Che cos’è il phishing
Il phishing è un attacco alle persone, non al software. L’attaccante costruisce un messaggio che sembra arrivare da una banca, da un collega, da un fornitore o dal reparto IT e chiede al lettore un gesto ordinario: accedere, aprire un file, pagare una fattura o confermare dei dati.
Il nome richiama fishing, la pesca in inglese: il messaggio è l’esca e l’azione della vittima è la preda.
Per un’organizzazione il phishing conta perché è uno dei modi più comuni per ottenere un primo accesso. Una minaccia esterna priva di accessi propri prende in prestito quelli di un dipendente, e una sola password rubata può dare inizio a una violazione dei dati.
Come si svolge un attacco
Le campagne differiscono per portata e cura, ma la maggior parte segue le stesse quattro fasi, e nell’ultima si produce il danno: l’accesso rubato porta all’esfiltrazione di dati o a un pagamento fraudolento.
- 1
Scegliere l’esca
L’attaccante sceglie un pretesto credibile, come un avviso di scadenza della password, una fattura o un documento condiviso.
- 2
Consegnare il messaggio
Il messaggio arriva via e-mail, SMS, telefono o social network, spesso da un mittente falsificato o molto simile a quello vero.
- 3
Ottenere l’azione
La vittima digita la password su una pagina falsa, apre un allegato o approva una richiesta.
- 4
Sfruttare l’accesso
L’attaccante accede, scorre caselle di posta e cartelle condivise e porta via dati o denaro.
Principali tipi di phishing
I tipi si distinguono per il canale e per quanto l’attaccante sa del bersaglio. Il phishing per clonazione conviene conoscerlo presto, perché riutilizza un messaggio di cui la vittima si fida già. I codici QR in e-mail o su manifesti (quishing) sono un altro veicolo dello stesso inganno.
| Tipo | Canale e bersaglio | Che cosa lo distingue |
|---|---|---|
| Phishing di massa | E-mail inviata a moltissimi destinatari | Esca generica, poco sforzo, punta sul volume |
| Spear phishing | E-mail a una persona o a un team scelti | Usa dettagli raccolti, come nome, ruolo e progetti in corso |
| Whaling | E-mail ai vertici aziendali | Spear phishing rivolto a chi ha ampia autorità |
| Business email compromise | E-mail che imita un dirigente o un fornitore | Mira a deviare un pagamento o a ottenere dati, spesso senza link né allegato |
| Smishing e vishing | SMS e telefonate | Lo stesso inganno, veicolato da messaggio di testo o dalla voce |
| Phishing per clonazione | E-mail rinviata a partire da una vera | Copia un messaggio di cui il destinatario si fida e sostituisce il link o il file |
Perché funziona sulle persone
Il phishing funziona perché sfrutta le abitudini, non i difetti del software. I messaggi prendono in prestito un’autorità (un superiore, una banca), creano pressione temporale o sembrano lavoro di routine, e le persone indaffarate evadono le richieste di routine senza verificarle. Quando un dipendente viene ingannato e consegna una password o un file, il risultato è una divulgazione involontaria: nessuno voleva far trapelare nulla.
Un tempo un testo scritto bene era un indizio affidabile. Quel consiglio ha perso valore, perché gli strumenti che producono testo fluente in qualsiasi lingua permettono di eliminare le formulazioni goffe che una volta tradivano la truffa.
Un messaggio curato non è un messaggio sicuro: giudica la richiesta, non la grammatica.
Segnali d’allarme
Nessun segnale è una prova, e i messaggi ben fatti non ne mostrano nessuno. Il criterio è l’insieme e la richiesta stessa: un messaggio inatteso chiede password, denaro o dati?
- Un indirizzo del mittente simile a quello vero ma non identico, per esempio con una lettera scambiata nel dominio
- Urgenza o minaccia: un account sul punto di essere chiuso, un pagamento dovuto oggi
- Un link la cui destinazione reale, visibile passando il mouse, differisce dal testo
- Un allegato inatteso, soprattutto un archivio, un documento che chiede di abilitare le macro o un eseguibile
- Una richiesta di accedere, pagare o inviare dati per una via insolita
- Una richiesta di riservatezza o di saltare la normale approvazione
Livelli di difesa
Nessun controllo da solo ferma il phishing, perché ciascuno copre una fase diversa: l’arrivo del messaggio, il clic, l’accesso e l’uscita dei dati. I livelli funzionano meglio quando partono dal presupposto che alcuni messaggi passeranno e fanno in modo che con essi non escano dati sensibili.
| Controllo | Ambito | Che cosa fa |
|---|---|---|
| Formazione sulla consapevolezzaPersone che leggono la posta | Tutto il personale | Insegna a verificare le richieste inattese e a segnalarle |
| Autenticazione a più fattoriAccesso agli account | Tutti gli account | Riduce il valore di una password rubata; i metodi resistenti al phishing, come le chiavi di sicurezza e le passkey, sono i più solidi |
| SPF, DKIM e DMARCRecord del dominio mittente | Dominio di posta | Rendono più difficile falsificare il dominio dell’organizzazione |
| Filtro della posta e sandboxGateway in ingresso | Posta in arrivo | Controlla link e allegati prima della consegna |
| Segnalazione e rispostaProcesso di sicurezza | Team di sicurezza | Segnalazione con un clic e un modo collaudato per reimpostare le password e chiudere le sessioni |
| Controlli contro la perdita di datiPostazioni e canale web | Postazioni | Limitano ciò che può uscire se un errore avviene comunque |
Come appare in Anexet
Anexet non è un gateway anti-phishing e non decide se un messaggio sia phishing.
Offre l’intercettazione della posta sulle postazioni monitorate, che consente di analizzare il contenuto di messaggi e allegati, e regole di blocco HTTP nell’ambito del monitoraggio del traffico web, che possono fermare una richiesta il cui contenuto viola una policy, come l’invio di dati sensibili a un sito. Il dipendente vede allora un messaggio come quello mostrato sotto.
Da dove cominciare
Parti dagli account e dai dati la cui perdita farebbe più male: posta, finanza e accesso amministrativo. Attiva lì per primo l’autenticazione a più fattori, poi stabilisci un solo canale per segnalare i messaggi sospetti e una verifica su un altro canale per le modifiche di pagamento e di coordinate bancarie.
Tratta la formazione come un allenamento, non come una lezione annuale: breve, concreta e senza caccia al colpevole, così le persone segnalano gli errori subito invece di nasconderli.
Il phishing non forza un sistema. Chiede a una persona di aprire la porta, perciò la difesa deve coprire sia la persona sia ciò che sta dietro la porta.
Anexet TeamCome Anexet affronta questo
Anexet non è un gateway di posta anti-phishing: non classifica i mittenti, non ispeziona gli URL e non valuta i messaggi in base all’intento di phishing. La sua rilevanza sta nei meccanismi che possiede: l’intercettazione e l’analisi del contenuto della posta sulle postazioni monitorate e il controllo dei trasferimenti di dati che seguono un attacco riuscito.
Quando un dipendente viene ingannato, ciò che segue è un movimento di dati: file che escono via e-mail, web, archiviazione cloud o supporti rimovibili. Il modulo DLP di Anexet sorveglia questi canali e analizza il contenuto di ciò che viene inviato, rendendo possibili il contenimento e l’indagine.
Intercettazione della posta e analisi del contenuto
Gli agenti sulle postazioni catturano il traffico di posta, inclusi webmail e client di posta, e analizzano il contenuto di messaggi e allegati con tesauri, banche di hash, impronte digitali ed etichette di sensibilità Microsoft.
Controllo dei trasferimenti di dati
Le policy di sicurezza osservano i contenuti sensibili che transitano via e-mail, web, applicazioni cloud, messaggistica, stampa, appunti e dispositivi rimovibili, generano incidenti e avvisi, e le regole di blocco possono interrompere un trasferimento, mentre le e-mail bloccate restano in quarantena.
Traccia di audit
Gli eventi intercettati vengono registrati con utente, postazione, data e ora e canale, offrendo una traccia attribuibile di ciò che è passato dai canali monitorati e dei dati usciti.
Limiti onesti
Impedire l’arrivo dell’esca resta compito della sicurezza della posta, dell’MFA e della formazione; Anexet aggiunge visibilità sui canali delle postazioni e controllo sul movimento di dati che segue.
Anexet DLP
Scopri di più