La maggior parte dei tentativi di spear phishing sono rivolti ai dipendenti. Secondo Statista, Il 87% degli attacchi di questo tipo si verificano durante la settimana lavorativa.
Nella maggior parte dei casi, gli esperti informatici sostengono che il phishing abbia avuto successo porta a dati rubati, credenziali trapelate o ulteriori attività criminali come furto di identità o richieste di riscatto.
Tali violazioni possono compromettere la vita di molte aziende che detengono informazioni sensibili sui propri utenti, team e attività.
Anche i candidati esperti di tecnologia sono sensibili a questa minaccia. Microsoft ha recentemente messo in guardia dai truffatori che inviano inviti di lavoro falsi personalizzati al personale IT e agli ingegneri del software.
Spear phishing è diverso dalle altre truffe. Gli hacker che si affidano a questa tecnica scopriranno tutto ciò che possono sul loro obiettivo prima di avvicinarsi a lui.
Esamineranno i loro social media e le pagine aziendali. Particolare attenzione sarà riservata a LinkedIn. Una semplice ricerca su Google rivelerà cosa fanno in azienda, che tipo di lavoro stanno cercando, con chi socializzano, qual è il loro lavoro, come parlano e altro ancora.
Pertanto, è molto probabile che le squadre vengano prese di mira con una lancia di successo attacchi di phishing. Cosa possono fare le aziende per tutelarli?
Implementare la formazione dei dipendenti
In sicurezza informatica, lo spear phishing rientra negli attacchi di ingegneria sociale in cui i criminali prendono di mira le persone all'interno dell'azienda attraverso le quali potrebbero ottenere un accesso più profondo alla rete.
Gli umani lo sono l'anello più debole se non hanno una formazione in materia di sicurezza informatica, perché molte persone:
- Credi che non cadranno mai in una truffa.
- L'hacking implica metodi altamente tecnici.
La formazione colma il divario tra i miti comuni a cui credono i lavoratori quando si tratta di sicurezza informatica. Inoltre, insegna loro la consapevolezza e tutto sui segnali che indicano la presenza di un hacker dall'altra parte dello schermo.
Ricorda loro che la maggior parte dell’hacking non è di natura altamente tecnica, ma piuttosto che gli autori delle minacce tendono ad “hackerare le persone” prima che tentano di violare i sistemi.
L’introduzione di una formazione sulla sicurezza informatica può aiutare i dipendenti a riconoscere minacce comuni come il phishing (nelle sue varie versioni), altre tecniche di hacking che prendono di mira i lavoratori, e informarli sulle migliori pratiche in materia di sicurezza (come ad esempio come impostare un password sicura).
Riconsiderare i contenuti pubblicati su LinkedIn
Come accennato in precedenza, quando gli autori delle minacce prendono di mira la vittima, scoprono tutto ciò che possono su di lei e sulle persone con cui si associa.
Social Media è l'ostrica di un criminale informatico. Fornisce tutte le informazioni necessarie per organizzare una campagna di spear phishing di successo.
Gli amministratori delegati e i potenziali candidati al lavoro condividono più che mai contenuti sul loro LinkedIn. Per i criminali, ciò crea una miniera d'oro di informazioni, soprattutto se abbinate a tutti i dati che riescono a trovare sui social media personali.
È vero, i social media possono essere impostati come privati e le persone che inviano richieste possono essere ispezionate prima che abbiano accesso alle proprie foto personali e agli aggiornamenti sulla vita.
Tuttavia, con i siti di offerte di lavoro come LinkedIn che sono pensati per essere pubblici, i lavoratori e i candidati dovrebbero prestare maggiore attenzione.
Quando si crea il prossimo post motivazionale su LinkedIn, potrebbe essere utile pensare come un criminale e considerare se i dati nel post potrebbero rivelare informazioni compromettenti agli hacker
Utilizza i filtri email e contrassegna gli indirizzi esterni
Anche se lo spear phishing può avvenire tramite SMS e social media, le e-mail sono ancora le preferite dagli hacker. Tutti hanno un indirizzo email e i lavoratori ne hanno almeno due.
Per gli hacker è anche facile trovare le email. Sono annotati sui curriculum, su LinkedIn e sui siti Web delle aziende.
Pertanto, è importante disporre di un sistema di sicurezza in grado di farlo riconoscere le email esterne – da enti e individui con i quali l'azienda non è ancora entrata in contatto e che sono esterni alla vostra organizzazione.
Altrimenti si verificano errori. I dipendenti potrebbero fare clic accidentalmente sul collegamento contenuto nell'e-mail che ritengono provenga da un collega o da un potenziale cliente, ma in realtà si tratta di malware.
Uno dei motivi per cui si verifica questo errore è che i criminali creano indirizzi e-mail simili a quelli utilizzati dall'organizzazione per lavoro.
Ad esempio, l'indirizzo email ha un suffisso composto da una sola lettera diversa da quella utilizzata dall'azienda.
In fretta, il dipendente potrebbe anche non notare questa differenza e pensare che il messaggio provenga dal capo. I vertici dell'azienda potrebbero effettuare un trasferimento o inviare le proprie credenziali all'aggressore.
Contrassegnando l'e-mail esterna, è meno probabile che tali errori si verifichino durante gli orari di lavoro intensi.
Implementa un software che riconosca lo spear phishing
Gli strumenti di protezione tradizionali di cui dispone la maggior parte delle aziende, come firewall e antivirus, spesso non riescono a riconoscere le scansioni più sofisticate come lo spear phishing.
Tali e-mail sono personalizzate e potrebbero non seguire lo schema che di solito viene immediatamente filtrato nella cartella spam.
Il moderno software anti-phishing utilizza le funzionalità di intelligenza artificiale (AI) e Natural Language Processing (NLP) per identificare le e-mail che contengono indizi di phishing.
Può cogliere i sottili segnali di spear phishing nel messaggio e avvisare i team IT e i lavoratori di prendere precauzioni in tempo.
Conclusione
In poche parole, alcune delle principali pratiche anti-phishing includono l’introduzione di una formazione di base sulla sicurezza informatica per i dipendenti, la disponibilità di strumenti in grado di rilevare attacchi di spear phishing e l’inclusione di filtri e-mail in grado di segnalare immediatamente e-mail esterne sospette.
Lo spear phishing è uno dei tanti tipi di phishing che i criminali utilizzano per prendere di mira le aziende.
Rispetto al phishing che si concentra sulla quantità e sull'invio di quante più e-mail possibili sperando di catturare qualcosa, questo tipo ha maggiori probabilità di portare a termine una truffa di successo.
È più probabile che i dipendenti cedano alle richieste che credono provengano dal loro capo o dai livelli più alti dell'azienda. Inoltre, la maggior parte delle persone non si aspetta che la truffa venga mirata in modo specifico a loro.
Essere consapevoli delle possibili minacce può aiutare le aziende a evitare attacchi pericolosi e a proteggere i propri dipendenti dalla fuga di dati e dalla compromissione dell’accesso ai dispositivi funzionanti.
