Il phishing è un crimine informatico efficace e pericoloso perché si basa sulla fiducia intrinseca delle persone in Internet. L'idea che i criminali siano in grado di ingannare l'utente per indurlo a fornire informazioni private è difficile da credere per la maggior parte delle persone, il che rende facile anche per le persone benintenzionate cadere vittima di un attacco di phishing.

Fattori chiave che rendono il phishing un crimine informatico efficace e pericoloso

Il phishing è un reato informatico comune che può essere facilmente commesso e difficile da individuare. Sebbene il phishing esista da decenni, è ancora una minaccia importante sia per le aziende che per i privati.

• Il phishing è un crimine informatico efficace perché è molto semplice. Si invia un'e-mail o si pubblica qualcosa sui social media che sembra provenire da un'azienda o da una persona legittima. Si chiede di accedere al proprio account e di cambiare la password o di inserire altre informazioni, come numeri di carte di credito o password di altri account.

• Il motivo per cui il phishing è così efficace è che gli autori possono prendere di mira individui specifici o gruppi di persone. Inoltre, hanno a disposizione un'ampia varietà di metodi per ingannare le vittime e indurle a fornire le loro informazioni. 

Ad esempio, possono inviare un'e-mail che sembra provenire da un'azienda legittima (come Google) chiedendovi di accedere al vostro account sul loro sito web. Se si cade in questo tranello, il nome utente e la password vengono rubati!

• Un'altra ragione per cui il phishing è un crimine così efficace è che non esistono ancora leggi che lo contrastino: al momento è considerato solo una molestia o una frode online. Ciò significa che le vittime non hanno alcun ricorso legale quando qualcuno ruba le loro informazioni personali attraverso truffe di phishing come quelle menzionate sopra!

• Anche negli ultimi anni non c'è molta consapevolezza riguardo al Phishing. La maggior parte dei dipendenti aziendali, dei proprietari di domini e dei singoli individui ha sentito solo di sfuggita il termine "phishing", senza capire bene come viene eseguito e cosa possono fare per proteggersi da esso.

• In parte il motivo è che il phishing è così facile da eseguire. Tutto ciò che serve è un computer e qualche conoscenza di base su come usarlo. Questo rende i phishing economici e facili da realizzare, ed è per questo che sono così pericolosi.

• L'altra parte è che gli esseri umani sono davvero bravi a farsi ingannare. Il nostro cervello è costruito per credere a ciò che ci dicono gli occhi e i phisher hanno imparato a sfruttare questa tendenza per indurre le persone ad agire contro i propri interessi. 

Ecco perché, anche se sappiamo bene che non è il caso di aprire un'e-mail di qualcuno che non conosciamo o di cliccare sui link delle e-mail inviate da persone che non conosciamo, a volte lo facciamo lo stesso, perché il nostro cervello vuole farci credere che queste cose siano sicure!

Come rilevare i tentativi di phishing?

Assicuratevi che l'e-mail inviata sia autentica

Se non siete sicuri che sia reale o meno, potete fare alcune cose per verificare. Innanzitutto, se la persona che l'ha inviata è una persona che conoscete (come il vostro capo), chiamatela e chiedetele se l'ha inviata davvero. Se vi rispondono di sì, allora fate quello che vi hanno chiesto. Ma se vi dicono di no... allora forse c'è qualcosa di sospetto!

In secondo luogo, osservate l'indirizzo e-mail: sembra un indirizzo ufficiale dell'azienda? Spesso questo tipo di e-mail viene inviato da un indirizzo che termina con "mailinator" o qualcosa di simile: ciò significa che non proviene da loro!

Autenticare i messaggi

Per evitare le congetture, si può pensare di autenticare i messaggi di posta elettronica utilizzando protocolli affidabili come SPF, DKIM e soprattutto, DMARC. L'autenticazione può aiutare i proprietari di domini a prevenire un'ampia gamma di attacchi informatici, tra cui spoofing, phishing, ransomware e BEC.

Cercate i segni evidenti

1. Cercate errori di ortografia, di grammatica e di altro tipo nell'e-mail. La maggior parte delle e-mail di phishing contiene almeno un errore perché sono state create da truffatori che non sono madrelingua inglese.
2. Osservate i link presenti nell'e-mail. Se il link vi indirizza a un sito web che non è associato alla vostra banca o al vostro negozio online, probabilmente non è sicuro cliccarci sopra.
3. Verificate i numeri di telefono indicati nell'e-mail utilizzando una fonte affidabile come Google Voice o Skype prima di richiamarli, anche se sembrano legittimi! In caso di sospetto su una richiesta via e-mail, potete anche chiamare direttamente la vostra banca senza condividere alcuna informazione sensibile al telefono."

Leggete la nostra guida dettagliata su Indicatori comuni di un tentativo di phishing.

Come evitare di essere vittima di phishing?

Per evitare di essere truffati, seguite questi consigli:

1. Non cliccate mai su link di phishing nelle e-mail o nei messaggi di testo, a meno che non sappiate da dove provengono (e se chiedono informazioni personali).
2. Guardate l'indirizzo e-mail del mittente e confrontatelo con il suo vero indirizzo e-mail (se lo ha fornito). Se non sembra corretto, se ci sono errori di ortografia o altri errori, non apritelo!
3. Applicare la politica DMARC a p=rifiuto (notare che il passaggio a DMARC dovrebbe essere un processo graduale e si raccomanda sempre di iniziare con p=nessuno)
4. Per informare i vostri dipendenti sui vettori di attacco delle e-mail e sulle best practice, potete partecipare a un corso di formazione gratuito sul DMARC. formazione DMARC.

Parole finali

Gli attacchi di phishing non solo mettono la rete a rischio di violazione dei dati e di infezioni da malware, ma costano alle aziende milioni di euro in termini di mancati guadagni e danni alla reputazione ogni anno (secondo IBM). Il modo migliore per prevenire questi attacchi è la consapevolezza, il rilevamento precoce e una prevenzione efficace.