Il phishing si evolve ancora: adesso sfrutta servizi legittimi

Avanan, una società di Check Point Software, ha recentemente rivelato l’evoluzione degli attacchi phishing, che utilizzano servizi legittimi come iCloud, PayPal, Google Docs e FedEx per inviare email malevole. Il metodo, denominato “Phishing Scams 3.0“, non richiede il compromesso di codici o sistemi, ma solo un account gratuito per infiltrarsi nelle caselle di posta elettronica delle vittime. Una nuova evoluzione dell’attacco, dopo l’ultimo report.

Come funzionano i nuovi attacchi

Gli attacchi BEC (Business Email Compromise) continuano a evolversi. Un attacco BEC tradizionale si basa sulla capacità del cybercriminale di impersonare un dipendente dell’azienda o un partner esterno di fiducia. Tuttavia, con questa nuova tecnica, gli attacchi passano a un metodo in cui l’attaccante compromette un account appartenente a un’organizzazione o a una delle organizzazioni del suo partner e lo utilizza per inserirsi in thread di posta elettronica legittimi, rispondendo come se fossero i veri dipendenti. Nel corso degli ultimi due mesi, sono stati osservati 33.817 attacchi via e-mail. iCloud è il servizio più sfruttato, seguito da PayPal, Google Docs, SharePoint, FedEx, Intuit e molti altri.

Gli aggressori seguono questi passaggi:

1. Creano un account gratuito su un servizio come PayPal.
2. Ricerca degli indirizzi di posta elettronica a cui inviare un’e-mail.
3. Creazione di una fattura falsa che informa l’utente di un addebito o del rinnovo di un servizio.
4. Invio dell’e-mail e attesa che qualcuno clicchi sul link malevolo.

Jeremy Fuchs, portavoce di Avanan, ha dichiarato: “Stiamo assistendo a qualcosa di completamente nuovo, in cui gli aggressori utilizzano servizi legittimi e ben noti per eseguire i loro attacchi. In tali truffe, la vittima riceve un’e-mail da un servizio totalmente legittimo, come può essere PayPal o GoogleDocs, che includerà un collegamento a un sito malevolo. A febbraio e marzo, i nostri ricercatori hanno rilevato un totale di 33.817 attacchi e-mail, impersonando aziende e servizi legittimi e popolari. Chiamiamo questo nuovo tipo di attacchi informatici ‘Phishing Scams 3.0’ o ‘BEC Firm Impersonation’”. Fuchs aggiunge: “Non c’è nulla di pericoloso in questi siti popolari che vengono sfruttati, né esiste una vulnerabilità. Tuttavia, i criminali utilizzano questi servizi per ottenere l’accesso alla posta in arrivo di un utente. Esorto vivamente le persone ad attivare l’autenticazione a due fattori e utilizzare i filtri e-mail per proteggersi da questo tipo di attacchi”.

Per proteggersi da questi attacchi sempre più sofisticati, gli esperti di sicurezza raccomandano di seguire queste precauzioni:

1. Autenticazione a due fattori (2FA): Attivare l’autenticazione a due fattori per tutti i servizi e le applicazioni sensibili, in modo da aggiungere un ulteriore livello di sicurezza oltre alla semplice password.
2. Educazione e formazione: Sensibilizzare i dipendenti e gli utenti sulla minaccia del phishing e sui metodi utilizzati dagli aggressori. Fornire formazione regolare su come riconoscere e segnalare le e-mail sospette.
3. Aggiornamenti di sicurezza: Mantenere aggiornati i sistemi e le applicazioni per proteggersi dalle vulnerabilità note che potrebbero essere sfruttate dagli attaccanti.
4. Utilizzo di filtri anti-spam e anti-phishing: Impostare filtri e-mail che bloccano automaticamente i messaggi sospetti e i tentativi di phishing.
5. Verifica delle e-mail sospette: Se si riceve un’e-mail sospetta da un’organizzazione o un individuo conosciuto, contattare direttamente la persona o l’organizzazione tramite un metodo di comunicazione diverso per verificare l’autenticità del messaggio.
6. Non cliccare sui link sospetti: Evitare di cliccare su link presenti in e-mail sospette, anche se provengono da fonti apparentemente affidabili. Invece, visitare direttamente il sito web dell’organizzazione digitando l’indirizzo nel browser.
7. Utilizzo di soluzioni di sicurezza avanzate: Implementare soluzioni di sicurezza che utilizzano l’intelligenza artificiale e il machine learning per identificare e bloccare gli attacchi di phishing in tempo reale.

Seguendo queste linee guida, gli utenti possono ridurre significativamente il rischio di cadere vittime di attacchi phishing e proteggere le proprie informazioni personali e aziendali. L’evoluzione delle tattiche di phishing evidenzia l’importanza di adottare misure di sicurezza adeguate e di mantenere una consapevolezza costante delle minacce in continua evoluzione nel panorama della sicurezza informatica.