Negli ultimi mesi, gli esperti hanno riscontrato numerosi esempi di e-mail truffa e campagne di phishing sofisticate, ma questo non significa che le tattiche tradizionali e semplici siano scomparse. Nelle prime settimane successive alle festività natalizie, il team di Kaspersky ha scoperto una campagna di phishing ancora in corso che imita le e-mail ufficiali di Zoom e Docusign. Questo caso dimostra che, a volte, gli spammer fanno affidamento su pagine di phishing di base, collaudate nel tempo, nella speranza che almeno alcune di esse abbiano successo.
Nella prima ondata, gli autori degli attacchi hanno inviato e-mail che si spacciavano per comunicazioni ufficiali di Docusign a indirizzi aziendali in Medio Oriente, America Latina, Europa occidentale, Russia, Armenia e Azerbaigian; ciascuna e-mail conteneva link di phishing finalizzati al furto delle credenziali.
Poco più di una settimana dopo si è verificata una seconda ondata, che continua a essere attiva ancora oggi. Questa volta, fingendosi notifiche ufficiali di Zoom, le e-mail avvertono gli utenti che i loro account stanno per essere disattivati. La campagna ha utilizzato due semplici esche: link di phishing che reindirizzavano i destinatari a pagine finalizzate al furto delle credenziali e moduli incorporati che richiedevano informazioni personali e dati della carta di credito.
All’11 settembre, nell’ambito di questa campagna sono state individuate oltre mille e-mail di phishing.
Esempi di e-mail di phishing che imitano le comunicazioni ufficiali di Zoom
“Alla luce del ritmo dello sviluppo tecnologico e della diffusione capillare dell’intelligenza artificiale, spesso spieghiamo alle persone come distinguere le e-mail e gli schemi fraudolenti più sofisticati. Tuttavia, vengono ancora utilizzati metodi primitivi e, a volte, proprio questa semplicità può rivelarsi efficace, poiché i dipendenti potrebbero trascurare eventuali segnali di phishing nel mezzo dell’enorme flusso di e-mail in arrivo, mentre i truffatori scelgono brand molto diffusi nell’ambiente aziendale per imitare con successo le comunicazioni autentiche. Anche queste tattiche a bassa tecnologia dovrebbero essere intercettate da soluzioni di sicurezza dedicate, in modo che la sicurezza informatica di un’azienda non dipenda esclusivamente dal fattore umano”, ha commentato Andrey Kovtun, Email Threats Protection Group Manager di Kaspersky.
Per garantire la sicurezza dell’ambiente aziendale, gli esperti di Kaspersky raccomandano di:
· Valutare l’adozione di una soluzione di sicurezza dedicata che protegga le e-mail aziendali dallo spam, dalle infezioni trasmesse via e-mail e da ogni forma di phishing, come ad esempio Kaspersky Security for Mail Server. Questa soluzione contrasta sia i metodi di phishing tradizionali sia quelli più recenti, avvalendosi di tecniche euristiche avanzate in grado di identificare i tentativi di phishing generati dall’intelligenza artificiale.
· Organizzare corsi di formazione sulla sicurezza per i dipendenti, al fine di sensibilizzarli sulle questioni relative alla sicurezza informatica e ridurre il rischio di incidenti causati da errori umani.
· Integrare una soluzione di difesa estesa che combini la protezione dagli attacchi agli endpoint con la mitigazione dei rischi legati al fattore umano. Kasperky Small Office Security Premium è progettato specificamente per le piccole imprese: impedisce al personale di cadere vittima di truffe di phishing, blocca i link dannosi e include una piattaforma integrata di sensibilizzazione alla sicurezza che forma i dipendenti.
· Informare regolarmente i dipendenti sulle potenziali minacce informatiche, illustrare le caratteristiche principali di un messaggio dannoso e sottolineare che il phishing può presentarsi sotto forma di e-mail ufficiali.
· Condurre campagne di phishing controllate per mettere alla prova la vigilanza dei dipendenti e individuare i gruppi ad alto rischio.
· Implementare l’autenticazione a più fattori (MFA) per tutti gli account di posta elettronica, in particolare per gli utenti con privilegi, e utilizzare, ove possibile, opzioni che non richiedono password (ad esempio, token o notifiche push su dispositivi mobili).
