Cosa e' il phishing e perche' molta gente viene truffata tramite questa tecnica. Scopriamo qualcosa in piu' per proteggere noi e i nostri cari
Il phishing è una truffa informatica volta ad entrare in possesso dell'identità personale della vittima, al fine di carpire dati sensibili e di ottenere l'accesso agli account registrati dalla vittima stessa. Ma come funziona il phishing e perchè riesce a truffare così facilmente gli utenti che utilizzano Internet.
L'origine del termine phishing deve essere fatta risalire alle parole fishing, pescare, e phreaking (tecnica di ingegneria sociale che sfrutta chiamate telefoniche) ed indica l'attività del “pescare” informazioni: il malintenzionato getta l'amo inviando una mail truffa e spera che la vittima abbocchi. Un'altra temibile tecnica per “pescare” informazioni ed usarle contro enti e persone è chiamata: ingegneria sociale.
Il Phishing è ormai famoso, ma molti cadono ancora nella trappola
Sebbene il phishing rientri fra le truffe informatiche più conosciute dagli internauti, un sondaggio condotto da McAfee ed Intel ha messo in luce che la maggior parte degli utenti non sa bene cosa fare per difendersi da questa tipologia di attacco, allargando di fatto il bacino di possibili vittime a disposizione dei malintenzionati.
Al sondaggio di Intel e McAfee hanno preso parte 19.000 utenti, ai quali è stato sottoposto il cosiddetto phishing test, composto da dieci domande. Il risultato fa riflettere molto, considerando che circa l'80% degli intervistati ha risposto in modo errato ad almeno una delle domande, evidenziando che bisogna migliorare il livello di informazione degli utenti, per rafforzare la fase di prevenzione.
Il tentativo di attacco tramite phishing consiste nell'invio di una mail truffa, camuffata come messaggio importante per la vittima. Nello specifico, il malintenzionato finge di essere un istituto di credito, un social network o un qualsiasi servizio noto ed invita l'utente a cliccare su un link, contenuto nello stesso messaggio truffa, per migliorare la sicurezza dell'account o per correggere dei problemi riscontrati.
Alcun mail truffa non sono ben fatte e risulta facile per la vittima individuare il rischio di essere truffati, evitando quindi l'attacco. Altre email sono realizzate con cura, riproducendo sia lo stile del testo che lo stile grafico del mittente che si vuole imitare, e questo rende molto più difficile l'individuazione precoce della minaccia.
Le quattro differenti fasi nelle quali si svolge un attacco phishing
1. Invio della mail truffa, è questa la prima fase di un attacco di phishing. Il malintenzionato, utilizzando a proprio vantaggio un botnet, invia rapidamente migliaia di email, cercando di riprodurre lo stile grafico e di scrittura di un sito web o di una istituzione conosciuta dagli utenti, alla scopo di trarli in inganno.
2. Lettura della mail, la seconda fase dell'attacco phishing. La vittima riceve e legge la mail, in cui generalmente viene segnalato un problema con l'account o una falla di sicurezza da correggere. Ovviamente la segnalazione è falsa, ma spesso la vittima non riesce a scoprire la truffa e viene aggirata.
3. Accesso al sito truffa, terza fase dell'attacco. Nella mail truffa è contenuto un link per accedere al portale che dovrebbe consentire di risolvere il problema segnalato all'utente. Se la vittima non scopre la truffa ed accede al sito, viene rimandata su un portale creato appositamente dal phisher con una grafica identica a quella del falso mittente con cui è stata spedita la mail. Effettuare l'accesso a questo sito truffa, con le credenziali dell'account ufficiale, porta alla quarta ed ultima fase dell'attacco.
4. Salvataggio dei dati personali sul server del malintenzionato. Il sito truffa è collegato ad un database, controllato dal malintenzionato: tutte le informazioni inserite sul sito truffa di facciata sono memorizzate nel database e diventano liberamente accessibili al phisher, che potrà a questo punto utilizzarle come meglio crede.
Come difendersi dalle truffe del phishing
Per difendersi dal phishing non servono software sofisticati, ma basta fare attenzione alle mail che si ricevono ed avere buon senso. Un servizio sicuro e diffuso in tutto il mondo, come può essere il portale di un istituto di credito o un qualsiasi sito noto a livello internazionale, non chiederà mai agli utenti i loro dati personali, quindi qualunque mail di questo genere deve essere ritenuta una truffa. Altra cosa da ricordare, per sicurezza i portali legittimi di servizi finanziari non inviano link da cliccare, di solito occorre accedere ad una banca online digitando personalmente l'indirizzo.
Negli ultimi anni sono stati sviluppati strumenti di analisi, grazie ai quali oggi i principali client mail sono in grado di filtrare all'arrivo le mail e di mandare direttamente nello spam quelle pericolose. Purtroppo alcune mail phishing riescono a sfuggire al controllo ed è compito del destinatario controllare con cura la veridicità del messaggio prima di compiere una qualunque operazione.
Come già detto, il phishing ha qualche riferimento all'ingegneria sociale e ciò deve essere analizzato con cura per prevenire furti d'identità in Internet, altro evento molto grave che può provocare grossi danni personali e aziendali. Daleggere anche un altro articolo per la sicurezza, da alcuni anni viene utilizzato direttamente Facebook per truffare con link fasulli.
Per ultimo, un articolo che sicuramente vi farà aprire gli occhi su comportamenti stupidi che si possono commettere in Internet, ve li spiega un vero hacker in questo articolo: consigli da parte di un hacker.