Secondo l’ultimo rapporto Clusit, in Italia le perdite a causa di attacchi informatici ammontano a 10 miliardi di euro, una cifra dieci volte superiore a quella degli attuali investimenti in sicurezza informatica, che arrivano oggi a sfiorare il miliardo di euro.
I criminali informatici utilizzano una vasta gamma di tattiche di raggiro per ottenere accesso ai dispositivi e alle reti, per sottrarre denaro o informazioni personali. Conoscere i vari metodi di sfruttamento e le tattiche di social engineering perpetrate a danno degli utenti può fare la differenza.
Lo sa bene Fortinet, attendo a fornire le indicazioni sulle principali truffe online e le modalità di attacco, oltre a gli indicatori che possono aiutare a identificarli ed evitarli.
Le sei varianti più comuni di attacco informatico
1. Attacchi Phishing
Le truffe attraverso attacchi phishing sono eventi fin troppo comuni sia nelle reti aziendali che in quelle personali. Si tratta di comunicazioni – via email, telefono, messaggio etc. – con cui i criminali informatici fingono di essere qualcun altro, con l’intento di estorcere o accedere a credenziali, dati personali o informazioni finanziarie dell’individuo colpito, o informazioni sensibili relative all’organizzazione per cui il soggetto colpito lavora.
Ecco alcuni elementi da tenere a mente per riconoscere meglio questo genere di truffe malevole:
- Controlla i nomi dei contatti: è bene fare attenzione se si ricevono comunicazioni da una fonte che non si riconosce e che richiede di compiere una determinata azione, come fornire informazioni personali o registrarti a un sito. La maggior parte delle aziende, se non tutte, non chiederanno mai informazioni personali via email o messaggio. Questo dovrebbe essere un segnale di allarme.
- Controlla indirizzo email o numero di telefono e confrontalo con la persona o l’azienda che dichiarano di essere per scoprire le possibili incongruenze.
- Cerca errori ortografici e grammatica scadente: le aziende professionali si prendono il tempo di rileggere le proprie comunicazioni prima di inviarle. Spesso, i cybercriminali non lo fanno. Se ricevi un messaggio da una fonte presumibilmente attendibile che include errori di battitura, grammatica scadente o cattiva punteggiatura, è probabile che si tratti di una truffa.
- Fa attenzione a un atteggiamento aggressivo: se l'argomento e il contenuto di un messaggio sono eccessivamente aggressivi, è probabile che si tratti di una truffa. Avrete notato email nella cartella spam del tipo “Urgente! Il tuo account è scaduto in X giorni – Contattateci IMMEDIATAMENTE”. L'obiettivo è di puntare sul panico, per far compiere l’azione voluta dai truffatori. Invece, è importante controllare il vero mittente prima di intraprendere tempestivamente qualsiasi azione.
2. Truffe Spear Phishing
Se gli attacchi di phishing sono inviati in massa e offrono indizi relativamente facili da individuare, lo spear phishing rappresenta la controparte più sofisticata e mirata. I truffatori di spear phishing conducono ricerche approfondite sulle loro vittime e prendono il tempo per conoscerne l’azienda, i colleghi, gli interessi etc. al fine di aumentare le probabilità di successo. Per proteggersi dallo spear phishing, è bene tenere a mente quanto segue:
- Usa un servizio di verifica email: la verifica della mail controlla se la fonte dell’email ricevuta corrisponde o meno all’Administrative Management Domain (ADMD).
- Sii discreto quando dai informazioni personali: può sembrar banale, ma se gli utenti non fornissero facilmente le proprie informazioni, lo spear phishing non sarebbe una truffa così efficace.
- Mantieni una corretta security-hygiene: con alcune abitudini di security-hygiene di base, si negano ai criminali informatici molti dei comuni vettori di attacco utilizzati per infettare macchine e dispositivi per ottenere accesso a informazioni personali o alla rete aziendale. Semplici abitudini quotidiane possono fare molto per impedire che queste truffe compromettano reti e dispositivi.
3. Truffe esca
Le truffe esca, così dette “baiting scams”, puntano ad adescare utenti ignari portandoli a eseguire una determinata azione, come il download di un virus o l'inserimento di informazioni personali in cambio “dell’esca”, che può essere una qualsiasi cosa, da un software anti-virus gratuito a filmati da scaricare, al download di “Informazioni sul salario aziendale” per innestarsi nella macchina della vittima. Questo genere di truffa può assumere molte varianti e forme, ma l'obiettivo finale è sempre lo stesso: attirare gli utenti per installare qualcosa di malevolo. Per proteggere se stessi e l’organizzazione, prestate attenzione a questi indicatori comuni:
- Evita offerte “gratuite”. Molti criminali informatici proveranno ad attirare le loro vittime con promesse di download gratuiti, spedizioni omaggio, registrazioni gratuite etc. Quindi, accertati non solo di controllare la fonte e leggere la corretta dicitura di ogni offerta, ma anche di controllare l’organizzazione che sostiene di offrirle.
- Evita unità flash o hard disk esterni sconosciuti: l’adescamento può essere fatto digitalmente o con unità fisiche che istallano software dannosi.
- Assicurati di conoscere il proprietario del dispositivo prima di collegarlo alla tua macchina.
4. Truffe di supporto tecnico
Solo nel 2017, l’FBI ha riferito di aver ricevuto circa 11.000 casi di truffe di supporto tecnico, per un totale di 15 milioni di dollari di danni. I truffatori si proporranno come dipendenti del supporto tecnico per l’azienda della vittima o per un servizio indipendente, con l’obiettivo di ottenere informazioni personali. Come per le altre truffe fin qui elencate, il successo o il fallimento dipende dalla vittima dell’attacco di social engineering. Con questo a mente, è importante prestare attenzione ad alcuni segnali:
- Attenzione ai messaggi indesiderati: Raramente, se non mai, il supporto tecnico proporrà un "check-in" o si offrirà per riparare il computer. Gli sviluppatori di software e hardware non monitorano mai le loro soluzioni per poi chiamare e offrire assistenza tecnica di sicurezza. Se un addetto o una società di supporto tecnico ti contatta tramite un annuncio popup e un'e-mail o una telefonata non richiesta o tramite i social media, è probabile che si tratti di una truffa. Le aziende legittime hanno stabilito processi per aggiornare prodotti e servizi, come patch e aggiornamenti pubblici, o modalità per affrontare i problemi direttamente incorporati nella soluzione stessa.
- Evita di installare qualsiasi cosa proveniente da una fonte sconosciuta: A meno che non arrivi direttamente da una fonte fidata, qualsiasi download dal web comporta il rischio intrinseco di infettare la tua macchina. Come per le truffe con adescamento, i criminali informatici tentano spesso di offrire “controlli di sicurezza gratuiti” o “pulizie del computer”, che poi infettano il computer della vittima con malware.
- Attenzione agli accessi da remoto al dispositivo: l’accesso remoto consente ai veri team di supporto tecnico di "rilevare" una macchina da remoto per sistemarla. Tuttavia, la stessa tecnologia può essere utilizzata per accedere rapidamente alle informazioni personali dal proprio dispositivo. Se una fonte che non conosci ti chiede di accedere da remoto al tuo dispositivo, tienilo alla larga.
5. Proteggere i dispositivi mobili
Anche i dispositivi mobili vengono sempre più presi di mira dai criminali informatici. Applicazioni fasulle utilizzate per estrarre dati o ransomware sono oggi comunemente disponibili, soprattutto per i sistemi operativi Android:
- Occhio ai malware mascherati da applicazioni e aggiornamenti legittimi: un numero crescente di applicazioni contraffatte sono disponibili presso app store di terze parti (ad esempio Apkmonk). Abbondano anche le installazioni e gli aggiornamenti che sfruttano applicazioni e dispositivi (come il malware per la crittografia). Fa’ attenzione inoltre alle app che richiedono autorizzazioni non necessarie (ad esempio, exploit Device Admin e via SMS etc.).
- Usa un Wi-Fi sicuro: attenzione al Wi-Fi gratuito. Spazi pubblici e negozi che offrono connessioni Wi-Fi gratuite sono luoghi comuni per attacchi “man-in-the-middle” in cui i criminali offrono spesso la disponibilità di servizi Wi-Fi e la utilizzano per acquisire dati. Quando si utilizza il Wi-Fi pubblico, utilizza le connessioni VPN ed evita transazioni sensibili. Molte app mobile sono inoltre programmate per connettersi automaticamente a connessioni conosciute, pertanto i criminali informatici spesso utilizzano SSID Wi-Fi comuni, come “Home Network” per ingannare i dispositivi e collegarsi automaticamente senza richiedere alcun input da parte dell’utente.
6. Dispositivi IoT
Anche i dispositivi IoT sono un vettore di attacco sempre più popolare. Molti dispositivi IoT sono semplici da sfruttare, poiché hanno una connessione Internet costante e utilizzano potenti processori GPU, rendendoli ideali per la crittografia e gli exploit DDoS.
- Aggiorna le credenziali: la strategia di sfruttamento più comune è semplicemente provare a connettersi a un dispositivo IoT utilizzando il nome utente e la password predefiniti. Quando possibile, cambia la password su router, smart TV e sui sistemi di intrattenimento domestico etc.
- Auto connesse: poiché sempre più dispositivi sono interconnessi, diventano sempre più vulnerabili come anello debole della catena. Dispositivi come le auto connesse non sono solo ricchi bersagli per gli aggressori, contenenti dati dell'utente, contatti telefonici e persino informazioni di pagamento, ma la negligenza può anche rappresentare un rischio per conducenti e passeggeri. Se hai un’auto connessa, è importante esaminare attentamente e modificare le impostazioni di sicurezza predefinite ed evitare le installazioni di app da fonti sconosciute. Inoltre, esamina la sicurezza e le credenziali dei dispositivi Bluetooth connessi, in particolare quelli che si interfacciano con la rete della tua auto.
Le truffe informatiche possono colpire chiunque ignori questi comuni segnali d’allarme. Conoscere le più comuni truffe informatiche di oggi, assieme ai segnali rivelatori di tali frodi, può aiutare gli utenti a salvaguardare preziose informazioni personali e dati delle reti a cui ci si collega.
