I criminali informatici hanno scatenato un'ondata di e-mail di phishing legate alla guerra in Ucraina; alcune sono rivolte agli operatori umanitari che assistono i rifugiati, mentre altre tentano di indurre i destinatari a donare criptovalute a presunte organizzazioni benefiche ucraine.
Uno dei primi attacchi di phishing segnalati da , individuati il giorno stesso in cui la Russia ha invaso l’Ucraina, conteneva allegati infetti da malware ed era rivolto al personale dell’Unione Europea incaricato di gestire l’evacuazione dei rifugiati ucraini. Tale attacco è stato ricondotto a una banda di hacker con legami con la Bielorussia.
A metà marzo, il centro nazionale britannico per la segnalazione delle frodi aveva ricevuto quasi 200 segnalazioni relative a e-mail fasulle che fingevano di raccogliere fondi per l’Ucraina, mentre un nuovo rapporto della società di sicurezza informatica Cyren stima che gli autori delle minacce stiano inviando più di 100.000 e-mail di donazioni fasulle al giorno.
Con oggetti del tipo “Aiutate le vittime della guerra in Ucraina”, le e-mail provengono spesso da indirizzi falsificati e contengono link a siti web che si presentano come organizzazioni benefiche o come enti facenti parte del governo ucraino.
Queste operazioni di phishing, che offrono la possibilità di effettuare donazioni in criptovalute quali Bitcoin ed Ethereum, sono concepite per sottrarre dati personali e convogliare le somme donate nelle tasche delle bande di criminali informatici.
Sebbene esistano siti legittimi per le donazioni a favore dei rifugiati — le autorità ucraine hanno iniziato a pubblicare su Twitter appelli per donazioni in criptovaluta a febbraio e da allora hanno raccolto circa 67 milioni di dollari — i domini fraudolenti rappresentano un pericolo sempre maggiore. Oltre a essere derubati dei propri sudati risparmi, le persone che aprono tali e-mail e cliccano sui link mentre utilizzano un computer aziendale o sono connesse a una rete aziendale mettono a rischio se stesse e le proprie organizzazioni.
Nell’ultimo anno, oltre un quarto (26%) dei dipendenti ha cliccato su un’e-mail di phishing sul posto di lavoro e quasi la metà (40%) ha inviato e-mail e dati di lavoro alla persona sbagliata, secondo un recente studio intitolato “ ” condotto dalla società di sicurezza informatica Tessian su un campione di 2.000 lavoratori statunitensi e britannici. Inoltre, il troubling—15% ha ammesso di aver inviato per errore un allegato errato in un’e-mail a un destinatario esterno, con il rischio di divulgare informazioni riservate.
Le conseguenze sono gravi:
- Le aziende perdono clienti —Quasi un terzo degli intervistati (29%) ha dichiarato che la propria azienda ha perso un cliente a seguito di tali errori (in aumento rispetto al 20% del 2020).
- I lavoratori vengono licenziati —Più di un quinto (21%) ha perso il posto di lavoro a seguito di un “cyberstumble” (in aumento rispetto al 12%).
Sebbene questa ondata di nuove e-mail di phishing non abbia ancora provocato licenziamenti di massa, getta le basi per una situazione disastrosa. Un clic sbagliato può portare al licenziamento in un momento in cui i datori di lavoro stanno già faticando ad assumere nuovi lavoratori nel settore tecnologico e a trattenere quelli già in forza.
I datori di lavoro sono tenuti a garantire che i propri dipendenti siano informati, formati e vigili. Nel corso dell’ultimo anno e mezzo, la rubrica “ ” di Endpoint ha riportato le linee guida e le opinioni dei massimi responsabili della sicurezza informatica e dei dirigenti aziendali che stanno assumendo un ruolo attivo nella formazione di una forza lavoro più preparata e competente. Ecco cosa hanno imparato i pionieri.
Ogni dipendente deve contribuire alla difesa della sicurezza informatica
La sicurezza informatica non è più solo una questione che riguarda le operazioni IT (IT ops) o le operazioni di sicurezza ( , SecOps) . Un esempio calzante: la violazione informatica subita dall’Health Service Executive (HSE), il principale datore di lavoro d’Irlanda, che sovrintende a migliaia di strutture sanitarie in tutto il Paese.
L'HSE dell' , è stata vittima di un attacco informatico su marzo 2021, che ha comportato la crittografia del 80% dei suoi dati sanitari, gravi interruzioni del servizio e un’operazione di rimozione del malware che, secondo quanto riferito, è costata 600.000 dollari. Tutto è iniziato quando un dipendente ha ceduto al richiamo di un’e-mail di phishing e ha cliccato su un file Excel dannoso contenente un codice Microsoft .
“In 2020, Covid-19 was the powerful hook used to phish people. Attualmente si registrano sempre più truffe legate alle criptovalute.”Jeff Hancock, professore di comunicazione presso l’Università di Stanford
È difficile resistere a questo tipo di e-mail. «Nel 2020, il Covid-19 è stato il potente espediente utilizzato per ingannare le persone, facendo leva sul loro bisogno umano fondamentale di salute e sicurezza», ha osservato Jeff Hancock, professore di comunicazione presso l’Università di Stanford, nel rapporto di Tessian, alla cui stesura ha contribuito. «Ora assistiamo a un aumento delle truffe legate alle criptovalute.»
Sebbene non sia possibile eliminare completamente le violazioni informatiche, è possibile ridurre significativamente i rischi formando adeguatamente i dipendenti. Tutti i dipendenti.
L’Arizona ha recentemente fatto proprio questo, istituendo un corso di formazione informatica annuale e completo per ogni singolo dipendente statale — tutti e 36.000 .
Il programma ha rappresentato un importante cambiamento di rotta a livello politico. E tale requisito era richiesto a tutto il personale, dai livelli base fino a quelli dirigenziali. A prescindere da quanto siano impegnate o importanti, se le persone non seguissero la formazione, il loro accesso alla rete e i loro privilegi potrebbero essere revocati.
[Per saperne di più: Ogni dipendente deve ora far parte del team di sicurezza informatica]
Il miglioramento del morale dei dipendenti può rafforzare la sicurezza informatica
Forse il dato più preoccupante emerso dal sondaggio di Tessian riguarda ciò che alcuni lavoratori non rivelano: tra coloro che hanno commesso un errore in materia di sicurezza informatica, il 21% ha scelto di non segnalare l’errore al proprio team IT nel 2021 (in aumento rispetto al 16% del 2020).
In fondo, quel tipo di comportamento è dettato dal timore delle conseguenze e, in ultima analisi, riflette un clima di sfiducia e di scarso morale. Ma come risolvere il problema?
Un’opzione consiste nel lasciare che siano i team IT a fare da apripista, offrendo ai dipendenti lo stesso tipo di esperienza tecnologica senza soluzione di continuità che l’IT garantisce ai clienti. Più il reparto IT riuscirà a soddisfare le aspettative dei propri utenti interni, maggiore sarà il livello di coinvolgimento di tali dipendenti. Un maggiore coinvolgimento dei dipendenti porta a migliori interazioni con i clienti (il che si traduce in profitti) e a una maggiore attenzione alle minacce esterne.
[Per saperne di più: Migliorare l’esperienza digitale dei dipendenti]
Gli investimenti nelle nuove tecnologie producono benefici nel settore della difesa
E perché fermarsi qui? Gli amministratori delegati e i responsabili informatici ricorrono sempre più spesso a metodi meno tradizionali e più creativi per migliorare il morale dei dipendenti e contrastare il burnout. Una nuova frontiera, in particolare — il metaverso — potrebbe offrire alcune opzioni promettenti.
Bill Gates, Mark Zuckerberg e una schiera di altri leader del mondo degli affari e della tecnologia ritengono che il metaverso — realtà alternative in 3D accessibili tramite visori per la realtà virtuale (VR) e piattaforme online — possa diventare il luogo in cui sempre più persone tra noi trascorreranno il proprio tempo. E non solo a scopo ricreativo. Gli imprenditori stanno valutando in che modo questa nuova tecnologia possa essere utilizzata per organizzare riunioni e conferenze virtuali.
«Abbiamo colto la pandemia come un’opportunità per riorganizzare il modo in cui conduciamo le riunioni con i dipendenti», ha affermato Bret Starr, CEO dell’agenzia di marketing B2B Starr Conspiracy. Starr ha recentemente investito oltre 20.000 dollari in visori VR da utilizzare durante le riunioni e, di conseguenza, ha riscontrato un legame più profondo tra i dipendenti.
, di Endpoint, ha intervistato Starr e altri dirigenti aziendali nel mese di febbraio in occasione del primo articolo di una serie dedicata al modo in cui le imprese stanno sfruttando il metaverso a proprio vantaggio.
I casi di phishing aumentano nei periodi di crisi. Lo stesso vale per lo stress. Come sottolinea il rapporto Tessian, «Quando i dipendenti sono sopraffatti e stressati, commettono errori che compromettono la sicurezza». Un approccio alla sicurezza incentrato sulle persone può contribuire ad alleviare tale problema.
«Conferendo ai dipendenti la possibilità di prendere decisioni in materia di sicurezza», conclude il rapporto, «le persone diventano un ulteriore livello di difesa all’interno dell’azienda». E in questo periodo abbiamo bisogno di tutta la protezione possibile.
