BLOG

Phishing significato: cos’è e come proteggersi!

Lo sapevi che per un click errato potresti rischiare di dover perdere una sacco di tempo e di soldi per evitare una serie di danni e conseguenze a te stesso o alla tua azienda?

Ti consiglio di dare una letta a questo articolo così che tu possa avere più consapevolezza di qual’è il vero significato di phishing, tutti i danni che può creare ai tuoi dati importanti aziendali e personali, e come proteggerti applicando delle regole anti Phishing che ti permetteranno di evitare grossi problemi aziendali.

MESSAGGIO IMPORTANTE: alla fine dell’articolo troverai un webinar completamente gratuito in cui spiego bene tutte le fasi per avere una Ottima Sicurezza Informatica parlando anche di come risolvere i problemi di Phishing Aziendale

Lascia che mi presenti:

Simone Menegatti di AllsafeIT, e d a oltre 25 anni offro servizi di assistenza, vendita e sicurezza informatica per PMI e privati di Vicenza e provincia.

In questo blog ho il piacere di condividere la mia esperienza e le ultime novità del settore digitale, poichè mi tengo costantemente aggiornato sulle tecnologie più innovative.

Cosa si intende per Phishing?

Phishing traduzione corretta:

Il termine phishing deriva dalla parola inglese fishing, che significa “pescare”.

La differenza sta nell’aggiunta della lettera “H”, ma il concetto rimane lo stesso, ovvero ” lanciare un amo o una rete ” per attirare una vittima, proprio come farebbe un pescatore.

In questo caso, però, le “prede” non sono pesci, ma utenti che stanno lavorando al computer ( come potresti essere te ), che possono essere indotti a fornire informazioni sensibili.

Non preoccuparti però: continuando a leggere questo articolo, scoprirai come riconoscere il Phishing Informatico e difenderti da questa autentica trappola digitale.

Attacco Phishing: ecco come avviene e come riconoscerlo!

L’attacco di phishing si verifica quando un hacker invia un’email fraudolenta che sembra provenire da un’azienda affidabile, come una banca o un servizio online.

Queste email contengono messaggi persuasivi che spesso richiedono un’azione urgente, come cliccare su un link o scaricare un file.

Il link in questione, ti reindirizzerebbe ad un sito web falso, progettato per assomigliare a quello ufficiale, dove ti vengono richieste informazioni sensibili, come username e password, numeri di carta di credito o dati bancari.

Spesso e volentieri però, queste mail truffa contengono allegati che possono contenere malware di phishing, in grado di infettarti il dispositivo.

Che tu sappia riconoscere questi segnali è essenziale perchè tu possa proteggerti da queste truffe online .

Spiegazione nel dettaglio di cosa sono le email di phishing: il tipo di phishing più comune

Le email di phishing rappresentano la tipologia più comune di attacco di phishing e costituiscono uno strumento fondamentale per i cybercriminali nel tentativo di ingannare le loro vittime.

Questi messaggi sono studiati per apparire autentici, riproducendo con grande accuratezza l’aspetto grafico e il tono comunicativo di aziende o istituzioni affidabili.

Spesso includono loghi ufficiali, indirizzi email che imitano quelli legittimi ( poi vedrai degli esempi a riprova ) e persino firme personalizzate. Tuttavia, dietro a questa facciata si nasconde l’intento di sottrarre informazioni sensibili.

Un elemento comune che hanno ” queste mail.. “, che spesso e volentieri è l’elemento fondamentale perchè l’attacco abbia successo, è il senso di urgenza trasmesso con frasi come :

“Il tuo account è stato sospeso” o “Conferma i tuoi dati immediatamente”.

Tale procedura spinge la vittima a cliccare su link malevoli o ad aprire allegati compromessi senza riflettere, cadendo così nella trappola del phishing.

Obiettivo di una Mail di Phishing: sottrarti le credenziali!

L’obiettivo principale delle truffe digitali, come il phishing, è quello di sottrarti le credenziali, comprese le tue password di Google o di altri account importanti.

Una volta ottenute tutte queste informazioni, i cybercriminali possono utilizzarle per scopi illeciti come:

Furto di identità
Rivenderle nel dark web, ovvero dove le proprie informazioni rubate diventano accessibili ad altri malintenzionati.

A proposito, ti consiglio di leggere il mio articolo sul “Controllo delle password compromesse”, dove potrai scoprire come verificare se i tuoi dati sono già stati violati o esposti.

Non sottovalutare dunque il pericolo: i truffatori potrebbero ricattarti minacciando di divulgare i tuoi dati sensibili, per poi chiederti un riscatto.

Questo meccanismo, spesso associato al phishing virus, rende ancora più chiaro quanto sia fondamentale proteggere le tue credenziali.

Investire tempo per comprendere in cosa consiste il phishing e adottare le giuste misure di sicurezza è il primo passo per evitare situazioni spiacevoli e mettere al sicuro i tuoi dati più preziosi.

Ecco Esempi pratici e reali di Email di Phishing

Vediamo ora nel dettaglio degli esempi reali ( le foto che vedi qui sotto sono state prese da fatti reali di Phishing ) di email di phishing, e come gli attacanti usano l’esca di note banche o indirizzi di posta elettronica.

Email Phishing Esempio 1

Email Phishing Esempio 2

Email Phishing Esempio 3

Email Phishing Esempio 4

Questi che hai visto erano degli esempi di, ma è fondamentale sapere che questa minaccia informatica, detta anche Phishing sociale, entra di diritto tra le prime e più gravi frodi informatiche del momento!!

Ad oggi, aprire una mail di phishing, rappresenta 80% dei fattori di un attacco informatico.

Tipologie di Phishing: scopri le tante varianti a cui devi stare attento per evitare le truffe online!

– Spear Phishing Significato: ecco cos’è + caso pratico

Devi sapere che la parola “Spear” in inglese significa lancia.. ( fiocina per intenderci meglio ).

Nel campo della Sicurezza Informatica, se anche tu come tanti altri ti stai chiedendo cos’è lo Spear Phishing, devi sapere che è un tentativo di phishing, dove l’attaccante di turno ( hacker ), prende di mira un pesce specifico inteso come noi persone o aziende, e raccoglie informazioni dettagliate e specifiche.

In questa precisa situazione il Cyber attacco è proprio mirato ed è qui che c’è da preoccuparsi.

Ma da dove raccoglie le info?

Sui social ad esempio, attraverso tecniche di OSINT (Open source intelligence) che sono tecniche dove i pirati informatici raccolgono informazioni da fonti aperte intese come social, internet, forum, non commettendo reati.

Ecco l’esempio pratico che ti dicevo sopra:

Tieni presente, che se la tua data di nascita è pubblicata ( questo può avvenire perchè è inserita in registri, elenchi, atti o documenti pubblici un esempio noto è la registrazione al social facebook .. dove c’è la sezione informazioni che e che tutti possono vedere ) su internet, un malintenzionato potrebbe calcolare il codice fiscale e creare una mail congeniata che avrà sicuramente grande efficacia.

– Watering Hole

Nel panorama della Cyber Security, per Watering Holer ( pozza d’acqua) si intende ” l’abbeveratorio ” , ed ora ti spiego il perchè.

Immagina una pozza d’acqua dove vanno a bere le giraffe, le zebre ed il leone sanno che le prede a breve arriveranno in “zona”per bere , e così le aspettano per catturarle e mangiarle!!

**Ma Che cos’è una pozza d’acqua (watering hole) in ambito informatico?**

Nel contesto informatico, una “pozza d’acqua” si riferisce a un sito web compromesso, trasformato in un sito web malevolo dagli hacker. In pratica, il pirata informatico modifica il codice del sito originale, inserendo script dannosi per ingannare/truffare gli utenti che lo visitano.

Esempio pratico Watering Hole :

Questi codici malevoli possono generare popup o schermate anomale che invitano l’utente a cliccare su pulsanti o link apparentemente innocui. Una volta cliccati, si attivano meccanismi nascosti (noti anche come trigger) che possono:

Reindirizzarti a siti fraudolenti.
Installare malware sul tuo computer.
Mettere a rischio i tuoi dati sensibili.

Un consiglio utile: ti invito a leggere un mio articolo che spiega in maniera semplice cos’è il ” Ransomware ” ovvero un tipo di Malware Phishing molto diffuso in questo periodo che ahinoi mette in ginocchio tante aziende che per errore cliccano nella mail trappola.

Come avviene la violazione del sito web?

Gli hacker accedono al backend del sito, forzano la sicurezza e inseriscono un codice dannoso che viene eseguito ogni volta che un utente visita la pagina. Questo processo può sembrare invisibile, ma il risultato è un’esperienza insidiosa per l’utente.

Buone notizie:

Fortunatamente, le moderne protezioni integrate nei browser rendono questa tecnica meno diffusa rispetto al passato. Tuttavia, è fondamentale assicurarsi che il proprio sito web sia sempre aggiornato e sicuro per evitare vulnerabilità.

– Il Whaling

Il Whaling dall’inglese whale (balena), indica una tipologia di phishing nel quale si punta a far abboccare ” un pesce grande ” , inteso come persona importante che può essere il direttore di una banca, un manager, ovvero qualsiasi persona che abbia un ruolo dirigenziale di spicco.

– Smishing

Tipologia di internet Phishing detta “SMS phishing”, che si avvale dell’invio di messaggi su dispositivi mobili, per sottrarti i dati.

– Vishing

Il Vishing è inteso come una tipologia “phishing vocale”, ovvero una truffa telefonica, che tramite telefono ti invita a rilasciare dati importanti per poi sogttrarteli.

– Qrishing

Il Qrishing “QR Codes Phishing” è un attacco web di phishing che avviene sotto forma di un codice QR, che indirizza a un link web contenente malware.

Questo avviene poiché i controlli antispam sui dispositivi mobili sono spesso meno rigorosi, e basta scansionare un QR Code fraudolento per essere reindirizzati a siti malevoli.

Qui sotto a dimostrazione di ciò che dico, ecco un esempio di QRISHING..

QUESTO SIGNIFICA CHE NON DEVO PIÙ USARE I QRCODE?

No, ma devi fare attenzione così da avere sempre una protezione contro il phishing!!
Una cosa è usare il qrcode di un bar o di un ristorante dove devo sfogliare il menù e non ho rischi, diverso è effettuare un pagamento tramite un qrcode trovato da qualche parte.

Ma la conoscevi questa truffa del QRISHING?
ATTENZIONE quindi, perchè non è molto conosciuta ma è un caso di phishing che colpisce tantissimo.

– Clone Phishing

Il clone di phishing è una mail inviata dal “pirata informatico di turno” che è praticamente uguale e con lo stesso contenuto, ad una mail precedente che ti è stata inviata da un mittente a te conosciuto.

Di conseguenza ti verrà spontaneo “aprire” il messaggio, anche perchè furbescamente, “l’assalitore informatico” per farti cliccare sulla mail, userà frasi del tipo: devo reinviare la mail o frasi che si assomigliano, così da essere invogliato a cliccare e premere su link malevolo che ti ha inviato in allegato.

Attenzione che questo phishing web è fatto apposta per coglierti di sorpresa.

– Typesquatting

Questo attacco sfrutta errori di digitazione comuni che gli utenti commettono quando inseriscono un URL nel browser. I pirati informatici registrano domini con nomi simili a quelli di siti web legittimi, ma con lievi variazioni, come errori di ortografia o aggiunta di caratteri.

Quando un utente digita erroneamente l’indirizzo del sito desiderato, può finire su questi siti falsi, che spesso imitano l’aspetto del sito autentico. Questi siti possono essere utilizzati per sottrarre credenziali, diffondere malware o perpetrare altre frodi.

Cosa fare per controllare se un sito web è vittima di Typesquatting?

La soluzione più logica, ma che la maggior parte degli utenti non fa, è quella di digitare il sito che sappiamo essere corretto, senza seguire il link “errato”.

Oppure un buon consiglio è anche questo:

Utilizzare un sito come ” virustotal ” dove si posso verificare se un file o link ricevuto via mail, è attendibile o no.

Ecco allora che se vuoi analizzare un file che ti desta sopsetto, devi cliccare su questo link:

FILE >> https://www.virustotal.com/gui/home/upload
Se invece vuoi analizzare un URL, devi cliccare su quest’altro link

URL >> https://www.virustotal.com/gui/home/url

– Attacchi Omografici: ecco la spiegazione

Gli attacchi omografici utilizzano caratteri simili visivamente, come sostituire una “o” con uno zero “0” in un URL, e sfruttano appunto la somiglianza visiva di caratteri differenti.

Viene utilizzato per creare e registrare domini fasulli, con nomi praticamente identici a quelli di domini esistenti, per ingannare gli utenti e attirarli a visitarli.

Il nome omografici sta ad indicare i caratteri, ossia le lettere e i numeri, che si assomigliano (dall’inglese “Homoglyph”).

Ecco alcuni esempi:

Dominio vero: google.com

Dominio falso: go0gle.com
Dominio falso: gooogle.com

Dominio vero: microsoft.com

Dominio falso: micr0soft.com
Dominio falso: microsoft.co

I trucchi esemplificati sopra sono e “sembrano” banali, ma guarda che ahinoi spesso riescono ad ingannare l’utente appena un pò distratto.

In sintesi, mentre il typosquatting visto sopra.., si basa su errori di digitazione comuni degli utenti, gli attacchi omografici sfruttano la somiglianza visiva tra caratteri di alfabeti diversi per creare URL ingannevoli.

Concludendo su questo tema , ti avviso che entrambe le tattiche che ti ho descritto, mirano a indurre le vittime a visitare siti web fraudolenti, dove possono essere esposti a phishing, malware e altre tipologie di minacce informatiche.

– Truffa false mail pec: Attenzione a questa tipologia di Phishing!

pec e phishing attenzione alle pec false

Immagino conoscerai il sistema di posta elettronica certificata chiamato PEC, ovvero la posta certificata.

Beh devi sapere, che anche la “ PEC ” che viene considerata uno strumento sicuro, è sempre più usata per fare attacchi di phishing!

Ora ti spiego il perchè…

La PEC, è uno strumento digitale che non può essere processato dai normali sistemi di sicurezza antispam, perchè l’antispam stesso ne alterebbe il valore legale, mettendoci “ le mani ” al suo interno.

Ecco allora, che la PEC può diventare pericolosa e bisogna stare attenti!!

Ora ti descrivo un esempio per farti capire bene.

L’hacker di turno o tecnico informatico che ha intenzioni malevoli, registra indirizzi di PEC molto simili alle PEC ufficiali che tu conosci e che di conseguenza potresti cliccare.

PEC UFFICIALE: ing.bank.legalmail.it
PEC FALSA: ingbank.legalmail.it

PEC UFFICIALE: chebanca@pec.it
PEC FALSA: chebanca.pec@legalmail.it

Noterai anche tu, come sia chiaro che se ti dovesse arrivare una pec, da una pec simile a quella ufficiale, sia molto facile caderci.

Pensa che sono state colpite da questa tecnica di messaggi di phishing fasulli, banche ( detto anche phishing bancario ) come :

Mediolanum
Fineco
Iw Bank
Barclays Bank

Sfruttando la tecnica della pec “quasi” uguale devi sapere che nel maggio 2018, sono state raggirate un centinaio di persone, rubando un 1.200.000 € in due mesi.

La “banda” era un’organizzazione di cinque criminali italiani, che poi sono stati identificati.

Ecco che serve quindi molta attenzione anche quando si ha a che fare con le pec, non dare mai nulla per scontato.

Ecco le migliori difese contro il Phishing: le 10 Migliori Soluzioni

1- Verifica Scrupolosa del Mittente delle Mail

Prima di interagire con un’email, controlla sempre attentamente l’indirizzo del mittente. Gli hacker spesso modificano leggermente gli indirizzi per farli sembrare legittimi, cambiando una lettera o aggiungendo caratteri. Ad esempio, un’email da “info@banca.com” potrebbe essere falsificata come “info@banca-secure.com“.

Prestare attenzione a queste sottigliezze può aiutarti a identificare tentativi di phishing.

2- Fai molta Attenzione agli Errori Ortografici e Grammaticali del Mittente delle Mail

Le email di phishing spesso contengono errori di ortografia o grammatica, frutto di traduzioni automatiche o poca cura nella redazione.

Un’azienda legittima solitamente invia comunicazioni ben scritte; quindi, la presenza di tali errori dovrebbe destare sospetti.

3- Non Fidarti di messaggi con tono allarmistico

Devi sapere che i Pirati Informatici tendono a utilizzare un linguaggio che crea un senso di urgenza o paura, spingendoti sempre ad agire immediatamente, ad esempio affermando che il tuo account sarà bloccato se non rispondi subito ( come nell’esempio delle mail di phishing postato sopra ).

Le organizzazioni affidabili non richiedono informazioni personali in questo modo.

4- Mai Cliccare su Link o Allegati Sospetti

Non devi mai aprire link o allegati inaspettati, soprattutto se provengono da mittenti sconosciuti o sospetti. Questi potrebbero contenere malware o reindirizzarti a siti fraudolenti progettati per rubare e di conseguenza violare le tue informazioni personali.

5- Mantieni il Software Aggiornato

Assicurati sempre che tutti i tuoi dispositivi aziendali abbiano installato gli aggiornamenti più recenti del sistema operativo e delle applicazioni. Gli aggiornamenti spesso includono patch di sicurezza che proteggono da vulnerabilità informatiche sfruttate nei tentativi di phishing.

6- Utilizza Soluzioni Anti-Phishing Affidabili

L’installazione di software di sicurezza informatica con funzionalità anti-phishing può aiutarti a identificare e bloccare tentativi di phishing. Ad esempio, software come watchguard epdr offrono protezione avanzata contro siti web fraudolenti e attacchi di phishing.

7-Proteggi i Tuoi Dati: Non Condividerli su Canali Non Sicuri

Non condividere mai informazioni personali o finanziarie in risposta a email, SMS o telefonate che non hai richiesto. Le organizzazioni affidabili non ti chiederanno mai dati sensibili tramite queste modalità di comunicazione.

8-Abilita l’Autenticazione a Due Fattori (2FA)

Quando e ove possibile, attiva l’autenticazione a due fattori sui tuoi account. Questo aggiunge un ulteriore livello di sicurezza, richiedendo una seconda forma di verifica oltre alla password, rendendo così più difficile per i truffatori informatici accedere ai tuoi account anche se possiedono la tua password.

Adottando queste misure, puoi ridurre significativamente il rischio di cadere vittima di attacchi di phishing e proteggere di conseguenza le tue informazioni personali e finanziarie.

9-Installazione di Software Antivirus e Anti-Malware

I software antivirus e anti-malware sono progettati per rilevare, bloccare ed eliminare software dannosi che potrebbero essere introdotti attraverso attacchi di phishing. È essenziale mantenere questi programmi aggiornati per garantire la protezione contro le minacce più recenti.

10-L’importante Utilizzo di un Firewall Informatico

E’ interessante sapere che i firewall monitorano e controllano il traffico di rete in entrata e in uscita, creando una barriera tra la rete interna sicura e le reti esterne potenzialmente non affidabili.

” Per farti capire meglio: Il firewall è come le solide mura di una città medievale e protegge i tuoi computer e i sistemi informatici interni, mentre i soldati sulle torri ( i sistemi di monitoraggio del firewall ) vigilano costantemente per bloccare i “nemici” ( identificano e bloccano eventuali minacce ) che tentano di entrare. ”

Configurare correttamente i firewall aiuta a prevenire accessi non autorizzati e a bloccare contenuti dannosi prima che raggiungano il sistema dell’utente.

Conclusione: Proteggiti dagli Attacchi di Phishing

Ecco allora che siamo alla fine di questo articolo e vorrei ricapitolarti per bene ciò che ho trattato.

In questo articolo ho esplorato nel dettaglio il significato del phishing, come si manifesta, i rischi che comporta e i consigli pratici per proteggerti.

Avrai capito che il phishing può colpire chiunque, sfruttando tecniche ingannevoli come email fraudolente o siti web falsi, ed è quindi fondamentale imparare a riconoscere i segnali di queste truffe.

Ti ho anche spiegato come avviene un attacco di phishing, quali sono gli errori più comuni da evitare e perché è così importante adottare misure di sicurezza come la verifica delle email e l’uso di sistemi aggiornati.

Ora hai gli strumenti per essere più consapevole e difenderti.

Se però hai dubbi su una possibile email di phishing, o vuoi sapere di più su come proteggere i tuoi dati, contatta pure AllsafeIT.

Io Simone e i miei collaboratori, siamo qui per aiutarti a mantenere la sicurezza informatica della tua azienda al massimo livello e per verificare se, per errore, potresti essere stato vittima di una truffa online.

Non aspettare che sia troppo tardi: la prevenzione è la tua migliore difesa!

Chiama ora per una Consulenza Gratuita

ECCO IL WEBINAR SULLA SICUREZZA INFORMATICA AZIENDALE : IL METODO BLINDATO 👇