Phishing, smishing e vishing: differenze e come difendersi

Tre differenti metodi con cui i criminali tentano di impossessarsi delle informazioni sensibili degli utenti.

Le truffe sono sempre esistite sin dagli albori della società. Da sempre adottate come mezzo per aggirare determinate norme e regole, e per carpire denaro e informazioni sensibili dai più deboli, queste hanno conosciuto una notevole evoluzione e rapida diffusione a seguito dell’esplosione di internet. Con la diffusione degli smartphone e dei social network, tre metodologie di truffa informatica hanno iniziato a farla da padrone.

Stiamo parlando di phishing, smishing e vishing: tre metodologie impiegate dai cybercriminali per colpire gli utenti meno attenti e più impulsivi. Ma qual è la vera differenza tra loro? Scopriamolo insieme.

1. Cos’è il Phishing?
2. Come difendersi dal Phishing?
3. Cos’è lo Smishing?
4. Come difendersi dallo Smishing?
5. Cos’è il Vishing?
6. Come difendersi dal Vishing?

Cos’è il Phishing?

Il phishing è la più diffusa e conosciuta truffa a livello informatico, nonché una concreta minaccia per il mondo odierno.

A conti fatti si tratta di una forma di adescamento, che fa leva su diverse tattiche di ingegneria sociale atte a far cadere nella trappola del cybercriminale l’incauto utente. Il metodo più diffuso per la sua messa in atto è l’e-mail.

Solitamente il mittente risulta essere un’organizzazione, o un ente affidabile, come la nostra banca, o lo stesso provider di posta. Nel corpo dell’e-mail è presente un messaggio che informa di un pericolo per la sicurezza dell’account e che invita a cliccare un link sottostante.

L’incauto utente, preso alla sprovvista, clicca e regala al malintenzionato le credenziali di accesso al suo account. Si tratta di una tattica subdola e difficile da evitare se non si ha un minimo di dimestichezza informatica. Questo perché il criminale riproduce fedelmente la pagina di un servizio autentico, come le Poste o un social network, in modo da indurre le vittime ad accedervi mediante il link fornito e inserire qui i propri dati personali.

Come difendersi dal Phishing?

Di seguito sono riportati alcuni consigli su come difendersi efficacemente.

Verificare mittente e indirizzo, sapendo cosa non provano

Un indirizzo che sembra autentico non è una garanzia: falsificare il mittente visualizzato è semplice, e i tentativi più riusciti arrivano da caselle di posta reali che sono state compromesse. In quel caso il dominio è corretto, i controlli tecnici non segnalano nulla e il messaggio può inserirsi in una conversazione già in corso.

Il controllo del mittente serve quindi a scartare i tentativi grossolani, non a validare quelli credibili. Su cosa autenticano davvero i meccanismi di protezione del dominio, e cosa invece non coprono, il quadro è nell’articolo sul malspam.

Usare connessioni sicure

Mai sfruttare il Wi-Fi libero messo a disposizione da luoghi e strutture che visitiamo. Questo sia per evitare di cadere vittime di un attacco Evil Twin, che di rendere pubbliche le proprie credenziali.

Non condividere i dati

Bisogna tenere a mente che nessuna compagnia chiederebbe mai dati sensibili di un proprio cliente via e-mail, in quanto ne è già in possesso. Per questo motivo non si deve mai condividere alcuna informazione del genere con una terza parte.

Cos’è lo Smishing?

Per Smishing si definisce una variante del phishing messa in atto mediante messaggi di testo: i classici SMS. Difatti il termine deriva proprio dall’unione di SMS e phishing.

Le vittime ricevono un messaggio sul proprio smartphone da parte di un truffatore, che si finge qualcun altro, in modo da indurle ad aprire un link malevolo fornito con lo stesso. Quel link può portare a un malware che si spaccia per un’applicazione autentica e raccoglie le credenziali inserite, oppure a un sito costruito ad hoc che replica il portale bancario della vittima, dove questa inserirà inconsapevolmente i propri dati di accesso.

Ciò semplifica notevolmente il furto di informazioni sensibili e risulta oggi una tattica estremamente efficace, poiché si vive in un’era in cui il lavoro si svolge quasi interamente tramite lo smartphone personale. Tendenza che prende il nome di BYOD (Bring Your Own Device).

Tra gli esempi più diffusi di smishing si ricordano:

• Avvisi di consegna o giacenza di un pacco
• Servizi finanziari
• Conferme di ordini online e fatture
• Omaggi da parte di aziende
• Assistenza clienti

Come difendersi dallo Smishing?

Per proteggersi da questa truffa si deve sempre prestare attenzione a chi invia l’SMS, agendo di conseguenza con molta prudenza. Di seguito sono riportati alcuni accorgimenti da adottare.

Non rispondere

Poiché si fa leva sulla curiosità dell’utente, la soluzione migliore è sempre quella di non rispondere direttamente a un SMS considerato sospetto, in quanto anche la semplice risposta “STOP” per l’annullamento di un’iscrizione rappresenta un veicolo per la sottrazione di informazioni sensibili.

Ignorare l’urgenza

Nonostante a prima vista possa apparire come un problema con priorità massima, qualsiasi messaggio va sempre interpretato, a maggior ragione se si tratta di offerte a tempo limitato, o aggiornamenti di termini e condizioni di un determinato provider. La soluzione migliore è diffidare.

Contatto diretto con l’ente

Se si riceve un SMS da parte della propria banca, o un altro ente finanziario, è bene chiamare direttamente l’ente, in modo da dissolvere ogni dubbio. Inoltre, si deve sottolineare come le istituzioni legittime non richiedano mai le informazioni di accesso al proprio utente, specialmente tramite messaggio.

Segnalare

Se il numero da cui si viene contattati risulta sospetto, o sconosciuto, è bene bloccarlo e segnalarlo per phishing in maniera tempestiva.

Cos’è il Vishing?

Il Vishing rappresenta un’evoluzione diretta del phishing, in quanto applica lo stesso principio della frode, ma per mezzo di una telefonata. Il termine è infatti la combinazione delle parole voice e phishing.

I malintenzionati contattano la loro vittima mediante una telefonata diretta, spacciandosi talvolta per operatori di banca o per esperti di sicurezza di una rinomata azienda. In tal modo dissimulano dei disservizi, o parlano direttamente di tentativi di accesso anomali rilevati dal telefono della vittima, giungendo perfino a violazioni contrattuali stipulate con l’ente che fingono di rappresentare. Tutto questo ha un solo scopo: indurre la vittima a rivelare informazioni sensibili.

Nel momento in cui i dati vengono rivelati mediante la telefonata, i malintenzionati possono agire di conseguenza, infiltrandosi negli account bancari della vittima e sottraendo ingenti somme di denaro. La strategia risulta estremamente efficace, in quanto fa leva sul cogliere di sorpresa l’ignara vittima e provocarle uno stato di tensione, momento in cui questa risulta più vulnerabile.

Una forma complessa del vishing prevede l’invio di un messaggio contenente un codice, che il truffatore chiede all’utente di aprire e leggere ad alta voce. Un’altra prevede la richiesta di scaricare una determinata applicazione sullo smartphone, descritta dal malintenzionato come essenziale per la protezione dei propri dati. In entrambi i casi lo scopo è carpire credenziali di accesso e dati sensibili.

Nelle campagne più recenti il vishing si presenta anche in forma automatizzata, con voce preregistrata che contatta interi elenchi telefonici. La variante che preoccupa di più è però un’altra: la clonazione vocale. Con pochi secondi di audio — reperibili da un video pubblico, da un webinar, da un messaggio vocale — è possibile generare una voce riconoscibile, e questo cambia il vishing in ambito aziendale: la telefonata non arriva più da uno sconosciuto che si finge il responsabile amministrativo, ma con la voce del responsabile amministrativo.

Contro questo scenario nessun controllo tecnico sul numero chiamante è sufficiente. Regge solo una procedura interna: le disposizioni di pagamento e le richieste di credenziali si confermano su un canale diverso da quello con cui sono arrivate, sempre, anche quando la voce è quella giusta.

Come difendersi dal Vishing?

Di seguito sono riportati alcuni accorgimenti a cui prestare attenzione nel caso in cui si dovesse ricevere una telefonata sospetta.

Numero da cui si viene contattati

Se si tratta di aziende, imprese o determinati enti, viene utilizzato un numero fisso con prefisso italiano, immediatamente visibile sullo schermo. Ciò non esclude in automatico di essere al sicuro, perché un truffatore potrebbe comunque trovarsi dall’altro capo.

Molti smartphone integrano un filtro che segnala i numeri riportati come indesiderati da altri utenti. È un aiuto, con due limiti da conoscere: funziona solo su numeri già segnalati da altri, e le applicazioni di terze parti che offrono questa funzione spesso richiedono l’accesso all’intera rubrica — una cessione di dati che vale la pena valutare prima di installarle, soprattutto su un dispositivo usato anche per lavoro.

Contenuto della richiesta, non tono della voce

Il tono non è un indicatore affidabile: chi opera con metodo adotta il registro che funziona meglio, formale o cordiale a seconda del bersaglio. Il segnale attendibile riguarda cosa viene chiesto: un istituto bancario conosce già i dati del proprio cliente, quindi nessun operatore chiederà mai password, codici di verifica o credenziali di accesso al telefono.

La regola pratica che regge in tutti i casi è chiudere la chiamata e richiamare l’ente al numero riportato sul sito ufficiale o sul retro della carta. Se dall’altra parte c’era un operatore autentico, la telefonata si ricompone senza alcun danno.

Cosa hanno in comune

Le tre tecniche cambiano il canale ma condividono il motore: fanno leva su fiducia, urgenza e contesto credibile, cioè su meccanismi che non si correggono con un aggiornamento software. Per questo continuano a funzionare anche dove la protezione tecnica è buona.

Quello che si può fare è ridurre lo spazio in cui operano, e si lavora su tre fronti. Servono procedure che non dipendano dalla vigilanza del singolo, come la conferma su canale alternativo per qualunque richiesta di pagamento o di credenziali. Serve formazione misurata, che verifichi il comportamento anziché limitarsi all’attestato. E serve ridurre le informazioni aziendali pubblicamente disponibili, che sono la materia prima con cui questi messaggi vengono resi credibili — il tema è trattato nell’articolo sull’open source intelligence.

Il terzo punto è quello che le aziende sottovalutano di più, perché sembra riguardare la comunicazione e invece riguarda la sicurezza.