La stagione più spaventosa dell'anno è arrivata. Ma mentre siamo impegnati a scolpire zucche, indossare cappelli da strega e appendere scheletri fosforescenti, qualcosa di ben più sinistro si nasconde nell'ombra. La temuta email di phishing.
I criminali informatici non si prendono mai una pausa dall'inondare le caselle di posta dei consumatori con email false, e probabilmente useranno anche questa festività spettrale e l'aumento delle vendite legate a Halloween come un'ulteriore occasione per sfornare truffe di phishing verso vittime ignare.
Quindi, per aiutarti a evitare spaventosi scenari da truffatore questo Halloween e mantenere al sicuro i tuoi dati personali, il conto in banca, la carta di credito e i tuoi dispositivi, ecco alcuni consigli su cosa non abboccare nelle email di phishing durante questa notte di Ognissanti.
I criminali informatici possono indossare costumi convincenti
Tutti sanno che i domini imitati in modo grossolano (ad esempio face-bo0k.com) sono sospetti, ma un'email che proviene da un indirizzo corrispondente esattamente al dominio di un'azienda è sempre sicura, giusto? Sbagliato.
L'impersonificazione esatta del dominio – quando un criminale falsifica il dominio di un'azienda e invia email fraudolente fingendo di essere quell'azienda – è responsabile di una percentuale spaventosamente alta di attacchi di phishing riusciti. E le aziende sono completamente esposte a questo tipo di travestimento criminale, a meno che non abbiano in atto una solida policy DMARC. Se configurato completamente, DMARC (Domain-Based Message Authentication, Reporting, & Conformance) è il solo protocollo di autenticazione email in grado di bloccare l'impersonificazione esatta del dominio.
Ma, in modo terrificante, a maggio 2021 solo il 6% dei principali rivenditori globali era completamente conforme a DMARC, il che significa che il restante 94% potrebbe essere impersonato in qualsiasi momento, e un'email di phishing dal loro dominio potrebbe presto insinuarsi nella tua casella di posta.
Quindi non presumere che un'email sia legittima solo perché proviene dal dominio esatto di un'azienda. Se non sei sicuro, è meglio segnalare l'email al tuo team di sicurezza. Puoi anche verificare se un'azienda è conforme a DMARC qui.
E se sei preoccupato che il tuo indirizzo email personale venga impersonato, non devi esserlo. DMARC è stato ampiamente adottato dalla maggior parte dei provider di posta (inclusi Google, Yahoo e Microsoft), il che significa che la maggior parte delle caselle di posta dei consumatori a livello globale è protetta.
Attenzione! Non cliccare su link o allegati sospetti
In termini di consigli su come individuare le email di phishing, questo è un classico ma sempre valido. Gli attacchi di phishing stanno diventando più sofisticati, con molti truffatori che usano l'"ingegneria sociale" e lo "spear phishing" per convincere le vittime ad abboccare. Ma la maggior parte delle email di phishing utilizza ancora un link fasullo o un file dannoso per accedere a informazioni private o denaro. In caso di dubbio, non cliccare e segnala immediatamente l'email al tuo team di sicurezza. Se si tratta di un'email indirizzata al tuo indirizzo personale, cerca di trovare un altro modo per accedere alle informazioni condivise nell'email, ad esempio navigando direttamente sulla homepage dell'azienda e procedendo da lì.
Vale la pena ricordare che gli scanner di file basati su regole tradizionali e le tecnologie di rilevamento dello spam possono fare solo fino a un certo punto per impedire che le mele marce finiscano nella tua casella di posta. Quindi la tua azienda dovrebbe anche prevedere una formazione sulla sicurezza e – idealmente – una protezione avanzata dalle minacce per aiutare a evitare che i dipendenti vengano ingannati e clicchino su contenuti dannosi.
Doppio, doppio, fatica e guai: assicurati di controllare due volte l'indirizzo del mittente
Mentre molti attaccanti falsificano domini esatti per inviare le loro truffe di phishing, ci sono ancora quelli che si affidano ai "domini simili" per colpire le vittime. Questa forma di impersonificazione via email prevede l'utilizzo di un marchio noto o affidabile (ad esempio facebook.com) modificandolo leggermente per ingannare il destinatario e farlo cliccare (ad esempio facebo0k.com). Vedi la differenza? A volte è più difficile individuarla di quanto si possa pensare, soprattutto se si è di fretta.
Per evitare di cadere vittima delle grinfie di questi astuti truffatori questo Halloween, ti raccomandiamo di controllare sempre con attenzione il nome di dominio del mittente e l'indirizzo "da". Se sembrano sospetti, è probabilmente perché lo sono.
È un tranello?
La compromissione delle email aziendali (business email compromise) è molto popolare tra i criminali informatici. Questo accade quando l'email finge di provenire dal tuo CEO, da un membro senior dello staff o da qualcun altro di rilievo nella tua azienda. Questi messaggi saranno spesso pervasi da un senso di urgenza. Anche in questo caso, questo tipo di truffa è più efficace quando l'azienda presa di mira non è protetta da DMARC, il che significa che l'attaccante può impersonare il suo dominio esatto ed è molto difficile per la vittima capire che si tratta di un falso.
È sorprendente quante persone caschino in un'email che sostiene di provenire dal proprio "CEO" o dalla propria "banca" nel calore del momento. Ma quando ricevi una di queste email inaspettatamente, è importante fare un passo indietro e chiedersi se effettivamente ha senso dato il contesto. Ha a che fare con qualche conversazione che hai avuto di recente? Il presunto mittente parla solitamente in questo modo? Coincide con qualcosa che sta già accadendo in azienda? E perché tanta fretta?
Se non sei sicuro, è una buona idea verificare direttamente con la persona da cui l'email dovrebbe provenire, di persona o per telefono – e poi segnalarla al tuo team IT se non è stata effettivamente inviata da loro.
Lascialo fare agli esperti
Speriamo di averti fornito alcuni consigli utili su come rimanere al sicuro nella tua casella di posta questo Halloween. Ma in Red Sift, non crediamo che debba essere solo compito del singolo individuo individuare i segnali di un attacco di phishing, quando la tecnologia può contribuire a svolgere questo compito meglio. Scopri di più sui nostri prodotti per la sicurezza email e su cosa facciamo qui sotto.
