Che cos’è lo “spear phishing” e perché fa così tanta paura?

C’è un particolare tipo di truffa effettuato su Internet, segnatamente mirato e specifico, che ha per obiettivo l’attacco a una singola persona

Lo spear phishing è un particolare tipo di phishing mirato e specifico, che ha come obiettivo una singola persona. Si differenzia dunque da quello classico, lo spray phishing, che getta le sue reti in un bacino di utenza molto ampio e cerca di coinvolgere quante più persone possibile, senza curarsi particolarmente di chi esse sono.

Conosci il tuo nemico, dicevano. Ebbene, in questo articolo andiamo ad analizzare lo spear phishing per capire meglio come fare a difenderci.

Attacco hacker Lazio: cosa insegna a enti pubblici e aziende

Un reato e un comportamento molto più pericolosi…

Partiamo dal concetto di phishing, ovvero un cyberattacco che cerca di ingannare la vittima per rubarle tutti i dati personali, e magari del denaro. La maggior parte degli attacchi di phishing utilizza le email, poiché sono considerate il cavallo di Troia perfetto per poter fare breccia nella nostra fiducia di utente e consumatore.

Gli attacchi di spray phishing “pescano nel mucchio”, e non si curano tanto di chi vanno a colpire. Ti ritrovi un’email che, apparentemente, proviene da un’azienda fidata, e ti viene chiesto di aprire un link che in realtà è una trappola. A questo punto inserisci le tue credenziali su un sito falso, ma molto rassomigliante all’originale, e vieni defraudato dei tuoi soldi. Un altro tipo di phishing riguarda invece quello che ti chiede di scaricare e lanciare un file allegato nella mail, ma tendenzialmente ormai non ci casca (quasi più) nessuno.

La pesca con la “lancia”, ovvero lo spear phishing, è una tecnica che prende di mira una persona in particolare. Si tratta di un tipo di truffa più elaborato e sofisticato che, per la sua natura molto specifica, diviene difficile da individuare. L’hacker usa strumenti precisi e di solito ha come obiettivo una figura professionale che ricopre un certo ruolo di rilievo all’interno di un’azienda o a livello collettivo. Nel caso si tratti di un VIP, dunque, non si chiama più spear phishing ma “whale phishing”, la famigerata caccia alla balena, cioè al pezzo grosso.

La differenza principale tra phishing tradizionale e spear phishing è che quest’ultima ha una fase di progettazione della trappola assai più complessa. L’hacker tesse le sue trame attorno a una persona specifica, ricamando su misura il trabocchetto per farcela cascare con tutte le scarpe.

Per realizzare una trappola abbastanza credibile, è sufficiente fare una ricerca approfondita sulla vittima con tecniche di ingegneria sociale. A volte, l’hacker conosce personalmente la sua vittima ed è una persona vicina. I messaggi tendono ad essere dunque più specifici e convincenti, e a differenza dello spray phishing, questa tecnica non contiene errori di battitura, usa particolari e dettagli credibili e diventa davvero difficile individuarla. Il motivo? La “lancia” (spear, dall’inglese) colpisce i punti deboli della sua vittima, e l’hacker si spaccia per una persona fidata o affidabile – facendo leva su meccanismi psicologici.

Obiettivo finale dello spear phishing è il furto di denaro o informazioni sensibili.

Sicurezza della posta elettronica: facciamo il punto

Come ci si può difendere da questa minaccia del Web?

Non sai di essere vittima di un attacco finché non ci sei dentro fino alle scarpe, e spesse volte neanche in quel momento. Un’email di spear phishing è assolutamente innocua, infatti, finché non decidi di dare seguito alle richieste della persona. Dovrai fare del tuo meglio per crearti attorno delle reti di sicurezza tali per cui diventa difficile fare breccia nelle richieste di dati:

• Crea protocolli di sicurezza da far rispettare a tutti i membri dell’azienda;
• Assicurati di generare canali di comunicazione interna sicuri e usarli sempre, specialmente quando vengono effettuate richieste, anche innocue;
• Non liquidare i messaggi urgenti con la fretta che richiedono, ma analizzare se effettivamente si tratta di un’operazione ad alta priorità;
• Cambia password con cadenza mensile e non usare mai la stessa per più account;
• Verifica sempre la legittimità dei mittenti: basta un punto in più per essere già in una situazione d’emergenza!