Lo spear phishing è una grave minaccia per le organizzazioni di tutto il mondo, ma questo phishing altamente mirato può essere difficile da prevenire.
Un rapporto della società di sicurezza Ivanti evidenzia il tasso di successo dello spear phishing: quasi tre quarti (73%) delle organizzazioni hanno dichiarato a Ivanti che il personale IT viene preso di mira dallo spear phishing e quasi la metà dei tentativi (47%) ha successo.
Che cos'è lo Spear Phishing?
Lo spear phishing è una forma di phishing altamente mirata. Una campagna di phishing invia in genere un'e-mail di massa a molte persone, ma le campagne di spear phishing si concentrano su uno o pochi individui, che di solito lavorano o sono associati a un'organizzazione specifica.
Lo spear phishing arriva spesso tramite e-mail, ma può anche essere un phishing telefonico (Vishing) o un phishing tramite messaggio mobile (SMShing).
Lo spear phishing utilizza tattiche avanzate di social engineering per creare una campagna di spear phishing efficace basata su informazioni raccolte su un obiettivo. Le informazioni necessarie per perfezionare un'e-mail di spear phishing vengono raccolte con qualsiasi mezzo, tra cui post sui social media, siti web aziendali, account online violati, ecc.
I criminali informatici sono persino noti per instaurare un rapporto con il loro obiettivo via e-mail o telefono, guadagnando la fiducia del dipendente e incoraggiandolo a condividere dettagli personali o aziendali. Una volta che il criminale informatico dispone di informazioni sufficienti sull'obiettivo, crea un'e-mail personalizzata che sembra legittima.
L'obiettivo di un tentativo di spear phishing è in genere quello di rubare le credenziali di accesso. Queste credenziali possono poi essere utilizzate per accedere a una rete aziendale. Il risultato del social engineering di un dipendente è un'infezione da malware, tra cui ransomware, furto di dati, Business Email Compromise (BEC) e altre forme di attacco informatico.
L'utilizzo dell'autenticazione a più fattori (MFA) può contribuire a ridurre il rischio di un attacco, ma non è una garanzia: una recente campagna di phishing rivolta agli utenti di Office 365 è stata in grado di aggirare l'MFA utilizzata dai dipendenti.
Come i criminali informatici utilizzano gli attacchi di Spear Phishing
I criminali informatici utilizzano lo spear phishing per concentrare l'attacco su un'azienda specifica. Queste campagne possono colpire direttamente (un dipendente) o indirettamente, ad esempio concentrandosi su un fornitore della catena di fornitura per attaccare un'organizzazione più in alto nella catena di fornitura.
Spesso gli attacchi di spear phishing fanno parte di un ciclo di attacchi in cui vengono rubati i dati, comprese le password; questo porta all'infezione da malware, al furto di ulteriori credenziali e al furto di dati. Il processo inizia con un'e-mail, un Vishing o un SMS. Lo spear phishing spesso comporta una pianificazione strategica di alto livello, che può richiedere diverse fasi coreografiche per raggiungere l'obiettivo dell'hacker.
Esempi di attacchi di Spear Phishing
Spear Vishing: un attacco di spear phishing su Twitter nel 2020 ha fatto notizia quando gli hacker sono riusciti a inviare tweet da diversi account di alto profilo, tra cui Joe Biden, Barack Obama, Bill Gates ed Elon Musk. L'attacco a Twitter si è incentrato su una telefonata di phishing (Vishing) ai dipendenti presi di mira, finché uno di loro non ha fornito agli aggressori le credenziali di accesso agli strumenti interni. Queste credenziali sono state poi utilizzate per scalare i privilegi a un livello superiore.
Email di Spear Phishing: un'email di spear phishing si è spacciata per il Dipartimento del Lavoro degli Stati Uniti (DoL) per colpire diverse organizzazioni. L'obiettivo dell'e-mail di spoofing era quello di rubare le credenziali di accesso a Office 365. L'e-mail si basava su domini abilmente camuffati per far sembrare che l'e-mail provenisse legittimamente dal Dipartimento del Lavoro.
Inoltre, l'e-mail fingeva di provenire da un dipendente senior del Dipartimento della Difesa che invitava l'organizzazione destinataria a presentare un'offerta per un progetto governativo. Facendo clic sul "pulsante dell'offerta", il dipendente è stato indirizzato a un sito di phishing dove sono state rubate le credenziali di accesso a Office 365.
Come riconoscere un'e-mail di Spear Phishing
Queste e-mail sono notoriamente difficili da individuare, semplicemente perché la loro creazione ha richiesto molto lavoro. Tuttavia, ci sono alcuni punti da controllare che possono aiutare i dipendenti a identificare i segni rivelatori.
- Spesso le e-mail di spear phishing sfruttano posizioni di autorità, ad esempio il supporto IT, per costringere un dipendente a compiere un'azione, ad esempio inserire una password in una pagina web fittizia. Controllate l'indirizzo e-mail del mittente. Potrebbe assomigliare a quello reale, ma con alcune sottili differenze.
- Il formato dell'e-mail corrisponde a quello a cui siete abituati? Ad esempio, se l'e-mail è presumibilmente dell'assistenza IT, il modo in cui è scritta e formattata riflette le e-mail precedenti dell'assistenza IT?
- L'e-mail richiede l'inserimento di troppi dati o informazioni che non sembrano necessarie? Ad esempio, vi viene chiesto di accedere a un'applicazione cloud dell'azienda dopo aver cliccato su un link in un'e-mail senza un motivo convincente - sembra semplicemente sospetto?
Un'altra cosa low-tech che potete fare per prevenire un incidente di spear phishing è controllare due volte il presunto mittente dell'e-mail: chiamatelo per verificare che l'e-mail provenga davvero da lui.
Proteggersi da un attacco di Spear Phishing
I livelli di protezione sono il modo migliore per affrontare la minaccia dello spear phishing. Ecco i sei modi principali per proteggere voi stessi e la vostra azienda da un attacco:
Non condividere troppo sui social media
I criminali informatici raccolgono le informazioni necessarie per creare e-mail credibili da molte fonti, compresi i social media. Per questo motivo, è necessario adottare una politica che spieghi i pericoli dell'eccessiva condivisione di dati sui social media.
Non cliccate su link sospetti all'interno di e-mail di Phishing
Questo dovrebbe diventare il mantra di tutti i luoghi di lavoro. Anche se un dipendente non inserisce le credenziali dopo aver cliccato su un link dannoso, l'hacker avrà probabilmente un controllo di chi ha cliccato e continuerà a inviare e-mail di phishing sempre più sofisticate a quell'organizzazione.
Utilizzare un'autenticazione robusta
Anche se non è a prova di errore, un'autenticazione robusta aiuta ad affrontare il phishing in modo stratificato. Create password forti e uniche e aggiungete l'MFA dove è supportato.
Non condividete mai informazioni sensibili online
Va da sé che la condivisione di informazioni sensibili personali o aziendali non dovrebbe essere fatta pubblicamente e online, poiché verrebbero raccolte e utilizzate per infettare i dipendenti o i fornitori della catena di approvvigionamento associati.
Siate cauti e vigili
Formate tutti i dipendenti e i collaboratori sulle tattiche utilizzate dai criminali informatici. Assicuratevi che questa formazione venga effettuata regolarmente e utilizzate una piattaforma di phishing simulato per inviare messaggi di phishing simulato ai dipendenti più a rischio.
Incoraggiare i dipendenti a segnalare gli incidenti
Una volta addestrato il personale a individuare i segni rivelatori del phishing, incoraggiate i dipendenti a segnalare gli incidenti. Questo aiuta a costruire la resilienza informatica, a mantenere la conformità alle normative e a fornire le informazioni necessarie per agire rapidamente prima che un incidente si trasformi in un vero e proprio attacco informatico.
