Il phishing è una delle minacce digitali più importanti per la sicurezza online. I malintenzionati inviano una serie di messaggi – attraverso tecniche di ingegneria sociale – in grado di ingannare i destinatari. L’obiettivo è quello di spingere le persone a svolgere un’azione utile ai fini illeciti.
Fini illeciti che passano attraverso, ad esempio, il click su un link o il download di un allegato inviato via email. Da questi dettagli puoi capire che per contrastare questa pratica di cybercrime serve non solo una buona infrastruttura IT basata su server affidabili, come quelli di Serverplan.
Hai bisogno anche della collaborazione e della competenza di chi usa i device. Questo significa saper riconoscere le truffe online. Vuoi approfondire l’argomento? Continua a leggere questa guida dedicata alla pesca fraudolenta dei dati personali e dei codici della tua carta di credito.
Iniziamo a dare una spiegazione del concetto in questione. Il phishing è una tecnica fraudolenta per attivare una truffa online che spinge le persone a fornire informazioni sensibili come password, numeri di carte di credito o dati bancari. La caratteristica fondamentale: utilizzare degli stratagemmi per mascherare il messaggio-esca e mostrarlo come una risorsa ufficiale da parte di un mittente affidabile.
Infatti, la caratteristica fondamentale del phishing – termine inglese che nasce da una variante della parola fishing, pescare – è quella di presentare la comunicazione come parte di un’entità credibile. Come banche, servizi postali, grandi aziende come, ad esempio, Poste Italiane o Amazon.
Con una sapiente contraffazione dei testi, i cybercriminali inviano email, SMS o messaggi social che appaiono credibili anche agli occhi degli utenti più esperti. Basta un click o un download inadeguato e tutto diventa facile per i cybercriminali che vogliono rubare dati.
Da leggere: come aumentare la sicurezza di WordPress
Per capire come si sviluppa il phishing può essere utile un esempio. Di solito, uno dei canali più utilizzati dai cybercriminali è quello della posta elettronica. Qui possono inviare dei messaggi articolati e pensati per spingere le persone ad agire in modo da agevolare i piani. Ecco un messaggio:
Oggetto: Notifica urgente! Il tuo account verrà sospeso
Gentile cliente,
Abbiamo rilevato un’attività sospetta sul tuo conto. Ti chiediamo di verificare immediatamente i tuoi dati.
Se non effettui la verifica entro 24 ore, il tuo account verrà sospeso per motivi di sicurezza.
Clicca qui per accedere al tuo conto.
Ti ringraziamo per la collaborazione.
Servizio clienti – La tua banca
Il primo segnale che devi notare: l’allarmismo del testo. Di solito, un messaggio di phishing cerca di far leva sulla necessità di agire in fretta per evitare conseguenze catastrofiche. Tipo perdita di denaro o cancellazione dell’account. Questo induce gli utenti meno esperti a cliccare.
In alcuni casi, puoi riconoscere il phishing grazie alla presenza di una serie di errori ed incongruenze: ci sono degli strafalcioni di grammatica e dei refusi, non si utilizza il tuo nome reale, c’è grande genericità rispetto al servizio che hai sottoscritto o all’azione che ha causato il blocco.
Inoltre, puoi riconoscere un messaggio phishing grazie al link sospetto: se passi il mouse sopra all’anchor text puoi notare che l’URL non è quello dell’azienda che ha inviato il messaggio SMS o di posta elettronica. Certo, da mobile tutto diventa più difficile quindi bisogna fare attenzione.
Un altro aspetto determinante per individuare il classico messaggio di phishing che può minacciare i tuoi dati: l’aspetto estetico. In alcuni casi, ci sono delle incongruenze dal punto di vista del logo o dei colori aziendali. Ma è anche vero che le tecniche di social engineering diventano più insidiose.
Questi dettagli possono assottigliarsi al punto da diventare irrilevanti. La prova del nove può arrivare dal nome dominio attraverso il quale viene inviato il messaggio di posta elettronica: spesso, sono dei sottodomini o dei domini principali non collegati al brand. Come sempre, occhio alle URL dei link.
Il meccanismo del phishing è piuttosto semplice. Il truffatore invia un’email, un SMS o un messaggio social fingendo un’identità differente. Come, ad esempio, una banca, un corriere, un ente pubblico come l’INPS. Nel messaggio può esserci un link da cliccare che porta a un’applicazione che ruba i tuoi dati. Oppure un documento da scaricare che in realtà installa un malware o uno spyware. Il quale può registrare le password o criptare i dati
Per poi chiedere un riscatto. Il phishing classico si svolge via email, quello che viene definito Smishing riguarda l’invio di SMS fraudolenti mentre il Vishing si specializza nelle truffe telefoniche. Altri tipi di phishing riguardano il Whaling, quando si concentra sui profili di alto livello in un’azienda,
Il primo punto da considerare quando cerchi un metodo per bloccare i messaggi SPAM che contengono rischi di phishing: la consapevolezza delle possibili conseguenze. Serve una formazione adeguata per riconoscere i contenuti che possono portare alle potenziali minacce e per disabilitare di ciò che risulta poco credibile. In linea di massima, la regola è quella di non cliccare link o scaricare allegati di messaggi sospetti.
La tua email professionale senza più problemi di spazio
L’uso di un’email con dei sistemi antispam può fare la differenza, così come l’autenticazione a due fattori, ma soprattutto per gli usi professionali servono dei servizi di sicurezza via email che includano filtro anti-phishing e sistema contro lo spam avanzato, proprio come fa Powermail: la posta elettronica professionale per aziende, freelance e privati di Serverplan con anteprima PDF per allegati, sezione Blacklist per i contatti indesiderati.
