrebbe di raccontarlo aiutando tutti a scoprire come li ha superati?

Un argomento che scatena molte domande è quello riguardante le “password”. Nel prossimo articolo approfondiremo le tecniche per creare password potenziate e come gestirle.

Alla prossima, Salvo.

Seguici sul social che preferisci e metti “mi piace” alla nostra pagina Facebook per conoscere in anteprima le tecniche e le strategie che ti aiuteranno a potenziare la tua sicurezza online.

| |

Se ti è piaciuto, aiutaci a condividerlo con chi credi possa apprezzarlo. Grazie.