Spear phishing: come funziona un attacco mirato e come difendersi

Lo spear phishing è un attacco costruito su una persona specifica. Non viene inviato a migliaia di indirizzi nella speranza che qualcuno risponda: viene scritto per un destinatario, dopo averne studiato il ruolo, le abitudini e i rapporti di lavoro.

La differenza rispetto al phishing di massa non è di grado. Nel phishing di massa l’attaccante non sa a chi sta scrivendo; nello spear phishing lo sa meglio di quanto molti colleghi lo sappiano. È la ragione per cui i segnali di riconoscimento su cui si basa la prudenza abituale non si presentano.

1. Cosa lo distingue dal phishing di massa
2. Come si svolge un attacco
3. Perché oggi è più difficile riconoscerlo
4. Chi viene preso di mira in azienda
5. I controlli che riducono l’esposizione
6. Cosa fare se ne ricevete uno

Cosa lo distingue dal phishing di massa

Il termine inglese *spear* significa arpione, e la metafora regge: al posto della rete gettata nel mucchio, un colpo indirizzato a un bersaglio scelto.

La riga sui filtri è quella che determina tutto il resto. Le protezioni della posta funzionano su base statistica: cercano ciò che si ripete. Un messaggio inviato una volta sola, scritto in italiano corretto e proveniente da un dominio senza cattiva reputazione non offre loro nulla su cui lavorare, e arriva.

Come si svolge un attacco

Lo schema si compone di quattro fasi, e conoscerne l’ordine è utile perché ciascuna offre un’occasione di intervento diversa.

La prima fase è la **raccolta di informazioni**, e avviene interamente su fonti pubbliche. Il sito aziendale indica ruoli e responsabilità, i profili professionali indicano a chi ciascuno riporta, i comunicati indicano quali progetti sono in corso e con quali partner. Nessuna di queste informazioni è riservata, ed è proprio questo che rende la fase invisibile: non c’è nulla da rilevare, perché non viene toccato nessun sistema.

La seconda è la **costruzione del pretesto**, cioè la scelta di una richiesta che per quel destinatario sia ordinaria. A chi gestisce fatture si chiede di verificare una fattura; a chi amministra i sistemi si chiede di ripristinare un accesso. La richiesta più efficace non è quella insolita: è quella indistinguibile dal lavoro di ogni giorno.

La terza è il **recapito**, che segue il canale più credibile per quel pretesto. Può essere la posta, ma sempre più spesso è un canale dove i filtri non arrivano: un messaggio su una piattaforma professionale, un SMS, una chiamata. Nel caso dei messaggi fraudolenti ricevuti dai clienti di Booking.com il canale era la chat ufficiale della piattaforma, la stessa con cui la struttura comunica legittimamente con l’ospite.

La quarta è l’**azione richiesta**, ed è l’unica fase in cui l’attacco lascia una traccia tecnica. Può essere l’inserimento di credenziali su una pagina che riproduce quella autentica, l’apertura di un allegato, o l’esecuzione di un’operazione: una disposizione di pagamento, una modifica di coordinate bancarie, l’approvazione di una richiesta di accesso.

Perché oggi è più difficile riconoscerlo

Fino a pochi anni fa la preparazione di un messaggio mirato richiedeva tempo, e quel tempo limitava il numero di bersagli che valeva la pena curare uno per uno. Oggi la scrittura di un testo credibile nella lingua del destinatario, con il registro professionale corretto, ha un costo prossimo allo zero.

Le conseguenze sono due. La personalizzazione si applica ora anche a campagne estese, quindi la separazione fra messaggio di massa e messaggio mirato si è assottigliata. E i segnali linguistici su cui si basava la formazione — errori di grammatica, sintassi improbabile, traduzioni approssimative — non sono più presenti.

Insegnare a cercare quei segnali oggi produce un effetto peggiore dell’assenza di formazione, perché istruisce le persone a fidarsi di un messaggio ben scritto. Su questo punto e sulle contromisure che ne conseguono abbiamo scritto un approfondimento sul phishing in azienda.

Il canale, poi, non è più soltanto testuale. La riproduzione della voce di una persona nota richiede un campione breve, e una telefonata con la voce di un dirigente supera qualsiasi verifica basata sul riconoscimento.

Chi viene preso di mira in azienda

Il bersaglio non viene scelto per importanza, ma per utilità. Le tre categorie più esposte sono anche quelle che nelle aziende ricevono meno attenzione.

Chi ha accesso ai pagamenti, perché una disposizione eseguita non si annulla. Chi amministra i sistemi, perché le sue credenziali valgono più di qualsiasi documento. E l’assistenza interna, perché chi può reimpostare le credenziali di un utente è un obiettivo più utile dell’utente stesso: da lì passa la richiesta di reset che apre un account senza forzare nulla.

Quando il bersaglio è al vertice dell’organizzazione, e la richiesta riguarda una disposizione di pagamento, si parla di whaling. Il meccanismo è lo stesso, cambia il valore della singola operazione.

I controlli che riducono l’esposizione

Poiché tre fasi su quattro non sono rilevabili, i controlli utili agiscono sulla quarta: rendono inefficace l’azione anche quando la richiesta è stata creduta.

Le protezioni sul vostro dominio contro la falsificazione del mittente impediscono che un messaggio arrivi con il vostro indirizzo. Vanno però verificate in modalità attiva: molte aziende le hanno configurate in sola osservazione, dove gli abusi vengono rilevati ma non bloccati.

L’autenticazione resistente al phishing rende inutili credenziali sottratte, perché il fattore di verifica è legato al dominio legittimo. Il limite ricorrente è l’adozione parziale: attiva sugli accessi dall’esterno e assente sugli account tecnici, dove qualcuno ha concesso un’esenzione mai più rivista.

Sulle disposizioni di pagamento serve una procedura di verifica su canale diverso da quello della richiesta, senza deroghe per urgenza o per il rango di chi la firma. La deroga concessa a un dirigente è esattamente la condizione che l’attacco cerca di produrre.

E resta la segmentazione della rete: quello che accade dopo l’inserimento di credenziali dipende dallo spazio di manovra che l’attaccante trova, non dall’inserimento in sé.

Cosa fare se ne ricevete uno

Per un privato la risposta è semplice: non seguire il collegamento, non aprire l’allegato, verificare la richiesta contattando il mittente su un recapito già noto.

In azienda la prima azione è diversa, ed è il contrario di quella istintiva. Il messaggio non va cancellato: va conservato e segnalato. Contiene le informazioni che servono a capire se altri colleghi lo hanno ricevuto, a bloccare il dominio di origine e a ricostruire l’accaduto se qualcuno ha risposto. Cancellarlo elimina l’unica evidenza disponibile.

Se una credenziale è stata inserita, l’ordine è questo: modifica della password, revoca delle sessioni attive, verifica degli accessi effettuati nelle ore successive, e controllo delle regole di inoltro sulla casella — una regola di inoltro automatico è ciò che consente a un attaccante di continuare a leggere la posta anche dopo il cambio password.

Se è stata eseguita un’operazione, il tempo conta: le disposizioni di pagamento hanno finestre di richiamo brevi e la banca va contattata subito.