popup phishing SSO

Il phishing si evolve ancora: adesso sfrutta servizi legittimi

Aiutaci a crescere: lasciaci un like :)

Avanan, una società di Check Point Software, ha recentemente rivelato l’evoluzione degli attacchi phishing, che utilizzano servizi legittimi come iCloud, PayPal, Google Docs e FedEx per inviare email malevole. Il metodo, denominato “Phishing Scams 3.0“, non richiede il compromesso di codici o sistemi, ma solo un account gratuito per infiltrarsi nelle caselle di posta elettronica delle vittime. Una nuova evoluzione dell’attacco, dopo l’ultimo report.

Come funzionano i nuovi attacchi

Gli attacchi BEC (Business Email Compromise) continuano a evolversi. Un attacco BEC tradizionale si basa sulla capacità del cybercriminale di impersonare un dipendente dell’azienda o un partner esterno di fiducia. Tuttavia, con questa nuova tecnica, gli attacchi passano a un metodo in cui l’attaccante compromette un account appartenente a un’organizzazione o a una delle organizzazioni del suo partner e lo utilizza per inserirsi in thread di posta elettronica legittimi, rispondendo come se fossero i veri dipendenti. Nel corso degli ultimi due mesi, sono stati osservati 33.817 attacchi via e-mail. iCloud è il servizio più sfruttato, seguito da PayPal, Google Docs, SharePoint, FedEx, Intuit e molti altri.

Gli aggressori seguono questi passaggi:

  1. Creano un account gratuito su un servizio come PayPal.
  2. Ricerca degli indirizzi di posta elettronica a cui inviare un’e-mail.
  3. Creazione di una fattura falsa che informa l’utente di un addebito o del rinnovo di un servizio.
  4. Invio dell’e-mail e attesa che qualcuno clicchi sul link malevolo.

Jeremy Fuchs, portavoce di Avanan, ha dichiarato: “Stiamo assistendo a qualcosa di completamente nuovo, in cui gli aggressori utilizzano servizi legittimi e ben noti per eseguire i loro attacchi. In tali truffe, la vittima riceve un’e-mail da un servizio totalmente legittimo, come può essere PayPal o GoogleDocs, che includerà un collegamento a un sito malevolo. A febbraio e marzo, i nostri ricercatori hanno rilevato un totale di 33.817 attacchi e-mail, impersonando aziende e servizi legittimi e popolari. Chiamiamo questo nuovo tipo di attacchi informatici ‘Phishing Scams 3.0’ o ‘BEC Firm Impersonation’”. Fuchs aggiunge: “Non c’è nulla di pericoloso in questi siti popolari che vengono sfruttati, né esiste una vulnerabilità. Tuttavia, i criminali utilizzano questi servizi per ottenere l’accesso alla posta in arrivo di un utente. Esorto vivamente le persone ad attivare l’autenticazione a due fattori e utilizzare i filtri e-mail per proteggersi da questo tipo di attacchi”.

Per proteggersi da questi attacchi sempre più sofisticati, gli esperti di sicurezza raccomandano di seguire queste precauzioni:

  1. Autenticazione a due fattori (2FA): Attivare l’autenticazione a due fattori per tutti i servizi e le applicazioni sensibili, in modo da aggiungere un ulteriore livello di sicurezza oltre alla semplice password.
  2. Educazione e formazione: Sensibilizzare i dipendenti e gli utenti sulla minaccia del phishing e sui metodi utilizzati dagli aggressori. Fornire formazione regolare su come riconoscere e segnalare le e-mail sospette.
  3. Aggiornamenti di sicurezza: Mantenere aggiornati i sistemi e le applicazioni per proteggersi dalle vulnerabilità note che potrebbero essere sfruttate dagli attaccanti.
  4. Utilizzo di filtri anti-spam e anti-phishing: Impostare filtri e-mail che bloccano automaticamente i messaggi sospetti e i tentativi di phishing.
  5. Verifica delle e-mail sospette: Se si riceve un’e-mail sospetta da un’organizzazione o un individuo conosciuto, contattare direttamente la persona o l’organizzazione tramite un metodo di comunicazione diverso per verificare l’autenticità del messaggio.
  6. Non cliccare sui link sospetti: Evitare di cliccare su link presenti in e-mail sospette, anche se provengono da fonti apparentemente affidabili. Invece, visitare direttamente il sito web dell’organizzazione digitando l’indirizzo nel browser.
  7. Utilizzo di soluzioni di sicurezza avanzate: Implementare soluzioni di sicurezza che utilizzano l’intelligenza artificiale e il machine learning per identificare e bloccare gli attacchi di phishing in tempo reale.

Seguendo queste linee guida, gli utenti possono ridurre significativamente il rischio di cadere vittime di attacchi phishing e proteggere le proprie informazioni personali e aziendali. L’evoluzione delle tattiche di phishing evidenzia l’importanza di adottare misure di sicurezza adeguate e di mantenere una consapevolezza costante delle minacce in continua evoluzione nel panorama della sicurezza informatica.

Giornalista pubblicista, SEO Specialist, fotografo. Da sempre appassionato di tecnologia, lavoro nell'editoria dal 2010, prima come fotografo e fotoreporter, infine come giornalista. Ho scritto per PC Professionale, SportEconomy e Corriere della Sera, oltre ovviamente a Smartphonology.