News

Mobile Device Management per l'Enterprise

  • Home
    Home This is where you can find all the blog posts throughout the site.
  • Categories
    Categories Displays a list of categories from this blog.
  • Tags
    Tags Displays a list of tags that have been used in the blog.
  • Login
    Login Login form

Phishing e sue declinazioni! Wandera per gestirle tutte!

Posted by on in Mobile Security
  • Font size: Larger Smaller
  • Hits: 777
  • Subscribe to this entry
  • Print
Phishing è diventata parola comune anche tra chi non conosce la lingua inglese. Facile  associare al termine il significato di qualcosa di minaccioso e insidioso perché si attiva con un semplice click e si manifesta solitamente in tempi rapidi, come la puntura di una vespa che lascia effetti dolorosi per lungo tempo. Oggi il Phishing è declinabile in numerose analogie con relativi nuovi significati: SMiShing, Vishing, Whishing, ecc. Fortunatamente ci sono soluzioni come quelle di Wandera in grado di intercettare tutte le varie forme di Phishing e di gestirle.

 

Tutte le statistiche indicano nel Phishing il pericolo maggiore per tutti coloro che accedono alla Rete attraverso un dispositivo Mobile. Lo è diventato per la scelta di cybercriminali e hacker cattivi di usare tecniche di social engineering, sostituendole a quelle più complicate e meno redditizie basate sulla scoperta di vulnerabilità del dispositivo target da attaccare.

b2ap3_thumbnail_phishing-1.jpg

La pratica dell'ingegneria sociale su Mobile si sta diffondendo grazie alle opportunità offerte dalla facilità con cui è possibile distrarre l'utente, trarre vantaggio dalla fiducia che molti utilizzatori di social network hanno deciso di affidare alle piattaforme da loro frequentate e dall'usabilità delle interfacce. Tre motivi forti ma ancor più rafforzati dai risultati ottenibili, tre volte maggiori di quelli solitamente raggiungibili con utenti Desktop.


Phishing: azioni cybercriminali e trufaldine finalizzate a ottenere informazioni personali utili a condurre a termine un’azione illegale o un attacco criminale. La pratica prevede solitamente tre fasi: 1] l’individuazione di una società fornitrice di servizi essenziali che opera anche online, 2] la realizzazione di un sito web simile a quelli originali che possano essere usati per attività di accesso e registrazione, 3] l’invio di email con link e informazioni finalizzati a convincere i destinatari a eseguire un accesso al sito web. Il phishing è un fenomeno noto a molti ma sembra continuare a essere molto redditizio perché elevato è il numero di coloro che continuano ad abboccare, anche per la crescente sofisticatezza e verosimiglianza degli attacchi. Lo testimonia il numero di siti web fasulli calcolabili nell’ordine delle decine di migliaia.


 

C'era una volta il Phishing via email

Il veicolo di trasporto preferito per un attacco di Phishing è sempre stata la posta elettronica. Oggi il miglioramento dei filtri di protezione e la maggiore consapevolezza dell'utente finale hanno ridotto efficacia e attrattività del Phishing via e-mail rispetto al passato. Molte email contenenti link di Phishing vengono oggi intercettate. Quelle che superano i firewall di aziende e organizzazioni o le difese erette dal singolo individuo finiscono per essere ignorati e subito cancellate dagli utenti stessi.

Meno efficaci sono gli attacchi Phishing via email anche su piattaforme Mobile. I comportamenti degli utenti nell'usare le loro mailbox sono sempre gli stessi. Non è un caso che solo un attacco Phishing su cinque di quelli portati in ambiente Mobile sono collegabili a un'applicazione di posta elettronica.

Il Phishing è diventato Mobile

La verità è che l'80% degli attacchi Phishing Mobile avvengono ormai in ambiti diversi, attraverso canali che gli utenti frequentano in scioltezza e sicurezza (ad esempio quelli SMS che si portano appresso potenziali pericoli di SMiShing - declinazione di Phishing per applicazioni SMS), immersi in applicazioni ritenute protette e delle quali si fidano, come ad esempio quelle di messaggistica. Una fiducia mal riposta se si guarda alle statistiche recenti sul Phishing in ambienti Mobile.

La scelta delle applicazioni di messaggistica, per sferrare attacchi di Phishing, non nasce dalla fragilità delle applicazioni ma dal fatto che sono meno protette, percepite come sicure e sottovalutate in termini di rischi, personali ma soprattutto aziendali.

Le carenze in termini di sicurezza aziendale sono spiegabili con una cultura informatica e organizzativa della sicurezza tradizionalmente costruita intorno al desktop. Le carenze umane si spiegano con la facilità con cui è possibile emulare i mittenti di una comunicazione in modo che i messaggi inviati vengano percepiti come affidabili. Pesa anche il fatto che pochi utenti conoscono indirizzi IP o numeri di telefono dei potenziali mittenti ed erogatori di messaggi. Ne deriva una minore attenzione, l'assenza di ogni motivazione a dubitare o sospettare e la propensione ad accordare fiducia in tempi più rapidi di quanto non sarebbe opportuno fare.

b2ap3_thumbnail_tinder.png

Psicografia comportamentale

I comportamenti degli internauti Mobile sono studiati con attenzione da criminali digitali o semplici malintenzionati che possono trarre vantaggio dalla grande quantità di dati reperibili online, anche attraverso accessi fraudolenti o criminali ai Big Data. Come tali questi comportamenti sono noti e facilmente utilizzabili per attacchi di ingegneria sociale. Ad esempio attacchi veicolati attraverso servizi, che l'utente conosce così bene da percepire come affidabili e sicuri. Così sicuri da accettare senza alcuna riflessione critica qualsiasi tipo di aggiornamento software suggerito o la richiesta di verificare informazioni o credenziali personali online. I cybercriminali che non possiedono questo tipo di dati o di risorse possono sempre inviare i loro messaggi Phishing a migliaia di utenti puntando sul fatto che una certa percentuale di loro finirà per cascarci e cliccare il malefico link inviato con il messaggio.

Con scarse protezioni e soluzioni per la sicurezza inadeguate attacchi Phishing di questo tipo troveranno strade spianate per attacchi sempre più mirati e pericolosi, in particolare quando gli utenti accederanno a reti WiFi aperte e libere ma anche all'interno di aziende e organizzazioni.

Le declinazioni del Phishing

Il Phishing non si manifesta soltanto nella forma di SMiShing (phishing attraverso SMS) ma sempre più anche in quella di whishing (Phishing su WhatsApp) o vishing (phishing attraverso messaggi vocali). WhatsApp in particolare è diventata una piattaforma target di un numero crescente di truffatori. L'applicazione, con quasi un miliardo di utenti attivi ogni mese, ben si presta a fare da canale e veicolo di distribuzione di link malefici e pericolosi e non a caso i truffati si contano ormai in migliaia. Le truffe su WhatsApp vanno da messaggi che propongono sconti eccezionali o buoni sconti a messaggi vocali e videochiamate che rendono più difficile capire la pericolosità di link e messaggi, e a richieste di aggiornamento dei dati del proprio account. 

Le truffe su WhatsApp sono sempre più personalizzate sul profilo di ogni utente e costruite studiando le abitudini e i comportamenti delle persone con tecniche intelligenti di ingegneria sociale.

b2ap3_thumbnail_starbs-1.png

Ingegneria sociale e truffe

Le tecniche di ingegneria sociale nascoste dietro questo tipo di attacchi trovano terreno fertile nella facilità con la quale hacker e cybercriminali possono creare account fasulli da usare come mittenti e fonti di messaggi. Il fatto che la maggioranza delle persone non sia particolarmente attenta nel verificare le fonti e i mittenti riduce le protezioni ed eleva in modo esponenziale il rischio che gli attacchi vengano portati a termine.

Il fenomeno del Whishing si manifesta principalmente attraverso campagne promozionali, spesso associate a marchi conosciuti o Grandi Marche come Nike o catene di supermercati e punti vendita. Questi attacchi sono spesso così ben studiati da ingannare anche utenti Mobile sospettosi e sgamati nel riconoscere eventuali tentativi di inganno. Il problema non sta nello strumento WhatsApp utilizzato, ma nella capacità da parte dei truffatori di sfruttarne le caratteristiche e le funzionalità, traendo vantaggio dalla cultura e dai comportamenti, dagli stili esperienziali e dalle abitudini di chi lo frequenta.

A essere diventati canali e veicoli di attacchi phishing non ci sono solo SMS e WhatsApp. Praticamente tutte le applicazioni di messaggistica lo sono.

Le soluzioni Wandera

I rischi di Phishing, Vishing (Voice + Phishing), SMiShing e Whishing sono diventati reali e sono sempre più diffusi. Wandera, una società che propone soluzioni per la sicurezza, distribuite in Italia da CleverMobile Distribution, ha attivato da tempo un osservatorio che ha evidenziato la facilità con cui utilizzatori di applicazioni come Tinder, o Happn (dating online), ma anche Skype, WeChat, Viber e Kik siano facili vittime di messaggi contenenti link malefici e potenzialmente pericolosi.

La continua proliferazione di attacchi Phishing e la loro cangiante adattabilità, dovrebbe suggerire a tutti ma soprattutto ai dipartimenti IT delle aziende di dotarsi di risorse utili a una protezione maggiore e più efficace. Non più fondata su approcci tradizionali ma focalizzata sulle nuove modalità e tecniche di attacchi Phishing. Un modo per prevenire questo tipo di attacchi è di investire in formazione per far conoscere le tecniche di ingegneria sociale usate negli attacchi Phishing, in particolare in ambito Mobile.

La soluzione non è a portata di mano o di budget per tutte le aziende. Un primo passo prevede l'aumento dei programmi di formazione ma anche l'acquisto di soluzioni in grado di intercettare eventuali attacchi, in qualsiasi ambito operi l'utente, compreso quello dei canali di messaggistica fin qui menzionati. L'intercettazione rapida dei potenziali link malefici non serve solo a individuare eventuali attacchi portati a termine ma ad attivare meccanismi intelligenti di prevenzione.

Per chi volesse conoscere in che modo Wandera faccia questo con le sue soluzioni può cliccare su questo LINK o chiedere informazioni a un rappresentante marketing o commerciale di CleverMobile Distribution.

 

Rate this blog entry:
0
Trackback URL for this blog entry.

Dirigente d’azienda, filosofo e tecnologo, Carlo Mazzucchelli è il fondatore del progetto editoriale SoloTablet dedicato alle nuove tecnologie e ai loro effetti sulla vita individuale, sociale e professionale delle persone. Esperto di marketing, comunicazione e management, ha operato in ruoli manageriali e dirigenziali in aziende italiane e multinazionali. Focalizzato da sempre sull’innovazione ha implementato numerosi programmi finalizzati al cambiamento, ad incrementare l’efficacia dell’attività commerciale, il valore del capitale relazionale dell’azienda e la fidelizzazione della clientela attraverso l’utilizzo di tecnologie all’avanguardia e approcci innovativi. Giornalista e writer, communication manager e storyteller, autore di e-book, formatore e oratore in meeting, seminari e convegni. È esperto di Internet, social network e ambienti collaborativi in rete e di strumenti di analisi delle reti social, abile networker, costruttore e gestore di comunità professionali e tematiche online. Ha pubblicato 16 e-book nella collana Technovisions di Delos Digital.


JoomShaper