Come gli Hacker dimostrano la vostra pigrizia attraverso il phishing via SMS

05/17/2018Tempo di Lettura 5 Min

Non c’è dubbio: gli hacker pensano che voi siate pigri. Perché? I criminali informatici stanno sfruttando una minaccia alla sicurezza poco nota il cui livello tecnologico è sorprendentemente basso: il phishing via SMS, o smishing, che consiste in attacchi di phishing lanciati attraverso classici messaggi di testo.

Dei messaggi contenenti link ricevuti da numeri sconosciuti dovrebbero far suonare un campanello d’allarme, no? Oltretutto non è niente di nuovo. I criminali informatici provano a ingannare le persone in questo modo da almeno dieci anni. Ma oggi, gli hacker stanno sfruttando lo smishing più che mai, e la gente ci casca.

Secondo Kaspersky Lab, gli attacchi ransomware da cellulare inviati via SMS sono aumentati del 250% da gennaio 2017. Altri dati indicano che la prevalenza dei trojan è aumentata e poi diminuita nel corso dell’anno, ma una strategia molto diffusa via SMS usata per il furto delle credenziali di mobile banking ha causato un picco delle segnalazioni di smishing. Luglio 2017 è stato il mese più attivo per le truffe via SMS, con 28.000 vittime.

Phishing via SMS: cosa sta succedendo?

Alcuni professionisti della sicurezza IT sono stanchi di parlare di phishing, ma la discussione non è destinata a finire perché le persone stanno ancora facendo clic sui link maligni che ricevono nei messaggi di testo o nelle e-mail. Gli hacker sono pigri e vogliono trovare il modo più semplice e rapido di raccogliere profitti. Dal punto di vista di un criminale informatico, perché programmare il proprio malware quando lo si può comprare già pronto sul dark web? E perché fare lo sforzo di attaccare un’azienda con una truffa complicata quando basta usare un po’ di ingegneria sociale per rubare credenziali o attaccare una stampante aziendale senza alcuna protezione? Non potete biasimarli, ma potete provare a fermarli.

Anche se la maggior parte delle strategie di phishing sfrutta l’e-mail, ci sono nuovi sviluppi di cui preoccuparsi. I tentativi di “whaling” (caccia alla balena) sono attacchi mirati di ingegneria sociale sempre più frequenti, rivolti a dirigenti di alto profilo con grandi obiettivi finanziari. Lo smishing è sempre più diffuso, e potrebbe dimostrarsi più efficace per gli hacker del phishing via e-mail.

Ecco perché il phishing via SMS è più pericoloso di quanto sembri

Che paura fa un messaggio di testo? Ma soprattutto, chi è che farebbe clic su un link in un messaggio ricevuto da un numero non identificato? La realtà è più complessa di così. Ecco perché lo smishing nel 2018 potrebbe essere una minaccia alla sicurezza più grave di quanto pensiate.

  • Non esistono filtri anti-spam per gli SMS. I filtri anti-spam per l’e-mail sono sempre più intelligenti, e queste tecnologie sono sempre più in grado di identificare i messaggi inviati da un dominio fittizio, o da un mittente ad alto rischio, o con contenuti sospetti. Al contrario, “non esiste un modo certo di bloccare completamente i messaggi di smishing,” afferma Steve Wicker, docente di ingegneria informatica presso la Cornell University. Non c’è una maniera predominante di filtrare i rischi legati al phishing via SMS, eccetto il comportamento umano, con tutte le sue imperfezioni.
  • L’URL padding è semplice con i messaggi di testo. Sempre più hacker stanno sfruttando una tecnica relativamente semplice per nascondere link nei messaggi di testo con domini di primo livello come quelli di Reddit o Twitter. Se un messaggio di testo sembra provenire da vostra zia e sembra contenere un link a un album di foto delle vacanze su Facebook, molto probabilmente finirete per fare clic.
  • Anche gli utenti mobili sono pigri. La formazione sulla sicurezza ha cambiato almeno in parte il modo in cui gli utenti si comportano con il computer che usano al lavoro. Le persone tendono a prestare cautela quando usano un computer, per poi rilassarsi non appena hanno uno smartphone tra le mani. Secondo Ars Technica, anche gli utenti con una conoscenza relativamente alta dei rischi legati alla sicurezza fanno meno attenzione quando navigano il web e fanno clic su dei link da dispositivi mobili rispetto a come si comporterebbero su desktop.

Il phishing via SMS è cresciuto l’anno scorso e i vostri dipendenti potrebbero essere vulnerabili ad esso, grazie alla combinazione perfetta di mancanza di tecnologie di filtraggio, mascheramento degli URL e il fatto che la maggior parte delle persone non sembra preoccuparsi della sicurezza mobile come farebbe per la sicurezza informatica standard.

Superate il timore dello smishing in tre passaggi

È probabile che la vostra azienda si troverà ad affrontare un attacco di phishing via SMS nel corso del prossimo anno, quindi è importante essere preparati. Ecco tre modi in cui il reparto IT può attivarsi contro una delle minacce alla sicurezza informatica meno tecnologiche del momento.

  1. Fatevi sentire. Ogni dipendente della vostra azienda deve sapere che l’e-mail non è l’unico vettore per il phishing e che i rischi abbondano. Per stimolare un cambiamento nei comportamenti relativi alle e-mail di phishing, la simulazione ha offerto migliori risultati rispetto alla semplice formazione per la consapevolezza. I dirigenti della vostra azienda potrebbero avere bisogno di formazione aggiuntiva, concentrata sulle tendenze nel campo degli attacchi altamente mirati di ingegneria sociale a loro destinati.
  2. Siate consapevoli dei segni dell’ingegneria sociale. Chiunque disponga di un dispositivo mobile deve fare attenzione ai messaggi di testo. I messaggi ricevuti da numeri composti da quattro cifre (ad es. 7000) sono un rischio ovvio. Anche i messaggi che richiedono di agire nell’immediato, come “ho bisogno del tuo aiuto ora” o “questo è importante” possono indicare l’attività di un hacker. Qualsiasi messaggio contenente un link o la richiesta di dati sensibili, anche se sembra essere inviato da un amico o parente, dovrebbe essere verificato con cura.
  3. Occupatevi della vostra sicurezza IT. Isolate i vostri dispositivi mobili con protezioni tecniche per prevenire l’infezione di massa della vostra rete. Vietate alle persone di connettere i loro smartphone personali alla vostra rete Wi-Fi e containerizzate le app mobili importanti. Per stare ancora più sicuri, potreste anche limitare il tipo di app personali che gli utenti possono scaricare sugli smartphone di lavoro.

Il phishing via SMS potrà sembrarvi una minaccia alla sicurezza relativamente semplice, ma non dovete sottovalutarlo nel corso dell’anno.

Tektonika Staff 08/02/2018 Tempo di Lettura 5 Min

Grazie all’intelligenza artificiale la sicurezza informatica…

I ricercatori stanno rapidamente sviluppando le capacità dell'intelligenza artificiale di vigilare sempre in modo costante e proattivo soprattutto in un...

Tektonika Staff 07/26/2018 Tempo di Lettura 5 Min

Prevenzione o recupero: dove sarebbe più opportuno destinare le li…

Mentre gli attacchi informatici diventano più complessi, il dibattito sulle migliori strategie di difesa entra nel vivo. Michael Keller, 13 marzo 2018...

Tektonika Staff 07/12/2018 Tempo di Lettura 5 Min

Ecco i punti deboli che gli hacker possono usare per entrare nella…

I dispositivi periferici connessi a Internet sono gli obiettivi preferiti degli hacker. Michael Keller, 13 marzo 2018 Era tutto più semplice una volta....

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi richiesti sono evidenziati con un *