Riconoscere i pericoli delle email e i metodi di social engineering

Negli ultimi anni, la complessità delle tattiche utilizzate per sferrare attacchi informatici e perpetrare frodi si è notevolmente evoluta. In passato, i truffatori sono riusciti a penetrare negli account di posta elettronica per tentare di indovinare le password di accesso ai servizi bancari online. Di recente, sono stati utilizzati metodi diversi, come il trasferimento, tramite portabilità, delle chiamate in entrata ai numeri di cellulare delle vittime su dispositivi controllati dai truffatori e l’accesso ai computer tramite truffe di accesso remoto, che mettono a rischio tutti i dati riservati della vittima, non solo quelli bancari. E con l’ascesa dell’intelligenza artificiale (IA), gli attacchi stanno diventando più complessi, subdoli e difficili da individuare.

Riconoscere i diversi tipi di minacce di social engineering tramite email:

1. Phishing via email: i truffatori cercano di indurre gli utenti a rispondere o a fare clic su un link contenuto in un’email che all’apparenza sembra legittima. Le email di phishing possono contenere un software dannoso (malware) o tentare di convincere il destinatario a condividere informazioni sensibili come dati riservati o le credenziali di accesso a un account. Lo spear phishing, una forma più mirata di phishing, può utilizzare le informazioni raccolte online o tramite social media per rendere più credibili l’email e la richiesta in essa contenuta.
2. Spoofing dell’email: i truffatori imitano (spoofing) un’email per indurre a pensare i destinatari che l’email ricevuta provenga da una fonte nota e attendibile. Questo può essere fatto modificando l’intestazione di un’email dannosa per farsi passare come mittente affidabile. Ad esempio, il dominio @deancoLLC.com può apparire simile a quello di un fornitore noto @cleancoLLC.com. In modo analogo, un truffatore può copiare il logo di un’azienda nota per indurre il destinatario a credere che si tratti di un’email credibile.
3. Compromissione dell’account email: i truffatori utilizzano il nome utente e la password validi di una vittima per accedere al suo account e inviare, ricevere e visualizzare le sue email. Con la compromissione di un account email, puntano a prendere informazioni (ad esempio dettagli su transazioni finanziarie imminenti) o a manipolare un bonifico bancario a proprio favore.
4. Phishing vocale (vishing): i truffatori falsificano o mascherano l’ID di chi chiama per far sembrare che la telefonata provenga da un contatto noto o legittimo e farsi passare per interlocutori autentici. Con il vishing, inducono le vittime a fornire informazioni personali o finanziarie.
5. Phishing tramite SMS (SMiShing): i truffatori falsificano o mascherano il numero di telefono del mittente per far sembrare che il messaggio provenga da un contatto noto o legittimo e farlo apparire autentico. Con lo SMiShing, i criminali perpetrano il phishing sugli utenti tramite SMS per indurli a fare clic su un link o a chiamare il numero di telefono indicato e a rivelare informazioni personali o finanziarie.

Quali azioni intraprendere

Per i privati

Le email di phishing sono riconoscibili perché contengono indizi, come errori grammaticali e ortografici, toni pressanti, collegamenti ipertestuali o allegati, loghi falsi, indirizzi
email vaghi e informazioni di contatto assenti o ambigue.

1. Non commettere l’errore di credere che una richiesta sia autentica solo perché il richiedente conosce informazioni su di noi o sulla nostra azienda.
2. Non chiamare numeri sconosciuti. Utilizzare sempre i numeri di telefono riportati sulla fattura o sul sito web dell’azienda.
3. Confermare l’identità del richiedente tramite un metodo alternativo verificato e controllare l’indirizzo email: i truffatori utilizzano spesso indirizzi email falsificati per inviare richieste che sembrano legittime.
4. Diffidare dei link o degli allegati inviati tramite email o SMS.
5. Limitare le informazioni pubblicate sui social media. Ogni account è una fonte di informazioni per gli hacker che vogliono raccogliere dati su di noi.
6. Creare password complesse e sicure, modificarle spesso e non condividerle mai. Utilizzare l’autenticazione a più fattori per una maggiore sicurezza.
7. Aggiornare i sistemi operativi e il software antivirus sui computer e sui dispositivi mobili alla versione più recente non appena disponibile.
8.  Crittografare le informazioni sensibili come i numeri di conto, i dati fiscali o altre informazioni personali prima di inviarle per email.

Per le aziende

1. Sensibilizzare i dipendenti sulle minacce del panorama delle frodi e sulle azioni che si possono intraprendere per mitigare i rischi. Valutare la possibilità di implementare un programma di sensibilizzazione sulle frodi. 
2. Implementare una politica sui social media rivolta ai dipendenti per impedire che informazioni di importanza critica sul personale con responsabilità speciali e relativi ruoli siano accessibili al pubblico.
3. Se necessario, utilizzare soluzioni o filtri aggiuntivi per ridurre lo spam e il rischio che email dannose finiscano nella casella di posta in arrivo dei dipendenti.
4. Implementare i protocolli di autenticazione email Sender Policy Framework (SPF), Domain Keys Identified Mail (DKIM) e Domain-Based Message Authentications, Reporting and Conformance (DMARC) per migliorare in modo drastico l’autenticità delle email inviate e ricevute dall’organizzazione.
5. Utilizzare un servizio di filtraggio Internet proxy per impedire ai dipendenti di visitare pagine Web e link potenzialmente dannosi, contenuti nelle email di spam.

Se si ritiene di essere stati vittime di un attacco di social engineering o che le proprie credenziali di accesso siano state compromesse, è necessario contattare immediatamente il proprio team J.P. Morgan.