Cos’è lo spear phishing e cosa lo caratterizza?

Significato di spear phishing e tecniche su cui si basa

Partiamo dalla definizione di spear phishing: si tratta di una forma avanzata di phishing che sfrutta tecniche di ingegneria sociale con l’obiettivo di attaccare degli utenti specifici, come organizzazioni o singoli individui, attraverso l’invio di e-mail.

Il phishing è un tipo di attacco informatico in cui si invia un’e-mail malevola, progettata appositamente per indurre la vittima a cadere all’interno di una trappola. Di norma, lo scopo è convincere gli utenti a fornire informazioni bancarie, credenziali di accesso o altri tipi di dati personali importanti.

A differenza del phishing convenzionale, che si avvale di e-mail di massa poco personalizzate, lo spear phishing prevede una raccolta dettagliata di dati personali del destinatario, come nome, indirizzo e-mail, dettagli professionali e interessi, al fine di costruire dei messaggi altamente personalizzati e convincenti.

Queste e-mail possono apparire legittime, come se fossero state inviate da un conoscente, un collega di lavoro o un’entità di fiducia, inducendo la vittima a cliccare su un determinato link o a rivelare dei dati sensibili.

Lo scopo dei malintenzionati è quello di appropriarsi di informazioni sensibili, sottrarre denaro, compiere atti di spionaggio o distribuire malware sul dispositivo della vittima, con possibili conseguenze negative sulla sicurezza dell’intera rete.

E-mail di spear phishing: come riconoscerle

Gli hacker non seguono un modello preciso per le e-mail di spear phishing, ma usano diversi stratagemmi al fine di convincere le vittime a divulgare le proprie informazioni personali o a cliccare su link pericolosi.

È quindi molto importante capire quali sono le tattiche più utilizzate, così da ridurre la probabilità di cadere vittima di questi attacchi riconoscendo il prima possibile i potenziali segnali:

• I truffatori di solito cercano di suscitare un senso di urgenza, paura o colpa, spingendoti a reagire in fretta. Frasi come “è necessaria un’azione immediata” o “il tuo account sarà sospeso” sono spesso comuni all’interno di questa tipologia di attacco.
• Le e-mail di spear phishing spesso imitano indirizzi e-mail autentici con piccole alterazioni che possono sfuggire a un controllo rapido. Sii cauto, quindi, con gli indirizzi di contatti che ti sembrano insoliti.
• Gli errori di ortografia e grammatica possono essere un campanello d’allarme, ma gli autori di spear phishing di solito curano attentamente le loro e-mail per renderle il più credibili possibile.
• Anche se un’e-mail sembra autentica, rimani all’erta davanti a richieste insolite, specialmente se si tratta di richieste di informazioni sensibili o denaro. Verifica sempre la legittimità di tali richieste contattando il mittente tramite altri canali. L’attacco di spear phishing può, infatti, avvenire anche tramite lo spoofing e-mail.
• Presta attenzione agli URL inclusi all’interno dei messaggi. Valutali con cura prima di cliccarci sopra e diffida dei link accorciati, che possono nascondere destinazioni malevole.
• Fai attenzione agli allegati inaspettati, poiché possono essere un potenziale veicolo per la diffusione di malware o di ransomware.

Come segnalare un tentativo di spear phishing

È fondamentale segnalare qualsiasi tentativo di spear phishing al fine di salvaguardare te stesso e la tua organizzazione da ulteriori danni.

Se ritieni di essere stato oggetto di un attacco di spear phishing, ecco alcuni passi da seguire:

• Se l’e-mail di spear phishing è arrivata alla tua casella di posta aziendale, contatta immediatamente il tuo team IT o di sicurezza. Interverranno per proteggere la rete e prevenire danni agli altri colleghi.
• Informa il fornitore del tuo servizio di posta elettronica riguardo il mittente sospetto. Piattaforme come Gmail, Yahoo e Outlook possiedono, infatti, delle funzioni dedicate alla segnalazione di questi attacchi, che contribuiscono a migliorarne i sistemi antispam e a prevenire la ricezione di e-mail simili da parte di altri utenti. Scopri lo spam significato all’interno della nostra guida dedicata.
• In molti Paesi esistono enti governativi che si occupano dei crimini informatici. In Italia, ad esempio, puoi rivolgerti alla Polizia Postale per denunciare un attacco di spear phishing.
• Se l’attacco proviene da qualcuno che finge di rappresentare una determinata azienda, è importante anche avvertire quella stessa compagnia. Ciò, infatti, consente all’organizzazione di prendere misure per proteggere se stessa e i suoi clienti, avvisandoli dell’incidente.

Differenza tra phishing e spear phishing

Phishing, spear phishing e whaling sono tutte tecniche di ingegneria sociale che differiscono principalmente per il target e la complessità degli attacchi.

Il phishing si rivolge a un pubblico vasto e non specifico attraverso l’uso di e-mail di massa, siti web dannosi o messaggi diffusi sui social media. Gli attacchi di phishing mirano a un grande volume di persone, puntando a una percentuale minima di risposte, dato che ogni individuo preso di mira ha un basso valore potenziale.

Lo spear phishing, invece, si concentra su individui od organizzazioni specifiche. Gli aggressori dedicano tempo alla ricerca dei bersagli e utilizzano l’ingegneria sociale per produrre messaggi estremamente convincenti e personalizzati. Questo tipo di attacco è più selettivo e mirato, con un maggior valore potenziale per ogni bersaglio a causa della personalizzazione e della precisione del targeting.

Differenza tra whaling e spear phishing

Infine, il whaling prende di mira individui di alto profilo all’interno di un’organizzazione, come dirigenti o membri senior dell’executive team. Questi attacchi sono simili allo spear phishing per la personalizzazione dei messaggi, ma sono generalmente più sofisticati e si concentrano su persone con elevato livello di accesso o di influenza. Pertanto, assumono un valore molto elevato per i malintenzionati.

Un esempio di phishing potrebbe essere l’invio di un’e-mail generica che richiede dettagli bancari a migliaia di destinatari casuali. Per lo spear phishing, un esempio potrebbe essere un’e-mail che sembra provenire da un contatto noto che richiede delle credenziali di accesso. Per il whaling, potrebbe trattarsi di un’e-mail che simula un’entità governativa, richiedendo informazioni finanziarie delicate direttamente a un CEO di un’organizzazione.

Alcuni esempi di attacchi di spear phishing

Gli attacchi di spear phishing sono operazioni di ingegneria sociale avanzate che richiedono una pianificazione accurata e un targeting specifico. I criminali informatici spesso prendono di mira figure importanti all’interno delle aziende, come CEO o responsabili della sicurezza, con l’obiettivo di ottenere accessi critici o di sottrarre dati sensibili.

Per individuare gli obiettivi, gli hacker effettuano delle ricerche dettagliate, utilizzando piattaforme come Linkedin al fine di identificare le persone più influenti o vulnerabili all’interno di un’organizzazione. Questo livello di personalizzazione rende quindi gli attacchi abbastanza difficili da rilevare.

I criminali studiano anche il tono e le modalità comunicative delle aziende con l’obiettivo di imitarle all’interno delle e-mail fraudolente, rendendole così sorprendentemente autentiche. A volte iniziano con richieste semplici per comprendere meglio le interazioni tra i dipendenti, aumentando man mano la capacità di manipolazione.

Per rendere i tentativi ancora più credibili, gli aggressori possono esaminare e copiare le e-mail aziendali, usando servizi di posta elettronica temporanei allo scopo di creare dei messaggi che sembrano provenire da fonti interne legittime.

Numeri sullo spear phishing in Italia

Nel corso del 2022, Barracuda, un’azienda specializzata in sicurezza, ha analizzato il fenomeno dello spear phishing, rivelando che metà delle 1.350 aziende campione esaminate ha subito attacchi di questa tipologia.

Più specificamente, la metà di queste aziende ha anche sperimentato la compromissione di almeno un account e-mail, sottolineando la pericolosità e l’efficacia di questi attacchi mirati.

Contrariamente agli attacchi più noti che colpiscono reti aziendali o database, lo spear phishing è decisamente più pericoloso a causa della sua alta personalizzazione, che consente ai malintenzionati di raggiungere qualsiasi dipendente all’interno di un’organizzazione.

Pur rappresentando solo una piccola frazione del totale dei cyberattacchi via e-mail, questi attacchi sono responsabili di ben due terzi delle violazioni di sicurezza, dimostrando così un tasso di successo significativamente elevato.

Gli impatti sono gravosi, con il 55% delle aziende colpite che riporta infezioni da virus o malware, il 49% che lamenta il furto di dati sensibili, il 48% il furto di credenziali di accesso e il 39% danni economici diretti.

Inoltre, il tempo medio impiegato dalle società per gestire le conseguenze di uno spear phishing è notevole, con quasi 100 ore dedicate tra individuazione del problema, risposta e remediation.

Come proteggersi dagli attacchi di spear phishing

Per tutelare te stesso e le risorse della tua azienda dagli attacchi di spear phishing, è essenziale adottare alcune precauzioni.

Innanzitutto, è bene controllare una mail sospetta, evitando di aprire allegati o collegamenti e di fornire informazioni a persone o entità che non conosci o che ti sembrano sospette.

Se un messaggio proviene da una fonte apparentemente affidabile, ma ti suscita dei dubbi, è consigliabile effettuare una verifica dell’identità del mittente attraverso i canali ufficiali prima di scrivere una risposta.

È anche importante non divulgare pubblicamente gli indirizzi e-mail aziendali: opta per l’utilizzo di moduli di contatto online per interagire con i clienti, riducendo così la superficie di attacco esposta ai malintenzionati.

L’installazione e l’aggiornamento regolare di software di sicurezza sono, inoltre, delle attività fondamentali. Ad esempio, funzionalità come Threat Protection Pro di NordVPN, che aiuta a identificare i file infestati da malware, impedisce di accedere a siti web dannosi e blocca immediatamente tracker e annunci intrusivi, possono offrire una protezione anti-phishing estremamente efficace.

Limita, inoltre, le informazioni condivise sui social media: evita di divulgare dettagli interni che potrebbero rivelare le pratiche aziendali o i dati personali dei dipendenti. Mantieni, invece, le informazioni condivise il più neutre e basilari possibile.

Infine, l’uso dell’autenticazione a due fattori e l’impostazione di password complesse apportano un ulteriore strato di sicurezza che può proteggere in modo significativo sia gli account individuali sia quelli aziendali da accessi non autorizzati.