Il miglioramento delle tecniche di phishing e dei modi per proteggersi

Home/Blog/Ethical Hacking/Il miglioramento delle tecniche di phishing e dei modi per proteggersi
170509-did-you-fall-for-the-Google-phishing-scam

Il consorzio internazionale antiphishing APWG (Anti-Phishing Working Group) ha recentemente pubblicato il suo ultimo rapporto sulle tendenze dell’attività di phishing, che mostra come il numero di siti web fraudolenti progettati per rubare dati sensibili sia notevolmente diminuito nel 2018 al punto da dimezzarsi. Questo calo potrebbe essere dovuto all’impegno globale contro il phishing e al passaggio da parte dei cyber criminali verso attività illecite maggiormente specializzate e lucrose rispetto al phishing di massa.

L’APWG però ipotizza che tale diminuzione potrebbe anche essere causata dall’uso da parte dei malfattori di nuove tecniche per proteggere gli URL di phishing dalla rilevazione, implicando l’utilizzo di diversi reindirizzamenti URL sfruttati per ingannare con più facilità le vittime e condurle con successo sulle pagine truffa.

Pertanto, se da un lato vi è un’ampia diminuzione dei siti di phishing, dall’altro aumenta il numero di quelli con certificati legittimi che mettono ancora più in difficoltà gli utenti, che rassicurati dal lucchetto verde nella barra degli indirizzi continuano con fiducia la navigazione sulle pagine fraudolente.

Contestualmente, l’indagine ha evidenziato anche una tendenza discordante secondo cui gli attacchi di phishing si rivolgono sempre più agli utenti di sistemi SaaS (software-as-a-service) e di servizi webmail e siano meno diretti verso gli  utenti di cloud storage e siti di hosting di file.

Nonostante ciò, i siti dedicati ai pagamenti online continuano a essere i preferiti per gli inganni dei criminali che utilizzano i loro nomi in oltre un terzo degli attacchi.

Un altro risultato interessante dello studio è rappresentato dal numero di indirizzi URL phishing che sfruttano un dominio di primo livello come “.com”, “.net” e “.org”. Un dato che conferma l’impegno nel migliorare la qualità delle truffe, considerando che solitamente l’uso di questo tipo di dominio accresce di molto il grado di affidabilità di un sito percepito dagli utenti.

Tuttavia, negli attacchi di phishing ne figurano ancora diversi che sono molto meno familiari per gli utenti medi di Internet: come per esempio quelli legati a paesi come Palau (.pw), Repubblica Centrafricana (.cf), Mali (.ml) e Gabon (.ga), che vengono preferiti dai criminali grazie soprattutto alla loro facilità di registrazione e alla loro gratuità.

Cinque consigli ai naviganti

Alla luce di quanto emerso da questa ricerca e al sempre maggior impegno profuso dai truffatori per ingannare gli utenti, gli esperti del blog di Ethical Hacking propongono cinque suggerimenti da seguire per evitare di cadere nelle trappole del phishing.

BizTech-PhishingSMB

1: Occhi sempre ben aperti durante la navigazione

Un consiglio che potrebbe sembrare banale, ma non lo è affatto. Il fattore umano è infatti considerato l’anello debole del processo di sicurezza ed è quindi sempre estremamente importante usare attenzione e prudenza durante la navigazione on-line e nel leggere le e-mail. Ad esempio, nello specifico non bisognerebbe mai cliccare in automatico sui vari link prima di averli analizzati, scaricare file o aprire allegati e-mail, anche se sembrano provenire da una fonte nota e attendibile.

2: Prestare attenzione ai link brevi

È sempre importante sospettare dei collegamenti abbreviati, in particolare nella navigazione sui social media. Difatti, i cyber criminali spesso utilizzano questo tipo di stratagemma per ingannare l’utente, facendogli credere che sta cliccando su un link legittimo, quando in realtà è stato pericolosamente dirottato verso un sito fasullo.

È consigliabile, perciò, posizionare sempre il mouse sul link per vedere se questo effettivamente punta al sito che di interesse o se al contrario potrebbe indirizzare verso altre destinazioni pericolose. I criminali informatici possono usare questi siti falsi per rubare i dati personali inseriti o per effettuare un attacco drive-by-download, infettando il dispositivo con dei malware.

3: Leggere e rileggere le e-mail

Le e-mail di phishing sono spesso evidenti e identificarle è abbastanza facile. Nella maggior parte dei casi presentano infatti molti errori di battitura e punteggiatura, parole interamente scritte in maiuscole e vari punti esclamativi inseriti a caso nel testo. Inoltre, spesso hanno un tono impersonale e saluti di carattere generico, tipo ‘ Gentile cliente ‘, seguiti da contenuto non plausibile o fuori contesto.

I furfanti del web, infatti, commettono errori in questi messaggi di posta elettronica, a volte anche intenzionalmente per superare i filtri anti-spam dei provider.

4: Dubitare delle minacce e delle scadenze imminenti

È raro che gli enti pubblici o le aziende importanti richiedano agli utenti un intervento urgente. Questo è successo nel 2014 quando eBay ha chiesto ai propri clienti di modificare le password rapidamente dopo aver subito una violazione dei dati, ma costituisce un’eccezione alla regola.  Viceversa, le minacce e l’urgenza – specialmente se provenienti da aziende estremamente famose – sono un segno di phishing, soprattutto se includono comunicazioni su una multa, o il consiglio a bloccare il proprio conto. Perciò, bisogna ignorare queste tattiche intimidatorie e contattare il mittente privatamente attraverso altri canali.

5: Navigare in sicurezza

Quando possibile, si dovrebbe sempre muoversi su un sito web sicuro per navigare (indicato da https:// e contraddistinto dall’icona a “lucchetto” nella barra degli indirizzi del browser), soprattutto quando si trasmettono delle informazioni sensibili online come ad esempio i dati della carta di credito.

Al contempo, non si dovrebbe mai usare una rete WiFi pubblica per accedere al proprio conto bancario, per acquistare o immettere informazioni personali online. In tal caso, l’ideale sarebbe utilizzare la connessione 3/4G o LTE del proprio dispositivo.

Col passare del tempo bisogna aspettarsi un naturale perfezionamento del phishing da parte dei  cyber criminali, tuttavia allo stesso modo miglioreranno anche gli strumenti di tutela a vantaggio degli utenti. In primis, in futuro sarà sempre più facile individuare i siti non sicuri e prendere le giuste contromisure, a partire da Google che ha già iniziato a segnalare ai suoi utenti i siti che non offrono una protezione adeguata, invitandoli a comportarsi di conseguenza.

La Digital E-learning sostiene e promuove gli strumenti di navigazione sicura a tutela degli utenti della rete, principalmente durante i corsi di Ethical Hacking consultabili sul sito web: https://www.digitalelearning.it/.

E tu come ti comporti durante la navigazione online? Presti attenzione ai siti in cui navighi? Sei mai incappato in una truffa online o sei sempre attento a difenderti?

Commenta nello spazio a te riservato e raccontaci la tua esperienza.

Al prossimo articolo di Ethical Hacking del blog targato Digital E-learning!

 

Il consorzio internazionale antiphishing APWG (Anti-Phishing Working Group) ha recentemente pubblicato il suo ultimo rapporto sulle tendenze dell’attività di phishing, che mostra come il numero di siti web fraudolenti progettati per rubare dati sensibili sia notevolmente diminuito nel 2018 al punto da dimezzarsi. Questo calo potrebbe essere dovuto all’impegno globale contro il phishing e al passaggio da parte dei cyber criminali verso attività illecite maggiormente specializzate e lucrose rispetto al phishing di massa. L’APWG però ipotizza che tale diminuzione potrebbe anche essere causata dall’uso da parte dei malfattori di nuove tecniche per proteggere gli URL di phishing dalla rilevazione, implicando l’utilizzo di diversi reindirizzamenti…

0%

Valutazione utente: 4.55 ( 3 Voti)

Leave a Comment

SIGN IN

Forgot Password

Utilizziamo i cookie per offrirti la migliore esperienza online. Accettando l'accettazione dei cookie in conformità con la nostra politica sui cookie.

By continuing without changing your cookie settings, we assume you agree to this. Please read our
We use cookies to help give you the best experience on our website.
Ok, I Agree
We use cookies to help give you the best experience on our website.
By continuing without changing your cookie settings, we assume you agree to this. Please read our
Ok, I Agree