TL;DR

  • Il phishing è una pratica dannosa in cui gli aggressori si travestono da entità affidabili per indurre le persone a rivelare informazioni sensibili.

  • Rimani vigile contro il phishing riconoscendo segnali comuni come URL sospetti e richieste urgenti di informazioni personali.

  • Comprendere le diverse tecniche di phishing, dalle comuni truffe tramite posta elettronica allo spear phishing sofisticato, per rafforzare le difese della sicurezza informatica.

introduzione

Il phishing è una tattica dannosa in cui i malintenzionati fingono di essere fonti affidabili per ingannare le persone inducendole a condividere dati sensibili. In questo articolo faremo luce su cos’è il phishing, come funziona e cosa puoi fare per evitare di cadere preda di tali truffe.

Come funziona il phishing

Il phishing si basa principalmente sull’ingegneria sociale, un metodo in cui gli aggressori manipolano gli individui inducendoli a divulgare informazioni riservate. Gli aggressori raccolgono dettagli personali da fonti pubbliche (come i social media) per creare e-mail apparentemente autentiche. Le vittime spesso ricevono messaggi dannosi che sembrano provenire da contatti familiari o organizzazioni rispettabili.

La forma più comune di phishing avviene tramite e-mail contenenti collegamenti o allegati dannosi. Facendo clic su questi collegamenti è possibile installare malware sul dispositivo dell'utente o indirizzarlo a siti Web contraffatti progettati per rubare informazioni personali e finanziarie.

Sebbene sia più facile individuare e-mail di phishing scritte male, i criminali informatici utilizzano strumenti avanzati come chatbot e generatori vocali AI per migliorare l’autenticità dei loro attacchi. Ciò rende difficile per gli utenti distinguere tra comunicazioni autentiche e fraudolente.

Riconoscere i tentativi di phishing

Identificare le email di phishing può essere complicato, ma ci sono alcuni segnali a cui puoi prestare attenzione.

Segni comuni

Fai attenzione se il messaggio contiene URL sospetti, utilizza indirizzi e-mail pubblici, induce paura o urgenza, richiede informazioni personali o contiene errori di ortografia e grammaticali. Nella maggior parte dei casi, dovresti essere in grado di posizionare il mouse sui collegamenti per controllare gli URL senza effettivamente fare clic su di essi.

Truffe basate sui pagamenti digitali

I phisher spesso si spacciano per servizi di pagamento online affidabili come PayPal, Venmo o Wise. Gli utenti ricevono e-mail fraudolente che li invitano a verificare i dettagli di accesso. È fondamentale rimanere vigili e segnalare attività sospette.

Attacchi di phishing basati sul settore finanziario

I truffatori si fingono banche o istituti finanziari, sostenendo violazioni della sicurezza per ottenere informazioni personali. Le tattiche comuni includono e-mail ingannevoli sui trasferimenti di denaro o truffe sui depositi diretti rivolti ai nuovi dipendenti. Potrebbero anche affermare che è disponibile un aggiornamento di sicurezza urgente.

Truffe di phishing legate al lavoro

Queste truffe personalizzate coinvolgono aggressori che si fingono dirigenti, amministratori delegati o direttori finanziari e richiedono bonifici o acquisti falsi. Il phishing vocale che utilizza generatori vocali AI al telefono è un altro metodo utilizzato dai truffatori.

Come prevenire gli attacchi di phishing

Per prevenire attacchi di phishing, è importante utilizzare più misure di sicurezza. Evitare di fare clic direttamente su qualsiasi collegamento. Vai invece al sito Web ufficiale o ai canali di comunicazione dell’azienda per verificare se le informazioni che hai ricevuto sono legittime. Prendi in considerazione l'utilizzo di strumenti di sicurezza come software antivirus, firewall e filtri antispam.

Inoltre, le organizzazioni dovrebbero utilizzare standard di autenticazione e-mail per verificare le e-mail in entrata. Esempi comuni di metodi di autenticazione della posta elettronica includono DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting e Conformance).

Per i singoli individui è fondamentale informare familiari e amici sui rischi del phishing. Per le aziende, è fondamentale educare i dipendenti sulle tecniche di phishing e fornire formazione periodica di sensibilizzazione per ridurre i rischi.

Se hai bisogno di ulteriore assistenza e informazioni, cerca iniziative governative come OnGuardOnline.gov e organizzazioni come Anti-Phishing Working Group Inc. Forniscono risorse e indicazioni più dettagliate su come individuare, evitare e segnalare attacchi di phishing.

Tipi di phishing

Le tecniche di phishing si stanno evolvendo e i criminali informatici utilizzano vari metodi. I diversi tipi di phishing vengono generalmente classificati in base al bersaglio e al vettore di attacco. Diamo uno sguardo più da vicino.

Clonare il phishing

Un utente malintenzionato utilizzerà un'e-mail legittima inviata in precedenza e ne copierà il contenuto in un'altra simile contenente un collegamento a un sito dannoso. L'aggressore potrebbe anche affermare che si tratta di un collegamento aggiornato o nuovo, affermando che quello precedente non era corretto o era scaduto.

Spear-phishing

Questo tipo di attacco è focalizzato su una persona o istituzione. Un attacco spear è più sofisticato di altri tipi di phishing perché è profilato. Ciò significa che l'aggressore raccoglie innanzitutto informazioni sulla vittima (ad esempio nomi di amici o familiari) e utilizza questi dati per attirare la vittima verso un file di un sito Web dannoso.

Farmazione

Un utente malintenzionato avvelenerà un record DNS che, in pratica, reindirizzerà i visitatori di un sito legittimo verso un sito fraudolento creato in precedenza dall'utente malintenzionato. Questo è l'attacco più pericoloso perché i record DNS non sono sotto il controllo dell'utente, rendendolo quindi incapace di difendersi.

Caccia alla balena

Una forma di spear phishing che prende di mira persone facoltose e importanti, come amministratori delegati e funzionari governativi.

Spoofing della posta elettronica

Le e-mail di phishing in genere falsificano le comunicazioni di aziende o persone legittime. Le e-mail di phishing possono presentare alle vittime inconsapevoli collegamenti a siti dannosi, in cui gli aggressori raccolgono credenziali di accesso e informazioni personali utilizzando pagine di accesso abilmente mascherate. Le pagine potrebbero contenere trojan, keylogger e altri script dannosi che rubano informazioni personali.

Reindirizzamenti del sito web

I reindirizzamenti dei siti Web inviano gli utenti a URL diversi da quello che l'utente intendeva visitare. Gli attori che sfruttano le vulnerabilità possono inserire reindirizzamenti e installare malware sui computer degli utenti.

Typosquatting

Il typosquatting indirizza il traffico verso siti Web contraffatti che utilizzano ortografie in lingue straniere, errori di ortografia comuni o sottili variazioni nel dominio di primo livello. I phisher utilizzano i domini per imitare le interfacce dei siti Web legittimi, approfittando degli utenti che digitano o leggono erroneamente l'URL.

Annunci a pagamento falsi

La pubblicità a pagamento è un'altra tattica utilizzata per il phishing. Questi annunci (falsi) utilizzano domini che gli aggressori hanno digitato e pagato per apparire nei risultati di ricerca. Il sito potrebbe anche apparire tra i primi risultati di ricerca su Google.

Attacco all'abbeveratoio

In un attacco Watering Hole, i phisher analizzano gli utenti e determinano i siti web che visitano frequentemente. Eseguono la scansione di questi siti alla ricerca di vulnerabilità e tentano di iniettare script dannosi progettati per prendere di mira gli utenti la prossima volta che visitano quel sito Web.

Furto d'identità e omaggi falsi

Impersonazione di personaggi influenti sui social media. I phisher possono impersonare i leader chiave delle aziende e pubblicizzare omaggi o impegnarsi in altre pratiche ingannevoli. Le vittime di questo inganno possono anche essere prese di mira individualmente attraverso processi di ingegneria sociale volti a scovare utenti ingenui. Gli attori possono hackerare account verificati e modificare i nomi utente per impersonare una figura reale mantenendo lo stato verificato.

Recentemente, i phisher hanno preso di mira pesantemente piattaforme come Discord, X e Telegram per gli stessi scopi: spoofing di chat, impersonificazione di persone e imitazione di servizi legittimi.

Applicazioni dannose

I phisher possono anche utilizzare app dannose che monitorano il tuo comportamento o rubano informazioni sensibili. Le app possono fungere da rilevatori di prezzi, portafogli e altri strumenti legati alle criptovalute (che hanno una base di utenti predisposti al trading e al possesso di criptovaluta).

SMS e phishing vocale

Una forma di phishing basata su messaggi di testo, solitamente effettuata tramite SMS o messaggi vocali, che incoraggia gli utenti a condividere informazioni personali.

Phishing vs. Farmazione

Sebbene alcuni considerino il pharming una forma di attacco di phishing, esso si basa su un meccanismo diverso. La differenza principale tra phishing e pharming è che il phishing richiede che la vittima commetta un errore. Al contrario, il pharming richiede soltanto che la vittima tenti di accedere a un sito web legittimo il cui record DNS è stato compromesso dall’aggressore.

Phishing nello spazio Blockchain e Crypto

Sebbene la tecnologia blockchain offra una forte sicurezza dei dati grazie alla sua natura decentralizzata, gli utenti nello spazio blockchain dovrebbero rimanere vigili contro l’ingegneria sociale e i tentativi di phishing. I criminali informatici spesso tentano di sfruttare le vulnerabilità umane per ottenere l’accesso a chiavi private o credenziali di accesso. Nella maggior parte dei casi, le truffe si basano sull’errore umano.

I truffatori possono anche tentare di indurre gli utenti a rivelare le loro frasi seed o a trasferire fondi a indirizzi falsi. È importante prestare attenzione e seguire le migliori pratiche di sicurezza.

Pensieri conclusivi

In conclusione, comprendere il phishing e rimanere informati sulle tecniche in evoluzione è fondamentale per salvaguardare le informazioni personali e finanziarie. Combinando solide misure di sicurezza, formazione e consapevolezza, gli individui e le organizzazioni possono rafforzarsi contro la minaccia sempre presente del phishing nel nostro mondo digitale interconnesso. Rimani SAFU!

Ulteriori letture

  • 5 suggerimenti per proteggere le tue partecipazioni in criptovaluta

  • 5 modi per migliorare la sicurezza del tuo conto Binance

  • Come rimanere al sicuro nel trading peer-to-peer (P2P).

Dichiarazione di non responsabilità: questo contenuto viene presentato "così com'è" solo per informazioni generali e scopi didattici, senza dichiarazioni o garanzie di alcun tipo. Non deve essere interpretato come consulenza finanziaria, legale o di altro tipo, né è inteso a raccomandare l'acquisto di alcun prodotto o servizio specifico. Dovresti chiedere il tuo consiglio a consulenti professionali appropriati. Laddove l'articolo sia fornito da un collaboratore di terze parti, tieni presente che le opinioni espresse appartengono al contributore di terze parti e non riflettono necessariamente quelle di Binance Academy. Si prega di leggere il nostro disclaimer completo qui per ulteriori dettagli. I prezzi degli asset digitali possono essere volatili. Il valore del tuo investimento potrebbe diminuire o aumentare e potresti non recuperare l'importo investito. Sei l'unico responsabile delle tue decisioni di investimento e Binance Academy non è responsabile per eventuali perdite che potresti subire. Questo materiale non deve essere interpretato come consulenza finanziaria, legale o di altro tipo. Per ulteriori informazioni, consultare i nostri Termini di utilizzo e Avvertenza sui rischi.