MIPP – Digitalizzazione e sicurezza
A cura di Giulia Provenza, Junior Policy Analyst MIPP
La campagna italiana
A gennaio 2023, una campagna di Whaling Phishing, nota anche come “CEO Fraud”, è stata rilevata dal CSIRT - Computer Security Incident Response Team. Questa campagna, apparentemente attiva già da novembre 2022, ha colpito diverse aziende italiane.
Sempre utilizzando l’ingegneria sociale, gli attaccanti hanno fatto uso di diverse tecniche manipolative ed efficienti per ottenere i dati delle vittime: impersonificazione e spoofing, falsificando la propria identità, per portare a termine autorizzazioni economiche basate su dati rubati ed illegittimi.
Questo attacco è noto come Whaling Phishing e sta diventando una pressante minaccia per le aziende e le organizzazioni nazionali e internazionali. Tale “caccia alle balene” risulta essere ancora più pericolosa e dannosa, poiché prende di mira esponenti di un certo calibro che si trovano ai vertici aziendali: è più mirato, invasivo e dettagliato.
“Whaling Phishing”
Il phishing è un tipo di attacco informatico che si basa sui metodi di Social Engineering (ingegneria sociale). Fa leva sulle vulnerabilità degli esseri umani, e può iniziare tramite un’innocua email o un semplice messaggio con un link allegato con lo scopo di attirare il target scelto. L’obiettivo dell’attacco è quello di estrapolare, in maniera illegale e fraudolenta, dati ed informazioni sensibili, in particolare a scopo di lucro.
Di solito, tale attacco proviene da un mittente apparentemente affidabile che, consapevole della sua preda, arricchisce la comunicazione digitale con dettagli specifici e tecnici per aumentare la credibilità della mail o del messaggio e per completare in tal modo la richiesta di pagamento. I bersagli sono CEO, manager di alto rango, impiegati in possesso di dati preziosi, o comunque i cosiddetti “pesci grossi”, che godono di una certa reputazione e che dispongono di un certo carico di informazioni vitali per l’azienda.
CSIRT
Il CSIRT italiano ha proposto diverse raccomandazioni e suggerimenti per prevenire e proteggersi da questi attacchi così invasivi e pericolosi.
Grazie alle campagne di sensibilizzazione, necessarie per il personale, è possibile riconoscere questi cyber attacks ogni qual volta fuoriesca anche un minimo dubbio o un segnale di allarme. Sebbene sia vero che il fattore umano è la causa di molti attacchi di ingegneria sociale, il personale aziendale deve essere sempre vigile e riconoscere le tecniche per carpire potenziali frodi.