Gli attacchi di phishing sono un fastidio, ma sono anche incredibilmente pericoloso. Di solito prendono di mira la nostra casella di posta, tentando di indurci a fornire dati sensibili, effettuare pagamenti o consegnare le credenziali. Possono il primo passo verso la scomparsa di una società.,
I tentativi più basilari e facilmente riconoscibili seguono uno scenario in cui un individuo, di solito da qualche parte abbastanza lontano da non essere contattabile di persona, è entrato in denaro e ha bisogno di qualcuno (tu) per aiutarlo a gestirlo per un pezzo. Mentre questi tipi di truffe sono facili da individuare per la maggior parte delle persone – di solito sono scritti male e sono troppo belli per essere veri – poiché i carichi utili dei dati continuano a diventare più ricchi, gli aggressori informatici stanno diventando più intelligenti nei loro approcci., Stanno raschiando LinkedIn per travestirsi da amministratori delegati aziendali o capi di finanza e identificare i singoli obiettivi all’interno delle organizzazioni sulla base di informazioni liberamente disponibili. Stanno sfruttando l’ansia e la distrazione degli individui intorno agli eventi attuali, come il coronavirus; Google ha detto che stava bloccando più di 100 milioni di email di phishing al giorno al culmine della pandemia, con quasi un quinto erano email di truffa relative al virus.
Nel 2019, la violazione media è costata alle aziende statunitensi US US 73,000, e questo per non parlare del costo del danno reputazionale come risultato., Il ransomware che prende anche il più potente dei produttori di metalli offline per giorni o settimane, può generalmente essere fatta risalire a un clic disattento di un link in una e-mail. Software di sicurezza, aggiornamenti automatici, autenticazione a più fattori possono aiutare a combattere la probabilità che le campagne di phishing colpiscano il loro obiettivo, ma con il 90% delle violazioni dei dati monitorate dall’errore umano, il principale meccanismo di difesa deve essere la nostra vigilanza.
Ma questo è particolarmente difficile quando le bandiere rosse ci viene detto di guardare fuori per cambiare costantemente., Una nuova truffa targeting Wells Fargo clienti dimostra gli approcci sempre più creativi cyberattackers si rivolgono a. E con i clienti della banca che rappresentano una famiglia americana su tre, dimostra che anche gli approcci scattergun stanno diventando sempre più difficili da catturare.
Circa 15.000 clienti della multinazionale statunitense dei servizi finanziari Wells Fargo – che impiega oltre 260.000 dipendenti in 7.400 sedi in tutto il mondo – sono stati presi di mira da una campagna di phishing che impersonava la sicurezza Wells Fargo, attirando le vittime nelle pagine di phishing con inviti al calendario.,
Secondo i ricercatori di Abnormal Security, i messaggi includono .ics calendar file allegati contenenti eventi che indirizzano i destinatari alle pagine di phishing. I messaggi richiesti ai clienti devono aggiornare le chiavi di sicurezza utilizzando le istruzioni incluse nell’allegato del calendario o sospendere gli account. Su una falsa pagina Wells Fargo, agli utenti viene richiesto di inserire informazioni sensibili come nome utente, password, pin e numero di conto.
La truffa è particolarmente intelligente in quanto incoraggia gli utenti ad aprire il messaggio su uno smartphone, dove il .,file ics può essere aggiunto automaticamente al loro calendario. La vittima riceve successivamente una notifica di evento del calendario dalla propria app attendibile, che è più probabile che clicchi. Se l’utente cade per la truffa e invia tutti i loro dettagli, gli aggressori avrebbero tutte le informazioni di cui hanno bisogno per prendere il controllo dei conti degli obiettivi, rubare la loro identità e denaro. Non una brutta giornata di lavoro.
L’anno scorso, i truffatori hanno preso di mira i risultati di ricerca di Google, attirando la curiosità delle vittime con i link ufficiali di Google., I phisher hanno inviato e-mail agli obiettivi che includevano link di reindirizzamento della ricerca di Google e, se hanno fatto clic sul link nei risultati di ricerca di Google, sarebbero atterrati sul sito Web dell’attaccante. Un altro attacco sofisticato includeva una campagna di phishing che utilizzava un componente man-in-the-middle (MitM) per acquisire informazioni specifiche dell’azienda come loghi, banner, testo e immagini di sfondo per creare pagine di accesso incredibilmente realistiche: l’unico dato era l’URL.
Un’altra truffa intelligente dello scorso anno ha visto i phisher che utilizzano clienti malintenzionati 404 pagine per servire siti di phishing., 404 pagine dicono agli utenti quando hanno colpito un link rotto o morto. Mirando a Microsoft, gli aggressori includevano link che indicavano pagine inesistenti e quando Microsoft security Systems scansionava il link, ricevevano l’errore 404 e ritenevano il collegamento sicuro.
Ma se un utente reale accede allo stesso URL, il sito di phishing rileverebbe l’utente e li reindirizzerebbe a una pagina di phishing reale, invece della pagina di errore 404 del server.,
Come le truffe di phishing che continuano a cambiare forma, essi saranno più facilmente scivolare attraverso la rete: “questo tipo di attacchi e-mail solo evidenziare l’ingegno di attaccanti e sottolinea che per tutti noi la necessità di essere a conoscenza e di prestare attenzione al contenuto di tutti i messaggi, se non ha letto bene o hai chiesto di fare qualcosa che normalmente non fanno o hanno fatto prima di allora non fare clic su qualsiasi cosa, o seguire le loro istruzioni – consultare il reparto IT o il team di sicurezza,” consigliato Jamie Ahktar, co-fondatore e CEO di CyberSmart.