Messaggi

I marketer sono i designer dell'immagine del marchio, quindi hanno bisogno di essere consapevoli di questi 5 famosi termini di Phishing, che possono devastare la reputazione di un'azienda. Il phishing è un tipo di vettore di attacco che coinvolge un sito web o un'e-mail che sembra provenire da un'organizzazione rispettabile, ma è in realtà creato con l'intento di raccogliere informazioni sensibili come nomi utente, password e dettagli della carta di credito (noti anche come Card Data). Gli attacchi di phishing sono comuni nel mondo online.

Quando la vostra azienda cade vittima di un attacco di phishing, può causare danni al nome del marchio e interferire con il posizionamento nei motori di ricerca o il tasso di conversione. Dovrebbe essere una priorità per i marketer proteggere dagli attacchi di phishing perché sono un riflesso diretto della consistenza della vostra azienda. Quindi, come marketer, dobbiamo procedere con estrema cautela quando si tratta di truffe di phishing.

Le truffe di phishing esistono da molti anni. Non preoccupatevi se non ne avete sentito parlare prima, non è colpa vostra. Alcuni dicono che la truffa informatica è nata 10 anni fa, ma il phishing è diventato ufficialmente un crimine nel 2004. Dato che le tecniche di phishing continuano ad evolversi, incontrare una nuova email di phishing può diventare rapidamente confuso, e a volte è difficile dire se il messaggio è legittimo o no. Puoi proteggere meglio te stesso e la tua organizzazione stando attento a queste cinque tecniche comuni di phishing.

5 termini comuni di phishing da conoscere

1) Email Phishing 

Le email di phishing sono solitamente inviate in massa da un dominio che ne imita uno legittimo. Una società potrebbe avere l'indirizzo email [email protected], ma una società di phishing potrebbe usare [email protected] L'obiettivo è quello di indurti a cliccare su un link dannoso o a condividere informazioni sensibili, fingendo di essere una vera azienda con cui fai affari. Un dominio falso spesso comporta la sostituzione dei caratteri, come l'uso di 'r' e 'n' uno accanto all'altro per creare 'rn' invece di 'm'.

Gli attacchi di phishing sono in continua evoluzione e diventano sempre più impercettibili con il tempo. Gli attori delle minacce stanno usando tattiche di ingegneria sociale per spoofare i domini e inviare email fraudolente da un dominio legittimo, per fini malevoli.

2) Spear Phishing 

Un attacco di spear phishing è una nuova forma di cyberattacco che utilizza informazioni false per ottenere l'accesso ad account che hanno un livello di sicurezza più elevato. Gli aggressori professionisti hanno l'obiettivo di compromettere una singola vittima, e per realizzare questa idea, ricercano il profilo sociale dell'azienda e i nomi e i ruoli dei dipendenti all'interno di quell'azienda. A differenza del phishing, lo Spear phishing è una campagna mirata contro un'organizzazione o un individuo. Queste campagne sono accuratamente costruite dagli attori delle minacce con l'unico scopo di prendere di mira una o più persone specifiche per ottenere l'accesso a un'organizzazione.

3) Caccia alle balene

Il whaling è una tecnica altamente mirata che può compromettere le e-mail dei collaboratori di alto livello. L'obiettivo, che è simile ad altri metodi di phishing, è quello di indurre i dipendenti a cliccare su un link dannoso. Uno degli attacchi e-mail più devastanti che passano attraverso le reti aziendali è la truffa del whaling. Questi tentativi di guadagno personale utilizzano poteri di persuasione per abbassare la resistenza delle vittime, ingannandole a consegnare i fondi aziendali. Il whaling è anche noto come frode CEO, in quanto gli aggressori spesso impersonano persone in posizioni autoritarie come il CEO di una società.

4) Compromissione della posta elettronica aziendale 

Il Business Email Compromise (BEC) è una forma di crimine informatico che può essere estremamente costoso per le aziende. Questo tipo di attacco informatico utilizza la frode e-mail per influenzare i domini organizzativi a partecipare ad attività fraudolente con conseguente compromissione e furto di dati sensibili. Esempi di BEC possono includere truffe di fatturazione, spoofing di dominio e altre forme di attacchi di impersonificazione. Ogni anno un'organizzazione media può perdere fino a 70 milioni di dollari a causa delle truffe BEC, per saperne di più sulle statistiche degli attacchi BEC del 2020. In un tipico attacco, i truffatori prendono di mira specifici ruoli di dipendenti all'interno di un'organizzazione, inviando una serie di email fraudolente che affermano di provenire da un collega senior, un cliente o un partner commerciale. Possono istruire i destinatari ad effettuare pagamenti o rilasciare dati riservati.

5) Phishing Angler 

Molte aziende hanno migliaia di clienti e ricevono centinaia di reclami ogni giorno. Attraverso i social media, le aziende sono in grado di uscire dai confini delle loro limitazioni e raggiungere i loro clienti. Questo permette a una società di essere flessibile e di adattarsi alle richieste dei suoi clienti. L'angler phishing è l'atto di raggiungere i clienti scontenti attraverso i social media e fingere di essere parte di una società. La truffa dell'angler phishing è un semplice stratagemma usato per ingannare gli utenti casuali dei social media e fargli credere che un'azienda stia cercando di rimediare ai loro problemi, quando in realtà, la persona dall'altra parte si sta approfittando di loro.

Come proteggere la tua organizzazione da phishing e frodi via e-mail

Il vostro fornitore di servizi di posta elettronica può avere pacchetti di sicurezza integrati come parte del loro servizio. Questi comunque agiscono come filtri antispam che offrono protezione contro i tentativi di phishing in entrata. Tuttavia, quando un'e-mail viene inviata da truffatori che utilizzano il vostro nome di dominio alle caselle di posta dei destinatari, come nel caso di BEC, whaling, e altre forme di attacchi di impersonificazione elencati sopra, non serviranno allo scopo. Questo è il motivo per cui è necessario avvalersi di soluzioni di autenticazione e-mail come DMARC, immediatamente e passare ad una politica di applicazione.

  • DMARC autentica le vostre e-mail allineandole agli standard di autenticazione SPF e DKIM.
  • Specifica ai server riceventi come devono rispondere alle email che falliscono i controlli di autenticazione.
  • I rapporti DMARC aggregati (RUA) ti forniscono una maggiore visibilità sul tuo ecosistema di e-mail e sui risultati di autenticazione e ti aiutano a monitorare facilmente i tuoi domini.
  • I rapporti DMARC forensi (RUF) vi danno un'analisi approfondita dei vostri risultati di fallimento DMARC, aiutandovi a rispondere più velocemente agli attacchi di impersonificazione.

Come può PowerDMARC aiutare il vostro marchio?

PowerDMARC è più di un semplice fornitore di servizi DMARC, è una piattaforma SaaS multi-tenant che fornisce una vasta gamma di soluzioni di autenticazione e programmi DMARC MSSP. Rendiamo l'autenticazione e-mail facile e accessibile per ogni organizzazione, dalle piccole imprese alle multinazionali.

  • Vi aiutiamo a passare da p=nessuno a p=rifiuto in pochissimo tempo, in modo da proteggere il vostro marchio da attacchi di impersonificazione, spoofing di dominio e phishing.
  • Vi aiutiamo a configurare facilmente il reporting DMARC per il vostro con grafici e tabelle complete e visualizzazioni di report RUA in 6 diversi formati per una facilità d'uso e una visibilità amplificata
  • Ci siamo preoccupati della tua privacy, quindi puoi criptare i tuoi rapporti DMARC RUF con la tua chiave privata
  • Ti aiutiamo a generare rapporti PDF programmati sui tuoi risultati di autenticazione
  • Forniamo una soluzione dinamica di appiattimento SPF come PowerSPF in modo da non superare mai il limite di 10 lookup DNS
  • Vi aiutiamo a rendere obbligatoria la crittografia TLS in SMTP, con MTA-STS per proteggere il vostro dominio da attacchi di monitoraggio pervasivi
  • Vi aiutiamo a rendere il vostro marchio visivamente identificabile nelle caselle di posta dei destinatari con BIMI

Iscriviti a PowerDMARC oggi stesso per ottenere la tua prova gratuita dello strumento di analisi DMARC e passare da una politica di monitoraggio all'applicazione per fornire al tuo dominio la massima protezione contro gli attacchi BEC, phishing e spoofing.

L'e-mail serve come un canale critico per la generazione di lead B2B e le comunicazioni con i clienti, ma è anche uno dei canali più ampiamente presi di mira per i cyberattacchi e le truffe via e-mail. I criminali informatici stanno sempre innovando i loro attacchi al fine di rubare più informazioni e risorse finanziarie. Mentre le organizzazioni continuano a combattere con misure di sicurezza più forti, i criminali informatici devono costantemente evolvere le loro tattiche e migliorare le loro tecniche di phishing e spoofing.

Nel 2021, un drastico aumento nell'uso del machine learning (ML) e degli attacchi di phishing basati sull'intelligenza artificiale (AI) che non vengono rilevati dalle tradizionali soluzioni di sicurezza e-mail è stato rilevato dai ricercatori di sicurezza di tutto il mondo. Lo scopo principale di questi attacchi è quello di manipolare il comportamento umano e indurre le persone a compiere azioni non autorizzate - come trasferire denaro sui conti dei truffatori.

Mentre la minaccia degli attacchi e delle frodi via e-mail sono sempre in evoluzione, non rimanere indietro. Conosci le tendenze delle frodi via e-mail che avranno luogo nei prossimi anni in termini di tattiche dei truffatori, strumenti e malware. Attraverso questo post sul blog ti mostrerò come i criminali informatici stanno sviluppando le loro tattiche, e ti spiegherò come la tua azienda può prevenire questo tipo di attacco via e-mail.

Tipi di truffe via e-mail da cui guardarsi nel 2021

1. Compromissione della posta elettronica aziendale (BEC)

COVID-19 ha costretto le organizzazioni a implementare ambienti di lavoro a distanza e a passare alla comunicazione virtuale tra dipendenti, partner e clienti. Mentre questo ha alcuni benefici da elencare, il lato negativo più evidente è l'allarmante aumento di BEC nell'ultimo anno. BEC è un termine più ampio usato per riferirsi agli attacchi di frode via e-mail come lo spoofing e il phishing.

L'idea comune è che un cyber attaccante utilizzi il vostro nome di dominio per inviare e-mail ai vostri partner, clienti o dipendenti cercando di rubare le credenziali aziendali per ottenere l'accesso a beni riservati o avviare trasferimenti bancari. Il BEC ha colpito più del 70% delle organizzazioni nell'ultimo anno e ha portato alla perdita di miliardi di dollari di beni aziendali.

2. Attacchi di phishing via e-mail evoluti

Gli attacchi di phishing via e-mail si sono drasticamente evoluti negli ultimi anni, anche se il motivo è rimasto lo stesso, è il mezzo per manipolare i vostri partner fidati, dipendenti e clienti a cliccare su link dannosi incapsulati all'interno di una e-mail che sembra essere inviata da voi, al fine di avviare l'installazione di malware o il furto di credenziali. I truffatori di email evoluti stanno inviando email di phishing che sono difficili da individuare. Dalla scrittura di righe dell'oggetto impeccabili e contenuti privi di errori alla creazione di false landing page con un alto livello di precisione, rintracciare manualmente le loro attività è diventato sempre più difficile nel 2021.

3. Man-In-The-Middle

Sono finiti i giorni in cui gli aggressori inviavano email mal scritte che anche un profano poteva identificare come fraudolente. Gli attori delle minacce in questi giorni stanno approfittando dei problemi di sicurezza SMTP come l'uso della crittografia opportunistica nelle transazioni e-mail tra due server di posta elettronica comunicanti, origliando la conversazione dopo aver fatto retrocedere con successo la connessione protetta ad una non criptata. Gli attacchi MITM come il downgrade SMTP e lo spoofing DNS sono stati sempre più popolari nel 2021.

4. Frode del CEO

La frode CEO si riferisce agli schemi che vengono condotti che prendono di mira i dirigenti di alto livello al fine di ottenere l'accesso a informazioni riservate. Gli aggressori lo fanno prendendo le identità di persone reali come CEO o CFO e inviando un messaggio a persone di livello inferiore all'interno dell'organizzazione, partner e clienti, inducendoli con l'inganno a dare via informazioni sensibili. Questo tipo di attacco è anche chiamato Business Email Compromise o whaling. In un contesto aziendale, alcuni criminali si avventurano a creare un'email più credibile, impersonando i decisori di un'organizzazione. Questo permette loro di chiedere facili trasferimenti di denaro o informazioni sensibili sulla società.

5. Esche per vaccini COVID-19

I ricercatori di sicurezza hanno rivelato che gli hacker stanno ancora cercando di capitalizzare le paure legate alla pandemia COVID-19. Recenti studi hanno fatto luce sulla mentalità dei criminali informatici, rivelando un interesse continuo nello stato di panico che circonda la pandemia COVID-19 e un aumento misurabile negli attacchi di phishing e di compromissione della posta elettronica aziendale (BEC) che prendono di mira i leader aziendali. Il mezzo per perpetrare questi attacchi è una falsa esca per il vaccino COVID-19 che suscita immediatamente interesse tra i destinatari delle e-mail.

Come si può migliorare la sicurezza delle e-mail?

  • Configura il tuo dominio con gli standard di autenticazione delle email come SPF, DKIM e DMARC
  • Passare dal monitoraggio DMARC all'applicazione DMARC per ottenere la massima protezione contro BEC, frodi CEO e attacchi phishing evoluti
  • Monitorare costantemente il flusso di e-mail e i risultati dell'autenticazione di volta in volta
  • Rendere obbligatoria la crittografia in SMTP con MTA-STS per mitigare gli attacchi MITM
  • Ricevi notifiche regolari sui problemi di consegna delle e-mail con dettagli sulle loro cause principali con la segnalazione SMTP TLS (TLS-RPT)
  • Mitigare l'SPF permerror rimanendo sempre sotto il limite di 10 lookup DNS
  • Aiuta i tuoi destinatari a identificare visivamente il tuo marchio nelle loro caselle di posta con BIMI

PowerDMARC è la tua singola piattaforma SaaS di autenticazione email che assembla tutti i protocolli di autenticazione email come SPF, DKIM, MTA-STS, TLS-RPT e BIMI in un unico pannello di vetro. Iscriviti oggi stesso per ottenere il tuo analizzatore DMARC gratuito!

Sai qual è il peggior tipo di truffa di phishing? Il tipo che non puoi semplicemente ignorare: come la CEO Fraud. Email che si suppone provengano dal governo, che ti dicono di fare quel pagamento in sospeso relativo alle tasse o di rischiare un'azione legale. Email che sembrano inviate dalla tua scuola o università, che ti chiedono di pagare quella tassa d'iscrizione che hai saltato. O anche un messaggio dal tuo capo o CEO, che ti dice di trasferirgli dei soldi "come favore".

Il problema con e-mail come questa è che stanno impersonando una figura di autorità, che sia il governo, il tuo consiglio universitario o il tuo capo al lavoro. Queste sono persone importanti, e ignorare i loro messaggi avrà quasi certamente gravi conseguenze. Quindi sei costretto a guardarle, e se sembra abbastanza convincente, potresti anche cascarci.

Ma diamo un'occhiata alla frode dei CEO. Che cos'è esattamente? Può accadere a voi? E se può, cosa dovresti fare per fermarla?

Non sei immune alle frodi dei CEO

Una truffa da 2,3 miliardi di dollari ogni anno, ecco cos'è. Vi starete chiedendo: "Cosa potrebbe mai far perdere alle aziende così tanti soldi per una semplice truffa via e-mail?" Ma saresti sorpreso di quanto possano essere convincenti le email di frode dei CEO.

Nel 2016, Mattel ha quasi perso 3 milioni di dollari a causa di un attacco di phishing quando un dirigente finanziario ha ricevuto una e-mail dal CEO, che la istruiva a inviare un pagamento a uno dei loro fornitori in Cina. Ma è stato solo dopo aver controllato più tardi con il CEO che si è resa conto che non aveva mai inviato l'e-mail. Per fortuna, l'azienda ha lavorato con le forze dell'ordine in Cina e negli Stati Uniti per riavere i loro soldi pochi giorni dopo, ma questo non succede quasi mai con questi attacchi.

La gente tende a credere che queste truffe non accadranno a loro... finché non accadono a loro. E questo è il loro più grande errore: non prepararsi alla frode del CEO.

Le truffe di phishing non solo possono costare alla vostra organizzazione milioni di dollari, ma possono avere un impatto duraturo sulla reputazione e la credibilità del vostro marchio. Si corre il rischio di essere visti come l'azienda che ha perso soldi a causa di una truffa via e-mail e di perdere la fiducia dei vostri clienti di cui conservate le informazioni personali sensibili.

Invece di rimuginare sul controllo dei danni dopo il fatto, ha molto più senso proteggere i vostri canali e-mail contro le truffe di spear phishing come questa. Ecco alcuni dei modi migliori per garantire che la vostra organizzazione non diventi una statistica nel rapporto dell'FBI sul BEC.

Come prevenire le frodi degli amministratori delegati: 6 semplici passi

  1. Educare il personale alla sicurezza
    Questo è assolutamente critico. I membri della tua forza lavoro, e specialmente quelli della finanza, devono capire come funziona il Business Email Compromise. E non intendiamo solo una noiosa presentazione di 2 ore sul non scrivere la password su un post-it. È necessario addestrarli su come guardare fuori per i segni sospetti che una e-mail è falso, guardare fuori per gli indirizzi e-mail spoofed, e le richieste anomale altri membri del personale sembrano fare attraverso la posta elettronica.
  2. Attenzione ai segni rivelatori dello spoofing
    Itruffatori via e-mail usano tutti i tipi di tattiche per convincerti a soddisfare le loro richieste. Queste possono variare da richieste/istruzioni urgenti per trasferire denaro come un modo per farti agire rapidamente e senza pensare, o anche chiedendoti l'accesso a informazioni riservate per un "progetto segreto" che i piani alti non sono ancora pronti a condividere con te. Queste sono serie bandiere rosse, e devi controllare due o tre volte prima di intraprendere qualsiasi azione.
  3. Proteggiti con DMARC
    Il modo più semplice per prevenire una truffa di phishing è quello di non ricevere mai l'e-mail. DMARC è un protocollo di autenticazione e-mail che verifica le e-mail provenienti dal tuo dominio prima di consegnarle. Quando applichi DMARC sul tuo dominio, qualsiasi aggressore che impersona qualcuno della tua organizzazione sarà rilevato come un mittente non autorizzato, e la sua email sarà bloccata dalla tua casella di posta. Non dovrai più avere a che fare con le email spoofate.
  4. Ottenere l'approvazione esplicita per i trasferimenti di denaro
    Questo è uno dei modi più semplici e diretti per evitare trasferimenti di denaro alle persone sbagliate. Prima di impegnarsi in qualsiasi transazione, rendete obbligatoria l'approvazione esplicita della persona che richiede il denaro usando un altro canale oltre all'email. Per i bonifici più grandi, rendete obbligatorio ricevere una conferma verbale.
  5. Segnalare le e-mail con estensioni simili
    L'FBI raccomanda che la vostra organizzazione crei regole di sistema che segnalino automaticamente le e-mail che usano estensioni troppo simili alle vostre. Per esempio, se la tua azienda usa '123-business.com', il sistema potrebbe rilevare e segnalare le email che usano estensioni come '123_business.com'.
  6. Acquistare nomi di dominio simili
    Gli attaccanti spesso usano nomi di dominio dall'aspetto simile per inviare email di phishing. Per esempio, se la tua organizzazione ha una 'i' minuscola nel suo nome, potrebbero usare una 'I' maiuscola, o sostituire la lettera 'E' con il numero '3'. Fare questo ti aiuterà a ridurre le possibilità che qualcuno usi un nome di dominio estremamente simile per inviarti email.