Gli attacchi di phishing durante l’emergenza Covid-19 sono aumentati del 70% su scala globale, e del 57% in Italia. A rilevarlo è Sophos, società specializzata nella sicurezza informatica di ultima generazione, nella ricerca “Phishing Insight 2021”. Lo studio analizza il fenomeno e la sua evoluzione nel mondo nel corso del 2020, grazie al coinvolgimento di 5.400 responsabili IT in 30 Paesi tra Europa, America, Asia, Africa e Medio Oriente.
Tra le evidenze più interessanti emerse dallo studio c’è il fatto che gli intervistati non si siano trovati d’accordo su una definizione univoca di “attacco phishing”: situazione che è emersa anche nel contesto italiano: per il 57% degli intervistati nel nostro Paese il phishing consiste in “email che sembrano provenire da mittenti legittimi e che invitano a condividere informazioni o millantano un possibile pericolo (ad esempio il blocco di una carta di credito)”, mentre per il 62% un attacco phishing è “una mail contenente un link malevolo” o “una mail con allegato infetto” per il 54% degli intervistati. Il 31% invece vede negli “Sms che richiedono di condividere dati o informazioni” il perfetto caso di tentato phishing mentre la definizione di “email attraverso il quale viene tentato il furto di credenziali” è quella che si adatta alla definizione per il 48% del campione.
A livello mondiale, più del 90% delle aziende afferma di aver messo in campo programmi di sensibilizzazione nell’ambito della cybersecurity per aiutare gli utenti a riconoscere e proteggersi dal phishing. Ma rimane fondamentale, spiega Sophos in una nota, “che tali programmi di formazione tengano conto dell’ampia e variegata gamma di definizioni di phishing citata dagli intervistati e che vengano rivolti anche a utenti non esperti e non addetti ai lavori”, per dare loro l’opportunità di comprendere le varie sfaccettature del phishing e in generale dei cyberattacchi diffusi via email.
Questo genere di programmi di formazione sono stati adottati in Italia dal 54% delle imprese: si tratta di training svolti su Pc, simulazioni di attacco (nel 34% dei casi). A non aver previsto nulla del genere è il 19% del campione, mentre soltanto il 2% prevede di non fare nulla anche in futuro.
“Il phishing è un fenomeno con il quale ci confrontiamo da ormai 25 anni e ad oggi è ancora una tattica di cyberattacco estremamente efficace – afferma Chester Wisniewski, principal research scientist di Sophos – Uno dei motivi del suo successo è dato dalla sua capacità di evolvere e mutare costantemente, ideando attacchi ad hoc a seconda dell’obiettivo da colpire o del tema da trattare, cavalcando i temi caldi e le preoccupazioni degli utenti come avvenuto nel caso della pandemia, approfittando di ansie e emozioni tipiche di ognuno di noi. La tentazione di sottovalutare questa minaccia – prosegue – ritenendola di basso livello, è molto comune ma ciò significa sottostimare le conseguenze devastanti che questo tipo di attacco può generare. Spesso, il phishing è solo il primo passo di un attacco multistadio molto più complesso”.
“Gli autori di questi attacchi – aggiunge Wisniewski – usano email di phishing per trarre in inganno gli utenti convincendoli a installare malware o a condividere credenziali che possono dare accesso alla rete aziendale, come dimostrato da recenti casi in cui un’apparentemente innocua email ha portato ad attacchi ransomware multimilionari.
Cryptojacking, furti di dati e anche furti monetari, sono tutte potenziali conseguenze dopo che un attacco phishing ha aperto le porte ai cybercriminali – conclude – La soluzione ideale sarebbe prevenire che le email di phishing arrivino al destinatario designato. Soluzioni efficaci di email security possono contribuire a raggiungere questo obiettivo, ma vanno affiancate da una costante e accurata opera di formazione e sensibilizzazione degli utenti in modo che essi siano in grado di riconoscere un potenziale attacco e segnalarlo tempestivamente, prima di compiere qualunque altro passo”.
