Spear phishing, cos’è e come funziona

Il phishing è una delle minacce più attuali e temute assieme al ransomware e, come evidenziato anche dall’ultimo report “Cyber security threat trends” di Cisco Umbrella, è responsabile del 90% dei data breach; negli ultimi anni questa pratica si è rapidamente evoluta nello spear phishing, cioè mirato sulla vittima, e la pandemia ne ha ulteriormente accelerato la pericolosità: per questo è una minaccia sempre più subdola da cui è più difficile proteggersi efficacemente. L’evoluzione delle tecnologie ha permesso ai cyber criminali un facile accesso ad una serie di dati importante, utili per costruire informazioni accurate da utilizzare per costruire un attacco di misura di sicuro successo, cosa prima molto complessa ed onerosa. Il social engineering è il metodo con cui gli attaccanti reperiscono le informazioni per sferrare gli attacchi mirati e si è evoluto di pari passo alla tecnologia: da uno studio fisico della persona ad uno studio digitale tramite social media per arrivare alla perfetta profilazione dell’utente; questa permette di ridurre sensibilmente sia il tempo impiegato per reperire le informazioni che il relativo costo. Il marketing è diventato sempre più pervasivo e il valore dei dati sta crescendo esponenzialmente: Facebook nel 2013 otteneva 19 dollari l’anno per utente americano in vendite pubblicitarie, nel 2020 ben 164 dollari. Per questo i servizi globali di profilazione (web tracker e session replay script) sono svariate decine di migliaia e, quotidianamente, ne nascono di nuovi. Gli attaccanti lo sanno bene, tant’è che ogni due anni il 29,6% di questi servizi subisce un data breach secondo una ricerca del Ponemon Institute. I servizi di tracciamento raccolgono una enorme mole di dati che, presi singolarmente, non hanno alcuna rilevanza, ma combinati correttamente forniscono informazioni molto precise creando una perfetta identità digitale. Tutti quanti siamo più o meno consci dei dati raccolti sui nostri interessi (pagine visitate, cronologia di navigazione, frequenza ed orari di visita, lingua utilizzata), ma spesso si sottovaluta l’enorme mole di dati “accessori” raccolti come carica della batteria, geolocalizzazione, Internet Service Provider, Timezone e Browser utilizzato con relativa versione installata.

Codacons: “Cerchiamo di capire con un esempio concreto come funziona questa forma di phishing. Pensiamo ad un genitore che ha avuto una giornata impegnativa ed ha appena messo a nanna i bambini, trovando così finalmente l’unico momento in cui può cercare i regali che i suoi figli hanno inserito nella letterina a Babbo Natale. Avendo un PC a uso promiscuo lo apre per informarsi su Internet su prezzi e caratteristiche dei regali, soffermandosi in particolare su alcuni titoli di libri ed una particolare macchina radiocomandata. Se non tutti, molti di noi immaginano che durante la ricerca questi interessi vengano esposti ai servizi di tracciamento, ma pochi sanno o collegano che le informazioni raccolte non sono solo gli interessi commerciali, ma anche informazioni relative al software installato (come, ad esempio, Windows 7 con Chrome non aggiornato) e alle abitudini (come, ad esempio, venerdì sera come momento in cui solitamente l’utente utilizza il PC di lavoro da casa senza entrare in VPN). Entrando in possesso di queste informazioni, quindi, un cybercriminale potrebbe decidere di attaccare lo sventurato genitore il venerdì sera, ad esempio utilizzando il meccanismo delle micro-aste online per far comparire su una pagina legittima un banner con una falsa offerta relativa ai libri per bambini cercati. Cliccando sull’offerta si aprirà una pagina che, sfruttando le vulnerabilità del browser non aggiornato, potrà uscire dalla sandbox ed installare un ransomware sul sistema operativo: questa tipologia di attacco si chiama malvertising ed è il secondo veicolo di diffusione di ransomware. Oppure potrebbe arrivare un’e-mail da un falso Amazon che, facendo leva sul senso di urgenza, chiederà all’utente di ordinare la macchina radiocomandata prima che scadano le scorte: ci saranno alte probabilità che il genitore abbocchi e clicchi così il famigerato link, che lo farà atterrare su una falsa pagina di Amazon, portando quest’ultimo a cedere inconsapevolmente informazioni sensibili come password e numero di carta di credito. Insomma, cadere nella rete è molto più semplice di quanto si potrebbe pensare. L’unica maniera per mitigare i rischi e la crescita dello spear phishing è quello di rendere l’utente trasparente a questi servizi durante la navigazione, evitando l’effetto Pollicino, ovvero che lasci briciole sul suo percorso durante la navigazione. Il totale anonimato passa dalla protezione dell’utente durante la navigazione, sia da PC che da dispositivi mobili, mediante soluzioni in grado di analizzare i comportamenti delle singole connessioni, sia via browser che via app, per evitare che dal dispositivo fuoriesca qualsiasi informazione verso servizi web esterni all’azienda, se non solo quelle che l’azienda decide di far fuoriuscire: ad esempio, solo le richieste di connessione verso le CDN (Content Delivery Network), bloccando invece tutte quelle rivolte a servizi terzi di tracciamento. Per informazioni sul tema della ludopatia e segnalazioni contattare il Codacons all’indirizzo codacons.vigevano@gmail.com o al recapito 347.9619322”.