La voce dall’altra parte del telefono cominciava a sembrare disperata.
“La prego, signore, dobbiamo scaricare un modulo sicuro sul suo computer per poter disdire il suo abbonamento. «È l’unico modo.»
Stava cercando di convincermi a concedergli l'accesso remoto al mio computer, in modo da poter disdire un abbonamento a Geek Squad che non avevo mai sottoscritto.
Sussurrando in urdu, confidò a un collega che io non stavo collaborando.
«La prego», la supplicò di nuovo, «ci servono solo da cinque a 10 minuti del suo prezioso tempo per rimborsarle il denaro».
Dopo che finalmente ho riattaccato, mi ha richiamato — otto volte di seguito.
Si è trattato di un classico attacco ibrido di phishing vocale (“vishing”). Tutto è iniziato con un’e-mail in cui si affermava che mi sarebbero stati addebitati 302,42 dollari a meno che non avessi chiamato un numero indicato in calce al messaggio. Se fossi stato un utente inesperto, la situazione avrebbe potuto concludersi con il mio computer compromesso e i dati della mia carta di credito rubati. E se avessi lavorato per una grande impresa, le conseguenze avrebbero potuto essere ben più gravi.
Secondo l’ultimo rapporto trimestrale sulle minacce “ ” pubblicato da PhishLabs, gli attacchi di vishing come questo hanno registrato un aumento del 625%, passando da 2021 a 2022. They are now the second most common “response-based” attack, trailing only the classic Nigerian Prince 419 scam. In entrambi i casi, i truffatori ricorrono a tecniche di ingegneria sociale, che si avvalgono della manipolazione psicologica per indurre le vittime a rivelare informazioni riservate.
«Il voice phishing può rivelarsi più efficace perché le persone tendono ad abbassare la guardia quando parlano con qualcuno», afferma Roger Grimes, promotore della difesa basata sui dati presso KnowBe4, azienda che offre corsi di formazione anti-phishing alle imprese. «L’ingegneria sociale rappresenta dal 80% al 90% di tutte le violazioni dei dati andate a buon fine.»
Adattarsi e trionfare
Man mano che le organizzazioni hanno imparato a riconoscere i segnali rivelatori degli attacchi di phishing di tipo “ ”, gli autori degli attacchi si sono adeguati. Nella primavera del 2021, la banda di autori del ransomware Conti si è frammentata in diversi gruppi e ha iniziato ad adottare nuove strategie. Un nuovo vettore di attacco noto come “ ‘BazarCall’”, o “callback phishing”, ha seguito lo schema sopra descritto: un’e-mail fasulla progettata per indurre il destinatario a effettuare una telefonata, seguita da una richiesta di accesso remoto. Mentre un falso addetto al servizio clienti intrattiene il chiamante in una conversazione, un malintenzionato remoto penetra nella rete per sottrarre informazioni o introdurre malware.
«Il phishing tramite callback ha rivoluzionato completamente l’attuale panorama delle minacce.»Soluzioni avanzate di intelligence
Secondo la società di ricerca sulla sicurezza Advanced Intelligence Solutions, «il phishing tramite richiamata ha rivoluzionato completamente l’attuale panorama delle minacce», prendendo di mira un’ampia gamma di organizzazioni, tra cui un produttore multinazionale di armi, un importante fornitore di soluzioni IT, un’azienda tecnologica dal valore di diversi miliardi di dollari e una squadra dell’NBA. Quasi il 40% delle vittime registra un fatturato annuo superiore a 1 miliardo di dollari.
Nel mese di agosto, Cisco ha fornito una descrizione estremamente dettagliata di un attacco di vishing ai danni dell’account personale Google di uno dei propri dipendenti. Poiché il dipendente aveva attivato la sincronizzazione delle password all’interno del browser, gli autori dell’attacco sono riusciti anche ad accedere alle credenziali Cisco dell’utente.
Secondo il rapporto, l’autore dell’attacco avrebbe poi «condotto una serie di sofisticati attacchi di voice phishing spacciandosi per varie organizzazioni affidabili, nel tentativo di convincere la vittima ad accettare notifiche push relative all’autenticazione a più fattori (MFA) , inviate dall’autore stesso».
Alla fine, il tentativo di aggirare le protezioni MFA ha avuto esito positivo, consentendo all’autore dell’attacco di effettuare l’accesso tramite la VPN aziendale. L'hacker ha quindi iniziato a installare strumenti di accesso remoto, ad ampliare i propri privilegi amministrativi, a muoversi lateralmente all'interno della rete e a sottrarre informazioni.
Nel frattempo, il team di sicurezza di Cisco teneva d’occhio l’autore dell’attacco e ne osservava le tecniche utilizzate. In definitiva, afferma Cisco, non è stato effettuato alcun accesso a informazioni sensibili e non si sono verificate interruzioni delle attività aziendali o della catena di approvvigionamento. L'autore dell'attacco ha tentato, senza riuscirci, di estorcere denaro all'azienda, per poi pubblicare alcuni file non riservati sul dark web.
Allenarsi invano?
Secondo quanto riportato da * IBM *, nel 2021 le violazioni dei dati dovute al phishing sono costate alle aziende in media 4,7 milioni di dollari. Eppure, secondo Osterman Research, il 86% dei dipendenti riceve al massimo 30 minuti di formazione sulla sicurezza informatica al mese. Un recente rapporto del SANS rileva che tre quarti dei professionisti della sensibilizzazione alla sicurezza dedicano meno della metà del proprio tempo all’insegnamento effettivo della sensibilizzazione alla sicurezza.
Il corso di formazione anti-phishing KnowBe4’s consiste nell’inviare ai dipendenti e-mail di phishing simulate, nell’identificare fino al 33% delle persone che cliccano sempre sui link contenuti nelle e-mail e nell’insegnare loro come non farsi ingannare la prossima volta.
[Leggi anche: Perché i lavoratori violano le politiche di sicurezza informatica]
Purtroppo, osserva Grimes, i grandi operatori di telecomunicazioni non consentono ad aziende come KnowBe4 di effettuare chiamate vocali non autorizzate ai dipendenti senza il loro consenso. Pertanto, la formazione contro il vishing non può essere svolta allo stesso modo. (Sapere che sta per arrivare una chiamata di vishing vanifica in qualche modo lo scopo.)
Nonostante qualche ostacolo occasionale, l’istruzione rimane il modo più efficace per contrastare il phishing, il vishing o lo smishing (attacchi via SMS), afferma.
«Bisogna insegnare a tutti a mantenere un sano scetticismo nei confronti di qualsiasi messaggio che presenti due caratteristiche: che sia inaspettato e che vi chieda di fare qualcosa di nuovo per quel particolare mittente», afferma Grimes. «Si assicuri di verificare che il messaggio sia autentico prima di eseguire qualsiasi azione richiesta [dal mittente].»
Ci vuole un esercito
È inoltre opportuno concentrare l’attenzione sulle aree in cui la vostra azienda potrebbe risultare più vulnerabile, afferma Christopher Prewitt, direttore tecnico di Inversion6, un fornitore di servizi di gestione dei rischi legati alla sicurezza informatica.
«Molte aziende cercano di proteggere tutto allo stesso modo senza considerare i processi che sono più importanti per l’attività», afferma. «In che modo il denaro circola all’interno dell’organizzazione? Chi vi ha accesso? Come gestite i bonifici bancari? Se disponete di 300 milioni di dollari nella tesoreria aziendale, forse dovreste aprire un conto provvisorio per il pagamento delle fatture, in modo da perdere solo una somma limitata di denaro qualora qualcuno venisse vittima di una truffa.”
[Leggi anche: L’ascesa del tesoriere aziendale esperto di tecnologia informatica]
A lot of this is Security 101, he adds. Limitare i privilegi di accesso, individuare comportamenti anomali, segmentare le parti più sensibili della rete e implementare un modello “zero-trust” contribuiranno tutti a limitare i danni causati da un attacco riuscito. Ma nulla può sostituire la vigilanza costante.
«Non posso stare alle spalle di 8.000 dipendenti e dire loro su cosa non devono cliccare», afferma Prewitt. «Ho bisogno di un gruppo di persone che comprendano la necessità di essere sempre all’erta e che cerchino poi di collaborare con loro.»
