il Phishing, che cos’è e come funziona

Il Phishing è uno degli strumenti preferiti dagli hacker per raggiungere i loro scopi truffaldini; comprenderne i meccanismi di base può rivelarsi uno strumento molto utile per evitare di cadere nella trappola di hacker smaliziati.

Abbiamo già parlato in generale, nelle pagine di questo blog, relativamente a cosa sono in generale gli attacchi informatici e perché avvengono. Ma ce un tipo di attacco informatico in particolare che vale la pena di approfondire in dettaglio, poiché è considerato il precursore di gran parte degli attacchi di altro tipo; il Phishing.

gli attacchi cyber di tipo Phishing sono una subdola tecnica messa in pratica da hacker smaliziati che ha lo scopo di pilotare le azioni dell’utente per raggiungere i propri obbiettivi malevoli, attraverso lo sfruttamento del dispositivo dell’utente stesso.

Comprendere il Phishing, che cos’è e come funziona può rivelarsi cruciale per evitare di esporre i propri dispositivi ad attacchi che possono essere devastanti.

Come vedremo tra breve, questa tecnica pone le sue basi non solo in ambiente squisitamente informatico o tecnologico, ma si avvale anche di tecniche di ingegneria sociale e psicologiche per far cadere nella rete l’ignara vittima.

In estrema sintesi, Il Phishing è uno degli strumenti preferiti dagli hacker per raggiungere i loro scopi truffaldini.

Comprendere i meccanismi di base di questo tipo di attacco può rivelarsi una utile arma per evitare di cadere nella rete di hacker smaliziati e rimanere lontano dai guai ed evitare di commettere uno dei più comuni errori di sicurezza informatica.

Le origini e significato del phishing

Il termine phishing è una variante gergale di fishing (dall’inglese: “to fish“, pescare), di etimologia incerta. Nel contesto della pirateria informatica indica (appunto) l’azione di “pescare” utenti incauti, per portarli a compiere azioni mirate e pianificate dal pirata informatico.

L’origine temporale del termine è incerta, nasce intorno agli anni 90 del secolo scorso quanto l’uso della posta elettronica si diffonde al grande pubblico, diventando il principale strumento di comunicazione.

I primi a farne le spese furono gli utenti di AOL (America On Line), i quali venivano bersagliati da messaggi email e messaggi istantanei. Lo sopo di quel bombardamento di messaggi era uno soltanto: indurre gli utenti a rivelare le credenziali di accesso ad AOL.

Da li in poi, truffe e raggiri basate sulla tecnica dl phishing hanno prosperato fino ai giorni nostri acquisendo un livello di popolarità sempre maggiore tra i pirati informatici. Il motivo di tale popolarità è riconducibile alla relativa facilità d’uso, nel reperire i Phishing Kit nel Dark Web; oltre ovviamente alla estrema facilità di catturare prede.

L’immagine che fa venire alla in mente è quella del pescatore con canna da pesca intento a “pescare” le sue prede sull’argine di un fiume. Tuttavia, forse l’immagine più coerente potrebbe invece essere quella di un peschereccio che trascina a rimorchio una rete a strascico; giacché l’hacker non mira ad una preda in particolare. Esso punta piuttosto a raccogliere indiscriminatamente quante più prede possibile.

Quante più prede riesce a catturare nella sua rete, tanto più alta è la probabilità di raggiungere i suoi scopi: adescare gli utenti.

La leva psicologica del phishing

Quand’anche il termine Phishing sembri avere una connotazione alquanto neutra, esso in realtà è sinonimo di qualcosa di più serio di quanto si possa a prima vista intuire.

Dal punto di vista psicologico profondo, questo termine di per sé non evoca particolari scenari apocalittici o situazioni di rischio; esso infatti non sembra innescare alcuna delle classiche reazioni dell’istinto umano al pericolo, di quelle cioè che fanno alzare il livello di attenzione.

Va ricordato però che il phishing è una tecnica subdola che sfrutta astuti trucchi e tranelli direttamente riconducibili proprio alla la psicologia umana ed alle reazioni istintive ed ancestrali a stimoli di varia natura.

Al contrario della connotazione neutra del termine, la tecnica del phishing nella sua essenza mira a provocare emozioni profonde nell’utente, scatenando quindi alcune delle reazioni più primordiali dell’istinto umano di fronte a tali stimoli.

• Paura
• Desiderio
• Curiosità

Il tenore del messaggio che l’hacker mira a generare un’emozione istintiva. Il “trucco” qui sta nel fatto che, il resto del contenuto del messaggio contiene anche la risposta immediata per neutralizzare o soddisfare tale emozione.

Insomma, il messaggio ben studiato e preparato con cura dal malintenzionato, risponde al preciso schema psicologico: «Ti avverto del problema; ti indico la soluzione».

Paura

Sappiamo he la paura è un’emozione primaria di auto-difesa, provocata da una situazione di pericolo, con produzione di adrenalina che ci prepara all’azione.

L’hacker conosce molto bene le reazioni tipiche delle persone di fronte a stimoli che suscitano paura. Egli prepara quindi con cura il suo attacco secondo una precisa strategia: «Ti avverto del grave problema; ti indico la soluzione».

L’hacker lancia un messaggio confezionato a dovere, il cui scopo è di infondere paura nell’utente; sfrutta successivamente questa paura per tentare di sfruttare tali reazioni a proprio vantaggio. Per fare questo, solitamente indica nel messaggio stesso anche la soluzione del problema; che l’ignaro utente è spinto istintivamente a cliccare.

Il tenore del messaggio è molto simile a questo:

Il tuo conto bancario è stato congelato a seguito di numerosi tentativi di accesso errati.

Clicca su questo link per accedere al tuo Online Banking per riattivarlo subito.

È chiaro che nessuna banca al mondo invia ai propri clienti un messaggio del genere. È stato detto e ridetto fino allo sfinimento, eppure qualcuno ancora cade nel tranello.

Desiderio

Così come la paura, anche il desiderio è un potente stimolo per pilotare le reazioni dell’utente. Tuttavia, per quanto riguarda il desiderio ci sono alcune interessanti varianti sul tema.

Si va dal desiderio sessuale, al desiderio di possesso di un bene o di un oggetto alla moda.

Offerta straordinaria riservata esclusivamente a te!

Acquista subito l’ultimo modello dello Smartphone XYX con Android 14 al fantastico prezzo di € 129.99.

Clicca questo link per non lasciarti sfuggire l’affare dell’anno.

In questi casi l’hacker confeziona il messaggio di phishing con una o più immagini suggestive; giacché le immagini sono un mezzo molto potente per per inviare stimoli dritto al sistema nervoso centrale, senza neppure essere elaborati a livello della corteccia cerebrale.

Anche in questo caso il messaggio è confezionato con maestria. Per evitare i cadere nella trappola, sarebbe sufficiente chiedersi: perché uno sconosciuto fa un’offerta così allettante proprio me?

Curiosità

La curiosità è un istinto che nasce dal desiderio di conoscere qualcosa. È un comportamento psicologico che spinge la persona a placare la propria sete di sapere; in special modo in conseguenza di uno stimolo che innesca la curiosità di conoscere di più su un argomento interessante appena accennato.

Questo il Phisher lo sa bene. Sfruttando a dovere proprio la leva della curiosità, confeziona con astuzia i suoi messaggi da inviare “a pioggia” ad una moltitudine di indirizzi di posta elettronica, il cui tenore del messaggio è pressappoco qualcosa di simile a questo:

Complimenti! Sei uno dei dieci fortunati estratti a sorte per ricevere GRATIS un iPhone ultimo modello.

Clicca qui per ritirare il tuo premio.

Il messaggio solitamente è preparato con cura: buona scelta di attraenti immagini dell’oggetto e discreto uso dei colori nel testo. L’obbiettivo è di non lasciarti pensare troppo a ciò che stai per fare, ma di agire subito con un riflesso incondizionato cliccando il link che fa bella mostra di se.

Sarebbe sufficiente riflettere un attimo: perché uno sconosciuto vuole regalarmi qualcosa di valore?

Gli obbiettivi del Phishing

Gli obbiettivi del phishing sono molteplici, non a caso molti sostengono che il Phishing è il Principe degli cyber attacchi.

Quali sono i principali obbiettivi di un attacco phishing?

• Marketing. Vendita di prodotti o servizi non richiesti.
• Privacy. Raccolta di informazioni sensibili, riservate
• Botnet. Compromissione del dispositivo dell’utente per attacchi cyber di livello superiore

Le varie fasi di un attacco Phishing

In taluni utenti, sovente il termine “attacco” evoca un’azione istantanea e fulminea, evocando alla lontana una stoccata di fioretto. Tuttavia, al contrario di quanto si possa pensare, un attacco di tipo Phishing è un’azione pianificata, orchestrata e ben coordinata condotta da un hacker o da un’organizzazione criminale.

Solitamente un attacco phishing comprende varie fasi:

• Pianificazione
• Preparazione
• Attacco
• Collezionamento
• Identificazione

Pianificazione

L’hacker pescatore (Phisher) decide inizialmente quale sarà l’obbiettivo dell’attacco e le strategie da mettere in campo per raggiungere i propri obbiettivi elencati più sopra.

Preparazione

In questa fase l’hacker prepara il vettore di diffusione delle proprie esche. Inizia cioè a reperire gli indirizzi delle proprie vittime; questi possono essere indirizzi email, numeri telefonici (per messaggi SMS o messaggi vocali). In altre parole, tutto ciò che può essere ricevuto come messaggio.

Questo genere di materiale si può reperire nel Dark Web a poche decine di dollari per migliaio di indirizzi. Quando dispone dei contatti degli utenti da attaccare, il problema successivo da superare riguarda un server anonimo dal quale inviare i messaggi senza che sia possibile risalire a lui

Una volta che è stato individuato il target da attaccare, l’hacker mette in pratica alcuni metodi subdoli per iniziare a raccogliere dati utili. Ciò può spesso avvenire tramite l’invio di messaggi email opportunamente preparati e pagine web progettate per lo scopo.

Attacco

Il phisher invia un messaggio fasullo agli indirizzi email raccolti in precedenza, che sembra provenire da una fonte attendibile.

Collezionamento

Il phisher cattura e registra tutte le informazioni che riesce ad ottenere dalla vittima tramite un modulo presente nella pagina web alla quale la vittima è stata reindirizzata dal messaggio email.

Identificazione

Il phisher ha ora tutte le informazioni di cui ha bisogno per agire secondo il suo piano fraudolento e raggiungere i propri obbiettivi.

Il che normalmente si traduce in:

• Furto. Il furto di credenziali di accesso a siti di eCommerce o dei dati di carte di credito.
• Tracciamento. Dell’uso della rete per scopi di analisi comportamentale.
• Attacchi cyber. Ai siti o alle infrastrutture frequentate dall’utente o alle quali ha accesso.
• Analisi del comportamento. Con lo scopo di identificare punti deboli della nelle procedure di sicurezza.

L’attacco ha inizio con un messaggio

Lo schema di un attacco phishing generico, quello che tratteremo ora, è tipicamente mirato al furto di credenziali per sostituirsi alla vittima che questa solitamente utilizza per accedere al proprio account in alcuni siti web.

Se è vero che agli inizi del fenomeno del phishing l’hacker prediligeva i messaggi di posta elettronica, in tempi più recenti l’hacker più astuto non disdegna qualsiasi mezzo. Non solo messaggi email quindi, anche SMS, messaggi WhatsApp, commenti e recensioni nelle pagine web, e quant’altro possa veicolare la sua esca.

Descrizione dell’Attacco Phishing

Cerchiamo quindi di fare un po’ di luce sul tipico attacco Phishing, partendo dall’immagine qui sopra.

1. Creazione sito fittizio. Inizialmente l’hacker crea un sito fittizio uguale (o molto simile) ad un sito che ci è abbastanza familiare. In alternativa l’hacker può violare un sito web preesistente (non suo) ed installare il codice delle pagine di un sito web molto noto, all’insaputa del dell’effettivo proprietario del sito web violato.
2. Invio Email Phishing. L’hacker invia i suoi messaggi-esca ad indirizzi che ha acquistato su internet o nel dark web.
3. Apertura messaggio Phishing. La vittima riceve il messaggio e lo apre, credendo di accedere al Sito Web Target, dove inserisce le proprie credenziali ed eventualmente i dati della carta di credito. Il browser invece sta accedendo al Sito Web Phishing predisposto dall’hacker.
4. Raccolta dati sensibili. L’hacker può ora raccogliere indisturbato tutti i dati dell’utente, compresi i dati di navigazione e geo-localizzazione.
5. Utilizzo dati sensibili. L’hacker può ora impersonale il reale utente utilizzando i dati di quest’ultimo per qualsiasi tipo di attività illecita..

Come difendersi dal phishing

Molte delle regola basilari le abbiamo già riportate in un nostro precedente articolo sui 10 errori di sicurezza informatica che l’utente comune solitamente commette. Errori di superficialità o dettati dalla poca sensibilità alla sicurezza informatica.

Ma anche nel nostro articolo sulle più comuni cose errate che l’utente pensa di sapere riguardo alla cyber security. Un serio percorso nei comportamenti errati commessi da coloro che pensano di conoscere la cyber security e le sue profonde implicazioni.

Tuttavia, difendersi dal Phishing non è poi così complicato, sarebbe sufficiente tenere sempre ben presente che i malfattori sono sempre in agguato. Su tutti i fronti. E soprattutto, essi non hanno scrupoli, né cuore: per loro una «vittima» rappresenta una fonte di guadagno. Sono disposti a qualunque tipo di azione immorale, per raggiungere il proprio scopo.

In Conclusione

In questo post abbiamo cercato di mettere a fuoco che cos’è il Phishing e come funziona e quali sono le tecniche tipicamente adottate dall’hacker (in questo caso il Phisher).

Dal nostro approfondimento è facilmente intuibile come l’anello più debole della catena di sicurezza risiede proprio nel comportamento assunto dall’utente. L’hacker infatti sa molto bene quali sono alcune delle debolezze del comportamento umano in presenza di uno stimolo opportunamente predisposto: la trappola.

Non dovremmo mai sottovalutare messaggi inattesi da mittenti sconosciuti che ci invitano a sondaggi non richiesti, ci dicono di avere un’offerta speciale esclusivamente per noi, o quant’altro. È proprio lì che solitamente si nascondono le trappole del phishing.

Cadere in questo genere di trappole è più facile di quanto si possa immaginare, se non teniamo bene a mente i rischi che si corrono in rete.

Condividi