Con il termine phishing si indica una truffa informatica che ha lo scopo di ottenere dati sensibili e personali come per esempio password, codici di accesso e informazioni relative a carte di credito o conti bancari.
Analizzando i dati è evidente che si tratta di uno degli attacchi che gli hacker prediligono poiché la trasmissione avviene prevalentemente tramite posta elettronica, ad oggi il principale mezzo di comunicazione utilizzato dalle aziende: il 41% degli IT manager dichiara di subire almeno un attacco di phishing al giorno; il 55% delle organizzazioni sono state colpite da attacchi di spear phishing camuffati da messaggi inviati dall’amministrazione aziendale; Il 66% dei malware installati proviene da allegati email malevoli.
COME AVVIENE UN ATTACCO?
Viene inviata un’email in apparenza lecita, a nome per esempio di istituti di credito, finanziari o assicurazioni, servizi di pagamento, negozi online o e-commerce, con un oggetto che trasmette urgenza, problemi con il conto corrette, perdita di dati o denaro e che portano quindi il destinatario ad aprire l’eventuale allegato o cliccare sul link al suo interno per risolvere immediatamente la situazione.
L’utente che clicca sul link viene rimandato ad un sito web fasullo dove viene richiesto l’inserimento di informazioni riservate.
Una volta ottenuti i dati sensibili della vittima, il “phisher” li utilizzerà per l’acquisto di beni o per trasferire denaro.
Cosa fare dopo un tentativo di phishing?
CAMBIARE LE PASSWORD dell’account che è stato violato, azione che si consiglia comunque di fare periodicamente per prevenire gli attacchi.
CONTATTARE LE AUTORITÀ COMPETENTI, se si ha la certezza di essere stati vittime di un attacco phishing. Inoltre, la Polizia Postale ha sul proprio sito uno spazio dedicato a questo tipo di segnalazioni che permette di conoscere i tentativi di frode in corso e verificare se le email ricevute fanno parte di questa categoria di attacchi.
CONTATTARE LA BANCA nel caso di furto dei dati bancari per bloccare i servizi coinvolti, come per esempio carte di credito, contri correnti, bancomat.
AVVISARE GLI ENTI COLPITI per permettergli di prendere provvedimenti e contrastare queste truffe.
Consigli per non cadere in trappola
NON SCARICARE ALLEGATI se il mittente è sconosciuto o se il messaggio è inaspettato.
ATTIVARE I FILTRI ANTISPAM sulla propria casella di posta elettronica.
CONTROLLARE IL DOMINIO DEL MITTENTE, un’istituzione o un’azienda scrivono sempre con il proprio dominio, è bene quindi verificare che corrisponda a quello ufficiale, soprattutto quando nell’email è presente un link.
FARE ATTENZIONE AI PULSANTI “UNSUBSCRIBE” O “ANNULLA ISCRIZIONE”, nelle email di spam potrebbero corrispondere ad un tentativo di phishing e il link potrebbe reindirizzarci ad un sito malevolo.
NON UTILIZZARE IL LINK PRESENTE NELL’EMAIL, nel caso in cui un’email dovesse sembrare attendibile, è bene collegarsi al sito in questione tramite browser senza utilizzare il link inserito nel testo della comunicazione. Una volta nel portale, si potrà verificare se quanto richiesto sia veritiero.
UTILIZZO DI EMAIL SECONDARIE, se è necessario iscriversi a servizi, portali o siti web di dubbia affidabilità, è preferibile non utilizzare l’email principale ma una secondaria e poco utilizzata.
RICORDARE che enti, aziende e istituzioni non richiedono informazioni riservate tramite email.
INSERIRE I DATI PERSONALI SOLO su siti ufficiali e conosciuti.
VERIFICARE LE RICHIESTE ricevute tramite email consultando i siti ufficiali o contattando l’assistenza clienti dell’ente che ha inviato la comunicazione.
UTILIZZARE CREDENZIALI DIVERSE per servizi e siti web diversi.
SE UNA MAIL SEMBRA UN TENTATIVO DI PHISHING, deve essere spostata nella cartella spam e il mittente deve essere bloccato, così da impedire tentativi di attacco futuri.
Come riconoscere un’email di phishing?
- Formule di saluto generiche, saluti non personalizzati come “gentile cliente” o “gentile signora/e”. Le aziende solitamente si rivolgono ai propri clienti chiamandoli per nome.
- Richieste di dati di natura sensibile o informazioni private. Gli hacker falsificano siti web legittimi per convincere gli utenti a fornire informazioni.
- Informazioni che sembrano specifiche. I cybercriminali sfruttano le informazioni che recuperano on-line per sembrare più convincenti.
- Allarmismi. Utilizzo di frasi intimidatorie che portano il destinatario della mail ad agire senza pensare.
- Errori ortografici o frasi grammaticalmente imprecise. Potrebbe indicare che la comunicazione originale sia stata scritta in un’altra lingua e poi tradotta con un traduttore automatico; verificare anche che gli accenti siano corretti e che non ci siano caratteri presenti in altri alfabeti.
- Senso di urgenza. Limiti di tempo o date di scadenza fittizie. Se viene richiesta un’azione immediata è importante prestare attenzione, difficilmente una banca minaccia di bloccare una carta di credito richiedendo di inserire una password o di scaricare un allegato.
- Frasi come “Hai vinto un premio!”
- Avvisi come “Verifica il tuo account” o comunicazione di sospensione o blocco dello stesso senza spiegazioni.
- URL che contengono domini diversi da quelli originali o che sembrano autentici ma non lo sono, come per esempio: g00gle.it o hotmai1.com.
- Il dominio del mittente è diverso da quello originale dell’ente o della società.
- Fidarsi del proprio intuito, se abbiamo ricevuto una mail che ci sembra “sospetta”, è bene verificare nome e indirizzo email del mittente, chiedersi se siamo mai entrati in contatto o se gli abbiamo effettivamente fornito il nostro indirizzo email.
