Cos'è lo spear phishing? Definizione e rischi

Gli attacchi di phishing rappresentano una minaccia persistente in un mondo altamente digitale, oltre che una preoccupazione costante sia per le persone che per le organizzazioni. Gli attacchi di spear phishing rappresentano un sottoinsieme di questi tipi di crimini informatici che destano particolare preoccupazione. Ma cos’è esattamente lo spear phishing ed è possibile prevenire questi attacchi?

Spear phishing: definizione

Se phishing è un termine generale per i cyberattacchi effettuati tramite e-mail, SMS o telefonate, qualcuno potrebbe chiedersi come si chiamano gli attacchi di phishing mirati. La risposta è "spear phishing". In termini semplici, si tratta di attacchi informatici altamente personalizzati che prendono di mira persone o aziende specifiche. In genere, questi attacchi vengono effettuati tramite e-mail di spear phishing che appaiono legittime al destinatario e lo incoraggiano a condividere dettagli sensibili con l'autore dell'attacco. Sebbene l'obiettivo degli attacchi di spear phishing sia solitamente quello di rubare informazioni come credenziali di accesso o dati di carte di credito, alcuni sono progettati per infettare i dispositivi con malware. Spesso gli autori di truffe di spear phishing sono hacker e hacktivisti sponsorizzati dai governi. Tuttavia, anche i singoli cybercriminali sferrano questi attacchi con l'intenzione di perpetrare furti di identità o frodi finanziarie, manipolare i prezzi delle azioni, commettere spionaggio o rubare dati riservati per rivenderli a governi, aziende private o altri interessati.

Ciò che rende le truffe di spear phishing così efficaci, più dei normali attacchi di phishing, è che gli autori conducono ricerche approfondite sui bersagli prefissati. Utilizzando le informazioni che trovano, possono impiegare tecniche di social engineering per creare attacchi eccezionalmente personalizzati, che ingannano il bersaglio facendogli credere di ricevere e-mail e richieste legittime. Di conseguenza, anche gli obiettivi più alti all'interno delle organizzazioni, ad esempio i massimi dirigenti, possono trovarsi ad aprire e-mail ritenute sicure. Questi tipi di errori involontari consentono ai cybercriminali di rubare i dati di cui hanno bisogno per attaccare la rete presa di mira.

Come funzionano gli attacchi di spear phishing?

Esistono essenzialmente cinque passaggi per portare a termine le truffe di spear phishing. Nello specifico:

1. Definizione degli obiettivi dell'attacco
2. Scelta di uno o più bersagli attraverso una ricerca preliminare
3. Individuazione di un elenco ristretto di bersagli ed esecuzione di ricerche approfondite su di essi
4. Creazione dell'e-mail di spear phishing utilizzando le informazioni raccolte e tecniche di social engineering.

Questi attacchi mirati funzionano perché le e-mail di spear phishing creano un senso di familiarità con la vita del destinatario. Gli autori dell'attacco dedicano molto tempo e impegno per rintracciare quanti più dettagli possibile sul lavoro, la vita, gli amici e la famiglia dei destinatari. Analizzando Internet e i profili dei social media su piattaforme come Facebook e LinkedIn, i phisher possono trovare informazioni come indirizzi e-mail e numeri di telefono, la rete di amici, familiari e contatti di lavoro, i luoghi frequentati e informazioni come l'azienda in cui lavorano e la loro posizione, dove effettuano acquisti online, quali servizi bancari utilizzano e altro ancora. Utilizzando tutte queste informazioni, i criminali possono creare profili dettagliati dei loro potenziali bersagli e impiegare tecniche di social engineering per creare e-mail di spear phishing personalizzate, che appaiono legittime perché provengono da persone o aziende con cui i destinatari interagiscono regolarmente e contengono informazioni che potrebbero essere autentiche.

L'e-mail in genere richiede al destinatario di rispondere immediatamente con determinati dettagli o contiene un collegamento per inserire questi dettagli su un sito Web che imita siti legittimi. Ad esempio, il collegamento nell'e-mail potrebbe indirizzare il destinatario a un sito Web falso di una banca o di un sito di e-commerce, dove dovrà eseguire l'accesso al proprio account. A questo punto, l'autore dell'attacco sarà in grado di rubare i dati di accesso e le password per i propri scopi criminali. A volte, però, l'e-mail contiene un allegato o un collegamento che installa un malware sul dispositivo quando il destinatario scarica il file o fa clic sul link. L'aggressore può quindi usarlo per rubare le informazioni di cui ha bisogno o violare i computer per organizzarli in enormi reti chiamate botnet, utilizzabili per eseguire attacchi Denial of Service (DoS).

Tuttavia, è importante ricordare che non tutti gli utenti Internet o i profili dei social media sono un buon bersaglio per lo spear phishing. Poiché richiede un impegno maggiore rispetto al normale phishing, i cybercriminali spesso cercano bersagli di alto valore. In genere, gli aggressori utilizzano algoritmi automatizzati per setacciare Internet e i social media alla ricerca di determinate informazioni, come password o PIN, e identificano persone di alto valore che hanno maggiori potenzialità per la riuscita degli attacchi di spear phishing.

Queste truffe sono diventate così sofisticate che è diventato quasi impossibile per la persona media subire un attacco. Per tale motivo, sebbene non esistano misure di cybersecurity infallibili contro lo spear phishing, capire come funzionano questi attacchi e conoscere gli indicatori a cui prestare attenzione può essere utile per evitare questo tipo di attacchi.

Identificazione di una truffa di spear phishing

Una delle chiavi per imparare a prevenire lo spear phishing è comprendere le diverse tecniche utilizzate dai phisher per garantire la riuscita dei loro attacchi. In questo modo, i singoli individui e i dipendenti aziendali possono stare in guardia dalle truffe di spear phishing. Quando si riceve un'e-mail con uno dei seguenti segnali d'allarme, è importante trattarla con cautela.

• L'e-mail è progettata per creare un senso di urgenza o di panico: sembra provenire da un manager aziendale e richiede di fornire urgentemente dettagli di accesso per un'azione che non può aspettare.
• Il testo è pensato per scatenare emozioni come la paura o il senso di colpa, che motivano il destinatario ad agire.
• L'indirizzo e-mail sembra errato: il dominio non è corretto o il formato del nome è insolito.
• Sono presenti evidenti errori di ortografia e grammatica, particolarmente insoliti nelle e-mail di grandi organizzazioni come le banche.
• Vengono richiesti informazioni sensibili e dettagli personali.
• I collegamenti sono scritti in modo errato o non sono formattati correttamente e non corrispondono all'indirizzo di destinazione quando si posiziona il puntatore del mouse sul collegamento.
• Sono presenti allegati non richiesti, soprattutto con nomi di file insoliti.
• Vengono utilizzati pretesti, ad esempio sostenendo che le credenziali di accesso stanno per scadere e devono essere modificate immediatamente utilizzando il collegamento contenuto nell'e-mail.

Qual è la differenza tra lo spear phishing e il phishing?

Sebbene siano entrambi dei tipi di cyberattacchi, può essere importante comprendere la differenza tra gli attacchi di spear phishing e quelli di phishing. Entrambi vengono utilizzati dai criminali informatici per indurre gli utenti a condividere informazioni personali sensibili, ma essenzialmente i primi sono attacchi diretti personalizzati in base al bersaglio previsto, mentre i secondi sono attacchi di ampia portata, destinati a raccogliere qualsiasi dato sensibile che i truffatori possono spingere gli utenti a fornire.

Gli attacchi di phishing di solito coinvolgono e-mail generiche che tentano di costringere il destinatario a condividere dati personali come password e dettagli delle carte di credito. Il phisher utilizza quindi queste informazioni per scopi dannosi, come furti di identità o frodi finanziarie. L'elemento fondamentale è che gli attacchi di phishing non sono personalizzati per il destinatario. I cybercriminali fondamentalmente tentano la fortuna e puntano sulla quantità (inviando molte e-mail di phishing) piuttosto che sulla qualità (creando e-mail di phishing con tecniche più sofisticate che potrebbero avere maggiori probabilità di successo). In genere, queste e-mail sono apparentemente inviate da grandi aziende, come banche o negozi di e-commerce, e contengono collegamenti dannosi che inducono i destinatari a condividere i propri dati o a installare malware sui propri dispositivi.

Al contrario, le truffe di spear phishing sono attacchi altamente mirati e molto personalizzati in base alla vittima designata. Poiché contengono dettagli relativi al destinatario specifico, le e-mail di spear phishing sembrano più legittime, soprattutto perché spesso provengono da persone o organizzazioni con cui il destinatario ha familiarità. Pertanto, i criminali devono investire molto più tempo e impegno per sferrare attacchi di spear phishing (e hanno maggiori probabilità di successo).

Per chi dovesse chiedersi come si chiamano gli attacchi di phishing mirati, oltre allo spear phishing esistono due sottoinsiemi specifici: whaling e Business Email Compromise (BEC).

Gli attacchi di whaling sono un terzo tipo di attacco che presenta molte somiglianze con le truffe di phishing e spear phishing. Il whaling prende di mira specificamente individui di alto profilo, come dirigenti di alto livello, membri di consigli di amministrazione, celebrità e politici. Anche questi attacchi utilizzano e-mail altamente personalizzate per tentare di rubare informazioni finanziarie, sensibili o comunque riservate da aziende o organizzazioni e possono causare significativi danni finanziari o in termini di reputazione per l'istituzione coinvolta.

Nell'ultimo tipo di attacco di phishing, gli attacchi BEC, i criminali si spacciano per dipendenti di un'azienda al fine di perpetrare frodi finanziarie ai danni delle organizzazioni. In alcuni casi, l'e-mail sembra provenire da un dirigente di alto livello e induce un dipendente di livello inferiore a pagare una fattura fraudolenta o a trasferire fondi al "dirigente". Gli attacchi BEC possono anche assumere la forma di una compromissione della posta elettronica, in cui l'autore dell'attacco assume il controllo dell'e-mail di un dipendente per indurre fornitori a pagare fatture false o convincere altri dipendenti a trasferire denaro o informazioni riservate.

Come prevenire lo spear phishing

La tradizionale cybersecurity contro lo spear phishing spesso non è sufficiente per prevenire questi attacchi, perché sono eseguiti in modo eccezionalmente accurato. Di conseguenza, sono sempre più difficili da rilevare. Un semplice errore può avere gravi conseguenze per il bersaglio, sia esso un singolo individuo, un governo, un'azienda o un'organizzazione no-profit. Nonostante la prevalenza di questi attacchi e la sofisticatezza della loro personalizzazione, esistono diverse misure che le persone o le organizzazioni possono implementare per prevenire lo spear phishing. Anche se non possono eliminare completamente la minaccia di questi attacchi, offrono ulteriori livelli di sicurezza che li renderanno meno probabili. Di seguito sono riportati alcuni suggerimenti degli esperti su come prevenire lo spear phishing.

1. Esegui controlli periodici per individuare le e-mail sospette, ad esempio che richiedono modifiche della password o contengono collegamenti insoliti.
2. Usa una rete privata virtuale (VPN) per proteggere e criptare tutte le attività online.
3. Utilizza un software anti-virus per scansionare tutte le e-mail alla ricerca di allegati, collegamenti o download potenzialmente dannosi.
4. Impara a verificare la veridicità di un'origine e-mail.
5. Impara come verificare URL e siti Web per evitare l'apertura di collegamenti dannosi.
6. Invece di fare clic sui collegamenti contenuti in un'e-mail, vai autonomamente al sito Web dell'organizzazione e cerca la pagina necessaria.
7. Assicurati che tutto il software sia aggiornato e dotato delle ultime patch di sicurezza.
8. Fai attenzione a non condividere troppi dettagli personali online: se necessario, controlla i profili dei social media, elimina tutto ciò che potrebbe essere utilizzato dai phisher e assicurati che le impostazioni della privacy siano impostate ai massimi livelli.
9. Usa un gestore di password e adotta procedure sicure per le password, come la creazione di password complesse per i diversi account e la loro modifica periodica.
10. Quando possibile, abilita l'autenticazione a più fattori o biometrica.
11. In caso di dubbi sull'origine di un'e-mail, contatta la persona o l'organizzazione per verificare che l'abbia effettivamente inviata richiedendo le informazioni.
12. Le aziende possono implementare corsi di sensibilizzazione sulla sicurezza per garantire che i dipendenti siano consapevoli dei rischi di questi attacchi e sappiano come mitigarli.
13. Le organizzazioni possono condurre regolarmente simulazioni di phishing per formare i dipendenti su come riconoscere e gestire le e-mail sospette.

Gli attacchi di spear phishing non sono inevitabili

La maggior parte degli utenti di Internet ha una conoscenza di base del phishing, ma è importante capire qual è la differenza tra lo spear phishing e il normale phishing. Poiché le e-mail di spear phishing utilizzano tecniche di social engineering che richiedono ricerche approfondite, questi attacchi sono altamente personalizzati per i bersagli prefissati, pertanto hanno probabilità di successo molto più elevate rispetto a un attacco di phishing standard. Sebbene questi attacchi rappresentino sempre un rischio, è possibile provare a mitigarli. Adottare misure per sapere a quale tipo di segnali di allarme prestare attenzione nelle e-mail, utilizzare regolarmente VPN e software anti-virus e prestare attenzione ai collegamenti e agli allegati sospetti può essere utile per evitare gli attacchi di spear phishing.

Ottieni Kaspersky Premium + 1 ANNO GRATUITO di Kaspersky Safe Kids. Kaspersky Premium ha ricevuto cinque premi AV-TEST per la migliore protezione, le migliori prestazioni, la VPN più veloce, il Parental Control approvato per Windows e la migliore valutazione per il Parental Control per Android.

Articoli e collegamenti correlati:

Come prevenire i cyberattacchi

Cosa fare se si è stati vittima di un attacco di phishing

Il mio account e-mail è stato violato, come devo procedere?

Come evitare gli attacchi di social engineering

Prodotti e servizi correlati:

Kaspersky Standard

Kaspersky Premium

Kaspersky Endpoint Security Cloud

Kaspersky VPN Secure Connection