Domande frequenti sul phishing
Che cos'è un'e-mail di phishing?
Un'e-mail di phishing è un'e-mail che finge di provenire da un'organizzazione fidata e tenta di ingannare il destinatario per fargli rivelare informazioni sensibili come password, numeri di conto bancario o dettagli della carta di credito. Le e-mail di phishing possono anche tentare di convincere gli utenti a cliccare su un link che scaricherà un malware sul loro computer.
Come posso riconoscere un'e-mail di phishing?
Individuare un'e-mail di phishing richiede un occhio attento ai dettagli che non tornano. Ecco alcuni segnali a cui prestare attenzione:
- Indirizzi e-mail di mittenti sospetti: le e-mail di phishing provengono spesso da indirizzi che imitano da vicino quelli legittimi, ma che presentano leggere variazioni, come una lettera in più o un dominio diverso.
- Saluti generici: le e-mail di phishing spesso utilizzano saluti generici come "Gentile Cliente" invece di rivolgersi al destinatario per nome.
- Linguaggio urgente o minaccioso: le e-mail che creano un senso di urgenza, avvertendola di un problema con l'account o di una violazione della sicurezza, sono spesso progettate per farla agire rapidamente senza riflettere.
- Errori grammaticali e di ortografia: molte e-mail di phishing contengono evidenti errori ortografici e grammaticali che le organizzazioni legittime non avrebbero nelle loro comunicazioni.
- Link o allegati sospetti: Passi sempre il mouse sui link prima di cliccarli per vedere dove portano effettivamente, ed eviti di scaricare allegati inaspettati.
Come posso bloccare un'e-mail di phishing?
Anche con un servizio di sicurezza e-mail di terze parti, gli utenti devono rimanere proattivi per bloccare efficacemente le e-mail di phishing. Ecco come fare:
- Rimanga vigile: Sia sempre prudente quando si tratta di e-mail inaspettate, soprattutto quelle che chiedono informazioni personali o finanziarie. Verifichi la presenza di bandiere rosse, come un linguaggio insolito, link sospetti o richieste di azioni urgenti.
- Verifichi i dettagli del mittente: Se un'e-mail sembra sospetta, non si basi solo sul nome visualizzato. Controlli l'indirizzo e-mail completo e, in caso di dubbio, contatti il mittente attraverso un altro canale per verificare la legittimità del messaggio.
- Linguaggio urgente o minaccioso: Le e-mail che creano un senso di urgenza, avvertendola di un problema con l'account o di una violazione della sicurezza, sono spesso progettate per indurla ad agire rapidamente senza riflettere.
- Eviti di cliccare sui link o di scaricare gli allegati: Non clicchi mai sui link o scarichi allegati da e-mail sconosciute o inaspettate, anche se sembrano legittime. Passi il mouse sui link per visualizzare l'anteprima dell'URL e assicurarsi che conducano a siti affidabili.
- Contrassegnare le e-mail sospette come spam: Se un'e-mail sospetta riesce a superare i suoi filtri, la contrassegni come spam per evitare futuri messaggi da quel mittente. Questo può anche aiutare il suo servizio di sicurezza e-mail ad imparare a rilevare meglio tali e-mail.
- Sfrutti le funzioni avanzate del suo servizio di sicurezza e-mail: Il suo servizio di sicurezza e-mail probabilmente scansiona le minacce di phishing in tempo reale, analizzando i messaggi in arrivo alla ricerca di link pericolosi, allegati dannosi o domini spoofed. Si assicuri che funzioni come la protezione degli URL e la scansione degli allegati siano abilitate per fornire una protezione completa.
- Attivi l'autenticazione a più fattori (MFA): Se lei o la sua organizzazione non ha implementato l'MFA, è un passo fondamentale per proteggersi dal phishing. Anche se le credenziali sono compromesse, l'MFA aggiunge un ulteriore livello di difesa, impedendo l'accesso non autorizzato agli account.
- Mantenga il software aggiornato: Si assicuri che il suo software di sicurezza, i browser e i client di posta elettronica siano aggiornati. Molti tentativi di phishing sfruttano le vulnerabilità dei software obsoleti, quindi gli aggiornamenti regolari aiutano a colmare queste lacune di sicurezza.
- Implementare il DMARC (Domain-based Message Authentication, Reporting & Conformance): Se la sua azienda gestisce le e-mail, l'impostazione di politiche DMARC aiuterà a prevenire i tentativi di spoofing e di phishing, assicurando che solo le e-mail legittime siano inviate dal suo dominio.
Chi sono gli obiettivi degli attacchi di phishing?
Gli attacchi di phishing possono colpire chiunque, ma ci sono gruppi specifici che sono più vulnerabili:
- Gli individui: Gli utenti comuni sono bersagli comuni, soprattutto quelli che possono avere meno dimestichezza nel riconoscere i tentativi di phishing.
- Aziende: Le aziende, in particolare quelle che gestiscono informazioni sensibili o transazioni finanziarie, sono spesso bersaglio di attacchi di spear phishing e whale phishing.
- Dirigenti: I dirigenti di alto livello, in particolare gli amministratori delegati e i CFO, sono gli obiettivi principali degli attacchi di "whaling" a causa del loro accesso a grandi patrimoni finanziari e a informazioni sensibili.
- Dipendenti di reparti sensibili: I dipendenti che lavorano nelle risorse umane, nella finanza o nell'IT sono spesso presi di mira perché gestiscono informazioni critiche come le buste paga, i dati personali o le credenziali di accesso.
- Clienti di istituzioni finanziarie: Le banche e le piattaforme di pagamento vengono comunemente impersonate nelle e-mail di phishing che mirano a rubare i dati del loro conto.
Che cos'è un virus di phishing?
Un virus di phishing è una forma di malware che viene installato sul computer dell'utente come parte di un attacco di phishing. Il phishing è un tipo di crimine informatico in cui gli aggressori si fingono un'azienda fidata o legittima per ingannare una persona e indurla a condividere informazioni come numeri di conto corrente, dettagli della carta di credito, credenziali di accesso e altri dati sensibili, e/o a scaricare un virus di phishing sul computer dell'utente.
Perché gli attacchi di phishing hanno successo?
Gli attacchi di phishing di successo in genere si basano su diversi fattori:
- Fiducia: Sembrando provenire da una fonte che l'utente conosce e di cui si fida, gli attacchi di phishing aggirano qualsiasi sospetto sulle e-mail in arrivo.
- Paura: molti attacchi di phishing di successo inducono gli utenti a cliccare su un link facendo loro credere che c'è un problema che deve essere risolto rapidamente o che ci saranno delle conseguenze da parte di un'autorità superiore o di un superiore se non rispondono rapidamente.
- Mancanza di tempo: Gli aggressori sanno che la maggior parte degli utenti ha poco tempo a disposizione e che vuole leggere e rispondere a un'e-mail il più rapidamente possibile, il che rende più probabile che non ne esamini attentamente il contenuto.
- Volume: È molto economico organizzare attacchi di phishing inviando grandi volumi di e-mail, e gli aggressori hanno bisogno solo di poche persone che "abbocchino" per far sì che ne valga la pena.
- Gli attacchi di phishing sono sempre più sofisticati e difficili da individuare: Gli attacchi avanzati come lo spear-phishing e il whaling utilizzano tecniche di ingegneria sociale per convincere i destinatari che un'e-mail è legittima.
Come posso prevenire il phishing?
La prevenzione degli attacchi di phishing richiede un approccio alla cybersecurity a più livelli.
- Implementare una formazione di sensibilizzazione alla sicurezza per gli utenti, per difendersi dall'errore umano - una delle cause principali delle violazioni della sicurezza - aiutando gli utenti a individuare i segni del phishing.
- Implementare l'autenticazione DMARC per bloccare le e-mail che utilizzano il domain spoofing e il brand hijacking, che sono comuni nel phishing.
- Implementa programmi anti-phishing e anti-malware sui dispositivi endpoint e sulle reti.
- Incoraggi gli utenti a richiedere l'autenticazione a più fattori quando accedono agli account.
Dove devo segnalare il phishing?
Se ritiene di aver ricevuto un'e-mail di phishing, può inoltrarla alla Federal Trade Commission (FTC) all'indirizzo spam@uce.gov. e al Gruppo di Lavoro Anti-Phishing di reportphishing@apwg.org. Può anche segnalare l'attacco alla FTC all'indirizzo ftc.gov/complaint, al suo provider di posta elettronica (ad esempio, Outlook o Gmail) e all'effettiva azienda che l'e-mail sta impersonando.
