Indietro
Formazione Cybersecurity per Aziende | MetaCompliance

Prodotti

Scoprite la nostra suite di soluzioni di Security Awareness Training personalizzate, progettate per potenziare e formare il vostro team contro le moderne minacce informatiche. Dalla gestione delle policy alle simulazioni di phishing, la nostra piattaforma fornisce alla vostra forza lavoro le conoscenze e le competenze necessarie per salvaguardare la vostra organizzazione.

Cybersecurity eLearning

Cyber Security eLearning per esplorare la nostra premiata biblioteca eLearning, su misura per ogni dipartimento

Automazione della consapevolezza della sicurezza

Programmate la vostra campagna di sensibilizzazione annuale in pochi clic

Simulazione di phishing

Fermate gli attacchi di phishing sul nascere con il pluripremiato software per il phishing

Gestione delle politiche

Centralizzare le politiche in un unico luogo e gestire senza problemi i cicli di vita delle politiche

Gestione della privacy

Controllo, monitoraggio e gestione della conformità in modo semplice

Gestione degli incidenti

Assumere il controllo degli incidenti interni e rimediare a ciò che è importante

Indietro
Industria

Industrie

Scoprite la versatilità delle nostre soluzioni in diversi settori. Dal dinamico settore tecnologico a quello sanitario, scoprite come le nostre soluzioni si stanno affermando in diversi settori. 


Formazione in cybersicurezza per i servizi finanziari

Creare una prima linea di difesa per le organizzazioni di servizi finanziari

Governi

Una soluzione di sensibilizzazione alla sicurezza per le amministrazioni pubbliche

Formazione in cybersicurezza per le aziende

Una soluzione di formazione sulla consapevolezza della sicurezza per le grandi imprese

Formazione in cybersecurity per il lavoro smart

Incorporare una cultura di consapevolezza della sicurezza, anche in casa

Cybersecurity training per il settore dell'istruzione

Formazione coinvolgente sulla consapevolezza della sicurezza per il settore dell'istruzione

Formazione cybersecurity per gli operatori sanitari

Scoprite la nostra sensibilizzazione alla sicurezza su misura per gli operatori sanitari

Formazione cybersicurezza per il settore tecnologico

Trasformare la formazione sulla consapevolezza della sicurezza nel settore tecnologico

Conformità NIS2

Sostenete i vostri requisiti di conformità Nis2 con iniziative di sensibilizzazione sulla sicurezza informatica

Indietro
Risorse

Risorse

Dai poster alle politiche, dalle guide definitive ai casi di studio, le nostre risorse gratuite per la sensibilizzazione possono essere utilizzate per migliorare la consapevolezza della sicurezza informatica all'interno della vostra organizzazione.

Consapevolezza della sicurezza informatica per i manichini

Una risorsa indispensabile per creare una cultura della consapevolezza informatica

Guida Dummies alla sicurezza informatica Elearning

La guida definitiva all'implementazione di un efficace Elearning sulla sicurezza informatica

Guida definitiva al phishing

Istruire i dipendenti su come individuare e prevenire gli attacchi di phishing

Poster di sensibilizzazione gratuiti

Scarica questi poster gratuiti per migliorare la vigilanza dei dipendenti

Politica anti-phishing

Creare una cultura consapevole della sicurezza e promuovere la consapevolezza delle minacce alla sicurezza informatica

Casi di studio

Scoprite come aiutiamo i nostri clienti a promuovere comportamenti positivi nelle loro organizzazioni

Terminologia di sicurezza informatica dalla A alla Z

Un glossario dei termini indispensabili per la sicurezza informatica

Modello di maturità comportamentale in cybersecurity

Verificate la vostra formazione di sensibilizzazione e fate un benchmark della vostra organizzazione rispetto alle migliori pratiche

Roba gratis

Scaricate i nostri asset di sensibilizzazione gratuiti per migliorare la consapevolezza della sicurezza informatica nella vostra organizzazione

Indietro
MetaCompliance | Formazione Cybersicurezza per Aziende

Informazioni su

Con oltre 18 anni di esperienza nel mercato della Cyber Security e della Compliance, MetaCompliance offre una soluzione innovativa per la sensibilizzazione del personale alla sicurezza informatica e l'automazione della gestione degli incidenti. La piattaforma MetaCompliance è stata creata per soddisfare le esigenze dei clienti di un'unica soluzione completa per la gestione dei rischi legati alla sicurezza informatica, alla protezione dei dati e alla conformità.

Perché scegliere noi

Scoprite perché Metacompliance è il partner di fiducia per la formazione sulla consapevolezza della sicurezza

Specialisti del coinvolgimento dei dipendenti

Rendiamo più semplice il coinvolgimento dei dipendenti e la creazione di una cultura di consapevolezza informatica

Automazione della consapevolezza della sicurezza

Automatizzare facilmente la formazione di sensibilizzazione alla sicurezza, il phishing e le politiche in pochi minuti

Leadership

Il team di leadership di MetaCompliance

MetaBlog

Rimani informato sui temi della formazione sulla consapevolezza informatica e attenua il rischio nella tua organizzazione.

Che cos'è il quishing? Prevenzione e misure di sicurezza

Che cos'è il quishing? Prevenzione e misure di sicurezza

sull'autore

Condividi questo post

Il quishing è un attacco di phishing che utilizza i codici QR per indurre le persone a visitare siti web dannosi o a scaricare malware. I criminali informatici sfruttano la versatilità dei codici QR, che possono contenere link, documenti o portali di pagamento, per ingannare le persone.

Durante la pandemia Covid-19, un piccolo quadrato in bianco e nero si è stabilito saldamente tra i selfie del vaccino e il coprifuoco: il codice QR. Poco prima era stato dato per morto e non valeva la pena di prendere lo smartphone, ma ora si è trasformato rapidamente in una sorta di strumento universale. Test rapidi, app di allarme, certificati di vaccinazione, biglietti del treno, pagamenti senza contatto... o in poche parole: la porta d'accesso alla vita normale. È risaputo che non c'è luce senza ombra. Quindi, il potenziale di pericolo contenuto in questa piccola scatola poco appariscente è terrificante. 

Quishing: il ritorno calamitoso del codice QR

QR è l'acronimo di "quick response code" (codice a risposta rapida). Codice a barre bidimensionale, sembra essere il risultato naturale e organico del nostro desiderio di accedere a tutto nel modo più rapido e semplice possibile, con tutto a portata di scansione. Consente il trasferimento immediato di grandi quantità di informazioni. Sia la sua facilità d'uso che la pandemia hanno agito da catalizzatori per un nuovo tipo di attacco di phishing: il cosiddetto quishing, un termine che unisce "QR" e "phishing". 

Negli attacchi di phishing tradizionali, i criminali informatici utilizzano e-mail, messaggi istantanei o siti Web di dubbia provenienza per carpire password e altri dati personali. 

Nel caso degli attacchi di quishing, i criminali sfruttano le suddette caratteristiche dei codici QR per nascondere informazioni ingannevoli dietro i controlli in bianco e nero. Le e-mail di quishing sono di solito progettate con grande cura - si potrebbe anche dire, con amore. Sono fatte per sembrare autentiche. A quanto pare, non è più in voga tra i criminali informatici cercare di corteggiare le potenziali vittime con la notizia di un'eredità multimilionaria. Anche se ad alcuni dei potenziali destinatari farebbe sicuramente piacere un viaggio immaginario in una residenza estiva da sogno a Saint-Tropez, soprattutto durante i bui mesi invernali. 

I criminali informatici di oggi preferiscono un approccio sottile. Prendono di mira le debolezze dello spirito umano. La sensazione di tortura insopportabile quando si devono affrontare procedure fastidiose. Così minacciano di chiudere un conto bancario o l'account di un negozio online preferito. 

Concezione senza contatto seguita dalla caduta

I meccanismi di sicurezza convenzionali analizzano solo gli allegati standard e gli URL. Tuttavia, queste misure tendono a fallire con i codici QR. Tra gli schemi più diffusi ci sono le richieste di accettare una politica dei dati aggiornata o gli inviti a impostare una nuova procedura di sicurezza. E naturalmente tutto ciò può essere fatto in modo semplice e comodo scansionando un codice QR. La cassetta degli attrezzi dei criminali contiene persino documenti importanti, che possono essere scaricati senza problemi attraverso un codice QR. 

È comprensibile che i destinatari vogliano liberarsi al più presto di questa sgradevole miscela di emozioni: l'impressione di essere costretti ad agire, unita al desiderio di dedicarsi subito a cose più piacevoli. Ma a chi non piace assaporare la sensazione di produttività dopo aver risolto quel fastidioso problema bancario? La scansione del codice è solo una questione di secondi, spesso con conseguenze disastrose. A differenza del caso di Maria Santissima, questo concepimento senza contatto può trasformarsi in peccato.

Murene in agguato per i dati

Chi si adegua alle richieste ingannevoli si ritrova su siti web contraffatti, realizzati con un'attenzione minuziosa ai dettagli. Dopo tutto, l'intestazione deve avere la stessa tonalità di blu reale del logo della Volksbank che è stato rubato dal sito originale. Per mascherare i link dannosi e aggirare i messaggi di avviso vengono utilizzate varie tecniche. Un metodo comune consiste nell'abusare di sistemi di gestione dei contenuti come WordPress e dei relativi plugin. Nascosti dietro false pagine di destinazione, attirano le potenziali vittime nella loro trappola. Sono stati segnalati anche casi di criminali informatici che hanno utilizzato il feed proxy server di Google "FeedBurner" per scopi di reindirizzamento. Un'altra pratica comune è l'utilizzo di un dominio personalizzato per il processo di reindirizzamento e per il sito di phishing stesso. Il pericolo è imminente, anche se i sistemi di difesa dalle minacce informatiche non riescono a dare l'allarme. 

Una volta creata l'illusione perfetta, i criminali informatici vogliono solo una cosa: i dati personali. Come una murena in agguato nella sua grotta, in attesa di impossessarsi di nomi utente e password. Troppi destinatari dimenticano tutte le precauzioni quando la loro giornata lavorativa sta per finire, con un aperitivo che li chiama dalla terrazza. Non si accorgono della lettera aggiuntiva nell'URL e solo pochi secondi dopo i loro dati sono stati inseriti nell'interfaccia di registrazione dall'aspetto ingannevole e realistico. Gli URL di phishing rivolti ai clienti della Sparkasse iniziano spesso con "spk-", mentre "vr-" è un prefisso comune per i siti falsificati della Volksbank. 

Negli ambienti di lavoro, c'è un rischio particolare quando gli smartphone privati aggirano i meccanismi di sicurezza interni di un'azienda. Il quishing si presta perfettamente a questo scopo. Una volta scansionato il codice pericoloso, il contenuto dannoso si infiltra segretamente nel dispositivo mobile. Da lì, raggiunge rapidamente le caselle di posta elettronica, i dati di contatto o i documenti gestiti tramite soluzioni cloud. Il gateway perfetto. Se un attacco di questo tipo colpisce dati critici, è probabile che il fuoco si propaghi e infetti le risorse aziendali. Un tipo di malware che di recente ha attirato particolare attenzione è il ransomware. Il suo potenziale di minaccia è enorme. Un imperativo sinistro che, secondo il BSI (l'Ufficio federale tedesco per la sicurezza informatica), moltiplica la sua capacità di danno quando colpisce le reti aziendali. 

Schermo per campioni di quishing

E-mail di quishing da parte della Volksbank e della Sparkasse

Reginheris digitale

Lo scopo del ransomware è quello di criptare i dati dell'utente. Una volta completato questo processo, la vittima si trova di fronte a una richiesta di riscatto. Il numero di aziende colpite è sorprendentemente alto. I processi informatici e aziendali vengono interrotti. Inoltre, i criminali spesso minacciano di divulgare o vendere i dati. Prendono di mira aziende di ogni forma e dimensione. Secondo il Cyber Readiness Report pubblicato da Hiscox nel 2022, il 48% delle aziende tedesche paga un riscatto dopo un attacco di questo tipo. L'importo estorto è spesso a sei cifre. Secondo il BSI, tuttavia, in alcuni casi sono state richieste somme a otto zeri.

Molte vittime rimangono scioccate nello scoprire che i criminali continuano a fare richieste anche dopo aver pagato. Si potrebbe pensare che gli autori dei reati possano essere usciti da un documentario di storia moderatamente appassionante. Questi scenari ricordano l'anno 845, quando il condottiero vichingo Reginheri mise Parigi sotto assedio. Carlo il Calvo, re della Francia occidentale, decise che la resistenza era inutile e pagò una somma di 7.000 libbre d'argento perché le truppe danesi si ritirassero. Come i loro colleghi del cyberspazio 1.200 anni più tardi, i cavalieri e le madrine degli scudi non seppero resistere alla tentazione di estorcere ulteriori pagamenti. Così continuarono i loro attacchi.

I criminali moderni possono anche non sfoggiare barbe intrecciate o indossare asce da combattimento sulle spalle, ma fanno sul serio con le loro richieste, anche quando il riscatto è già stato pagato. Che si ceda o meno ai tentativi di estorsione, le conseguenze sono solitamente gravi per i singoli, le aziende e le istituzioni pubbliche. Il quishing può causare danni enormi: perdita di dati e di reputazione, violazioni del GDPR o perdite finanziarie, solo per citarne alcuni. 

Come posso proteggermi dal Quishing?

La domanda potrebbe non avere lo stesso potenziale cinematografico degli attacchi vichinghi, ma racchiude altrettanta suspense: come ci si può proteggere dal quishing? 

"In caso di dubbio, non scansionare alcun codice QR": è una risposta piuttosto ovvia, ma comunque valida. Tuttavia, i problemi tendono a sorgere nei casi in cui non sembrano esserci dubbi. I criminali informatici sono abili nello sfruttare disposizioni ed esigenze umane profondamente radicate per manipolare gli individui - la cosiddetta ingegneria sociale. Basta una spruzzata di ignoranza per completare il cocktail della catastrofe. È questo che rende così difficile proteggersi senza sbagliare. Tuttavia, esistono alcune semplici regole che aiutano a minimizzare il rischio:   

  • Trattate i codici QR come se fossero dei link. Che li troviate su manifesti di campagne di guerriglia, su documenti o nelle e-mail, i codici QR sono essenzialmente dei link e presentano gli stessi rischi.
  • Non inserite dati sensibili. I fornitori di servizi affidabili non invieranno mai un'e-mail con la richiesta di fornire credenziali di accesso riservate. 
  • Controllate sempre l'indirizzo e-mail o la barra degli indirizzi del browser se state già accedendo a una pagina web dubbia. 
  • Controllate attentamente le e-mail e i contenuti dei siti web. I divertenti errori di battitura non sono più una caratteristica distintiva della criminalità informatica. La maggior parte dei testi è ben formulata. Tuttavia, il BSI cita diverse caratteristiche che dovrebbero destare sospetto, anche se solo una di esse è applicabile: 
  1. Necessità di agire con urgenza  
  2. Minacce di gravi conseguenze in caso di inadempienza. 
  3. Richiesta di inserimento di dati sensibili 
  4. L'e-mail contiene link, codici QR o moduli 
  5. Richieste insolite da parte di una persona o di un'organizzazione nota 
  • In caso di dubbio, ricontrollare attraverso un canale di comunicazione ufficiale del fornitore di servizi in questione. 
  • Non scaricate o aprite mai file da allegati di posta elettronica o siti web se non siete assolutamente sicuri che siano autentici. 

Utilizzate l'autenticazione a due o più fattori. Anche se i criminali riuscissero a mettere le mani sui vostri dati, mancherebbe comunque un fattore aggiuntivo per accedere. 

Proprio come le immagini dei polmoni dei fumatori sui pacchetti di sigarette, la paura e le regole di condotta semplificate hanno solo un moderato successo: di solito vengono dimenticate dopo pochi giorni. Ciò significa che la sicurezza delle informazioni deve essere integrata nella filosofia aziendale. Pertanto, il nostro consiglio più importante è quello di intraprendere una formazione continua sulla sicurezza e di promuovere la consapevolezza in azienda. Dopo tutto, l'ignoranza dei dipendenti su questi temi è ancora il problema più grande quando si tratta dei vari rischi legati al tabnabbing o ad altri cyberattacchi. Scoprite come il nostro programma di formazione informatica per i dipendenti può rafforzare le difese della vostra organizzazione contro il tabnabbing e altre minacce online.

Cyber Security Awareness Training – Altri articoli che potresti trovare interessanti