I cyber attacchi si stanno raffinando. Non sono più somiglianti a una “pesca a strascico” che mira a colpire quante più vittime possibili con email fraudolente abbastanza riconoscibili. Al contrario, oggi sono, attacchi mirati, eseguiti da organizzazioni criminali che spiano e seguono le proprie vittime, costruendo messaggi ad hoc per poterle truffare.
Il passaggio dal phishing al cosiddetto “Spear phishing”, al quale stiamo assistendo negli ultimi anni, sta causando significativi danni finanziari, in termini di credibilità di brand, nonché operativi: sono sempre più numerosi i casi di organizzazioni in tutto il mondo che ne sono vittima. Come prevenire questo genere di attacchi?
Spear Phishing: target e caratteristiche
I casi di Spear Phishing sono in aumento perché funzionano. Le difese di sicurezza tradizionali spesso non riescono a riconoscere tutte le minacce e quindi fermarle. Dal punto di vista dei criminali informatici, lo Spear Phishing è il veicolo perfetto per una serie di exploit dannosi: questa tipologia di attacchi è infatti orientata a dirigenti e figure autorevoli all’interno di un’azienda, con lo scopo di ingannarli attivando malware che danno ai cyber criminali l’accesso agli ambienti privilegiati delle organizzazioni. Le persone nel mirino hanno, di solito, ruoli come chief financial officer, responsabili ufficio finanziario, vicepresidenti o dirigenti aziendali.
Gli attacchi di Phishing avvengono soprattutto tramite email costruite: veri e propri attacchi esplorativi con cui i cyber criminali tentano di ottenere dati sensibili, come informazioni personali o credenziali di accesso alla rete. Lo Spear Phising è ancora più mirato: i cyber criminali segmentano le loro vittime, personalizzano le email impersonificando mittenti specifici e credibili, utilizzando anche tecniche per bypassare le tradizionali barriere di spam di email.
I criminali appartengono a vere e proprie organizzazioni che studiano le loro vittime, estraendo dai social Network informazioni personali per poi costruire email accurate e convincenti, spesso impersonificando mittenti vicini alla cerchia sociale della vittima. Ad esempio clienti, fornitori, colleghi o banche. Una volta che il destinatario clicca su un collegamento o su un allegato, si stabilisce un appoggio di rete, che consente al cyber criminale di accedere a reti dati e risorse aziendali.
Principali minacce e tipologie
Comprendere la tipologia degli attacchi e la loro natura rappresenta la base per poter proteggere un’azienda, dati e persone comprese. Tra le tipologie più comuni ed efficaci troviamo:
- BEC: noto anche come “caccia alle balene”, è una minaccia caratterizzata da cyber criminali che impersonano un dipendente, un fornitore o persone di fiducia. Tra gli attacchi di questa tipologia troviamo:
- frodi sui bonifici bancari indirizzati a conti illegali;
- truffe sui salari – richieste fraudolente di modificare dettagli del conto per i depositi in busta paga;
- Truffe sui buoni regalo;
- Dirottamento conversazione. I criminali si inseriscono nelle conversazioni commerciali esistenti richiedendo un pagamento o fornendo una modifica ai dettagli di pagamento, indirizzando il denaro su account illegittimi.
- Estorsione: il criminale contatta le vittime affermando di avere foto/video compromettenti, ricattandole;
- Phishing laterale: account compromessi che prendono di mira gli utenti all’interno dell’organizzazione;
- Scamming: ideato per rubare l’identità della vittima per poi creare fatture false, enti di beneficienza fasulli per attirare la vittima all’invio di denaro.
Gli attacchi di Spear Phishing possono interessare più elementi: a volte utilizzano email, URL dinamici e download drive-by per bypassare le difese tradizionali, altre sfruttano le vulnerabilità dei browser, plug-in ed applicazioni desktop per compromettere i sistemi. Ancora, possono mirare ad attacchi APT con ulteriori fasi di comunicazioni in uscita malware, download ed esfiltrazione dei dati.
Contrastare lo Spear Phishing: la prevenzione con Horsa
Le organizzazioni oggi devono affrontare crescenti minacce da attacchi di phishing mirati. Per proteggere un’azienda, i dati e le persone all’interno, bisogna investire nella tecnologia al fine di rilevare e bloccare gli attacchi, ma soprattutto in una formazione per aiutare le persone a fungere da linea di difesa.
Sul versante tecnologico, è fondamentale avere una soluzione che riconosca e blocchi gli attacchi email. Un software dotato di intelligenza artificiale che riconosca automaticamente gli account compromessi ed avvisi gli utenti, può fare la differenza.
Dall’altro lato, la tecnologia non può che risultare una soluzione parziale se non controbilanciata da una formazione sulle persone. Esse devono essere, infatti, in grado di riconoscere e segnalare gli attacchi: la miglior difesa è sempre la prevenzione.
Per facilitare questo processo, si può ricorrere alla simulazione di phishing per email, segreteria telefonica e SMS per addestrare gli utenti a identificare gli attacchi informatici e testare l’efficacia della formazione interna.
Tra le soluzioni di Horsa, uno degli strumenti più adatti è una simulazione realistica di un attacco di phishing con lo scopo virtuale di rubare dati sensibili (es. credenziali). Si possono prevedere due modalità: una informata ed una non informata.
Entrambe le modalità hanno lo scopo di far emergere i punti deboli dell’azienda, per poterli poi correggere. I risultati delle simulazioni delle campagne di phishing sono in grado di fornire dati oggettivi utili ad evidenziare la capacità di penetrazione dell’attacco e, di conseguenza, le potenziali debolezze che affliggono l’organizzazione.
Con i dati alla mano, si potranno poi effettuare azioni di rimedio grazie ad attività formative specifiche, con l’obiettivo di creare conoscenza e sensibilità sulla sicurezza informatica.
Horsa supporta le aziende, e non solo nell’identificazione delle debolezze. Eroga infatti anche corsi di security awareness (sensibilità/consapevolezza sulla sicurezza), tarati sulle singole esigenze aziendali. Obiettivi formativi su specifici target di utenti: per far sì che ognuno, all’interno dell’azienda, possa diventare un “muro”, e che sia consapevole delle minacce e prevenire così tutti i possibili cyber attacchi.
