Riepilogo

  • Il phishing è una pratica dannosa in cui gli aggressori si travestono da entità affidabili per indurre le persone a rivelare informazioni sensibili.

  • Puoi proteggerti dalle attività di phishing riconoscendo alcuni segnali comuni come URL sospetti e richieste urgenti di informazioni personali.

  • Per rafforzare la tua difesa in materia di sicurezza informatica, devi conoscere le diverse tecniche di phishing, dalle comuni truffe via e-mail allo spear phishing più sofisticato.

l'introduzione

Il phishing è una tattica malevola in cui individui malintenzionati fingono di essere fonti attendibili per indurre gli utenti ad accedere a dati sensibili. In questo articolo faremo luce sul phishing e risponderemo alle domande: cos'è il phishing, come funziona e cosa si può fare per evitare di cadere vittime di queste attività fraudolente.

Come avviene il phishing

Il phishing si basa principalmente sull'ingegneria sociale, un metodo utilizzato dagli aggressori per manipolare gli individui inducendoli a rivelare informazioni riservate. Gli aggressori raccolgono dati personali da fonti pubbliche (come i social media) per creare e-mail che sembrino autentiche. Spesso le vittime ricevono messaggi malevoli che sembrano provenire da contatti familiari o da organizzazioni affidabili.

Le email contenenti link o allegati dannosi rappresentano il tipo di phishing più diffuso. Cliccando su questi link si può installare un malware sul dispositivo dell'utente o indirizzarlo a siti web falsi, progettati per rubare informazioni personali e finanziarie.

Poiché le e-mail di phishing mal concepite sono facili da individuare, i criminali informatici utilizzano strumenti avanzati come chatbot e generatori vocali basati su intelligenza artificiale per eludere i loro attacchi fraudolenti, rendendo difficile per gli utenti distinguere tra comunicazioni reali e fraudolente.

Identificare i tentativi di phishing

Riconoscere le email di phishing può essere difficile, ma ci sono alcuni segnali che possono aiutarti a individuarle.

Segnali comuni

Bisogna fare attenzione se il messaggio contiene URL sospetti, utilizza indirizzi email generici, crea un senso di paura o urgenza, chiede informazioni personali o contiene errori di ortografia e grammatica. Nella maggior parte dei casi, dovresti passare il cursore sui link per controllare gli URL senza effettivamente cliccarci sopra.

Frode nei pagamenti elettronici

Spesso i truffatori si spacciano per fornitori di servizi di pagamento online affidabili, come PayPal, Venmo o Wise, e gli utenti ricevono e-mail fraudolente che li invitano a verificare i propri dati di accesso. È importante restare vigili e segnalare qualsiasi attività sospetta.

Attacchi di phishing basati sulle attività finanziarie

I truffatori fingono di essere banche o istituti finanziari e denunciano violazioni della sicurezza per ottenere informazioni personali. Tra le tattiche più comuni rientrano le e-mail di phishing sui trasferimenti di denaro o le truffe sui depositi diretti che prendono di mira i nuovi dipendenti. Potrebbero anche affermare di avere a disposizione un aggiornamento di sicurezza urgente.

Phishing correlato al lavoro

In queste truffe, gli aggressori fingono di essere manager, CEO o responsabili finanziari e chiedono ai privati ​​di effettuare bonifici bancari o acquisti falsi. Un altro metodo utilizzato dai truffatori è il phishing vocale tramite generatori vocali basati sull'intelligenza artificiale al telefono.

Come prevenire gli attacchi di phishing

Consigliamo di adottare diverse misure di sicurezza per prevenire gli attacchi di phishing. Non dovresti cliccare direttamente sui link che ricevi. In alternativa, puoi visitare il sito web ufficiale dell'azienda o i canali di comunicazione per verificare se le informazioni ricevute sono vere o false. Puoi anche prendere in considerazione l'utilizzo di strumenti di sicurezza come software antivirus, firewall e filtri antispam. 

Inoltre, le organizzazioni dovrebbero utilizzare standard di autenticazione e-mail per verificare i messaggi di posta elettronica in arrivo, tra cui esempi comuni sono DKIM (Domain Keys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting, and Conformance).

Gli individui dovrebbero informare i propri familiari e amici sui rischi del phishing, mentre le aziende dovrebbero istruire i dipendenti sulle tattiche di phishing e organizzare regolari sessioni di formazione di sensibilizzazione per ridurre i rischi.

Se hai bisogno di ulteriore assistenza e informazioni, ti consigliamo di consultare iniziative governative come OnGuardOnline.gov e organizzazioni come l'Anti-Phishing Working Group per risorse e indicazioni più dettagliate su come rilevare, evitare e segnalare gli attacchi di phishing.

Tipi di phishing

Le tecniche di phishing si stanno evolvendo e i criminali informatici utilizzano diversi metodi. I diversi tipi di phishing vengono solitamente classificati in base al bersaglio e al vettore di attacco. Di seguito sono elencati alcuni tipi.

phishing di clonazione

L'aggressore utilizza un'e-mail legittima inviata in precedenza e ne copia il contenuto per creare un messaggio simile contenente un collegamento a un sito Web dannoso. L'aggressore potrebbe anche sostenere che questo collegamento è aggiornato o nuovo, indicando che il collegamento precedente era errato o scaduto.

pesca subacquea

Questo tipo di attacco si concentra su una singola persona o organizzazione. Lo spear phishing è più complesso di altri tipi di phishing perché si basa sulla raccolta e sullo sfruttamento di informazioni per raggiungere l'obiettivo. L'aggressore raccoglie innanzitutto informazioni sulla vittima (ad esempio, i nomi di amici o familiari) e utilizza questi dati per indurla ad aprire un file dannoso su un sito web.

falsificazione dell'indirizzo

Un aggressore tenta di corrompere un record del Domain Name System (DNS), reindirizzando i visitatori di un sito web legittimo a un sito web falso creato dall'aggressore. Questa tipologia è la più pericolosa perché i record DNS non sono sotto il controllo dell'utente, che non può quindi opporre resistenza.

caccia alle balene

Si tratta di una forma di spear phishing che prende di mira individui facoltosi e di alto profilo, come CEO e funzionari governativi.

Spoofing delle e-mail.

Le e-mail di phishing solitamente si presentano sotto forma di corrispondenza falsa che imita la corrispondenza proveniente da aziende o individui autentici. Le e-mail di phishing possono indurre le vittime ad aprire link a siti web dannosi, consentendo agli aggressori di raccogliere credenziali di accesso e informazioni di identificazione personale tramite pagine di accesso false, difficili da rilevare. Le pagine potrebbero contenere trojan, keylogger e altri script dannosi che rubano informazioni personali.

Reindirizzamenti

I reindirizzamenti indirizzano l'utente a un URL diverso da quello che intendeva visitare e gli aggressori sfruttano le vulnerabilità per inserire reindirizzamenti e installare malware sui computer degli utenti.

Errore di battitura nel dominio

Lo spoofing di dominio indirizza il traffico verso siti web falsi che utilizzano ortografie in lingue straniere, errori di ortografia comuni o sfumature del dominio di primo livello. Lo spoofing sfrutta i domini per imitare le interfacce autentiche dei siti web, sfruttando gli utenti che digitano o leggono male l'URL.

Annunci falsi a pagamento

La pubblicità a pagamento è una tecnica di phishing. Questi annunci falsi utilizzano domini che gli aggressori hanno deliberatamente etichettato in modo errato e acquistato per comparire nei risultati di ricerca; il sito potrebbe comparire in cima ai risultati di ricerca di Google.

Attacco al pozzo d'acqua

I truffatori analizzano gli utenti e identificano i siti web che visitano di frequente, analizzano questi siti alla ricerca di vulnerabilità e tentano di inserire script dannosi progettati per colpire gli utenti la prossima volta che visitano quel sito web.

Impersonificazione e regali falsi

Ciò comporta impersonare gli influencer dei social media. I truffatori possono impersonare importanti dirigenti aziendali e pubblicizzare regali o mettere in atto altre pratiche ingannevoli. Le vittime di questa truffa possono essere prese di mira individualmente attraverso operazioni di ingegneria sociale volte a individuare utenti facili da ingannare. I truffatori potrebbero riuscire ad hackerare account verificati e a modificare il nome utente per impersonare una persona reale, mantenendo al contempo lo stato di verifica dell'account.

Al giorno d'oggi i truffatori prendono sempre più di mira piattaforme come Discord, X e Telegram per gli stessi scopi: creare chat false, impersonare altre persone e imitare servizi autentici.

Applicazioni dannose

I truffatori potrebbero anche utilizzare app dannose per monitorare il tuo comportamento o rubare informazioni sensibili. Le app possono presentarsi come strumenti di monitoraggio dei prezzi, portafogli elettronici e altri strumenti correlati alle criptovalute (che hanno una base di utenti disposti a negoziare e possedere criptovalute).

SMS e Vishing

Il phishing può avvenire tramite messaggi di testo o vocali che incoraggiano gli utenti a condividere informazioni personali.

Phishing contro Spoofing

Alcune persone pensano che lo spoofing degli URL sia una forma di phishing, ma si basa su un meccanismo diverso. La differenza principale tra phishing e URL spoofing è che il phishing richiede che la vittima commetta un errore, mentre l'URL spoofing richiede semplicemente un tentativo di accesso a un sito web legittimo il cui record DNS è stato compromesso dall'aggressore.

Phishing nel campo blockchain e criptovalute

Sebbene la tecnologia blockchain garantisca un'elevata sicurezza dei dati grazie alla sua natura decentralizzata, gli utenti della blockchain dovrebbero sempre diffidare dei tentativi di ingegneria sociale e di phishing. I criminali informatici spesso tentano di sfruttare le vulnerabilità umane per accedere alle chiavi private o alle credenziali di accesso. Nella maggior parte dei casi la frode si basa sull'errore umano.

I truffatori potrebbero anche provare a indurre gli utenti a rivelare le loro frasi iniziali o a trasferire fondi a indirizzi falsi, quindi fate attenzione e seguite le migliori pratiche di sicurezza.

Considerazioni conclusive

In conclusione, è importante comprendere il phishing e tenersi informati sulle tecniche avanzate per proteggere le informazioni personali e finanziarie. Grazie all'adozione di efficaci misure di sicurezza e alla conoscenza e consapevolezza diffuse, individui e organizzazioni possono proteggersi dalla minaccia del phishing nel nostro mondo digitale interconnesso. Rimani al sicuro!

Articoli correlati

  • 5 consigli per proteggere i tuoi saldi di criptovaluta

  • 5 modi per migliorare la sicurezza del tuo account Binance

  • Come restare al sicuro nel trading P2P

Disclaimer: Questo contenuto ti viene fornito "così com'è" solo a scopo informativo e didattico, senza alcuna dichiarazione o garanzia di alcun tipo. Non deve essere interpretato come consulenza finanziaria, legale o di altro tipo, né intende costituire una raccomandazione per l'acquisto di un particolare prodotto o servizio. Dovresti chiedere consiglio a consulenti specializzati. Se un articolo viene inviato da una terza parte, tieni presente che le opinioni espresse sono quelle della terza parte in questione e non riflettono necessariamente i punti di vista di Binance Academy. Per maggiori dettagli leggere l'informativa completa qui. Il prezzo delle attività digitali può variare e il valore del tuo investimento può aumentare o diminuire. Potresti non ricevere indietro il tuo investimento. Sei l'unico responsabile delle tue decisioni di investimento e Binance Academy non è responsabile per eventuali perdite che potresti subire. Il presente articolo non deve essere interpretato come consulenza finanziaria, legale o professionale. Per ulteriori informazioni, consulta i nostri Termini di utilizzo e l'Avviso sui rischi.