Come riconoscere sms ed e-mail di phishing

sms e-mail phishing

Il phishing inizia con una e-mail, un sms o un’altra comunicazione fraudolenta inviata allo scopo di agganciare una vittima. Il messaggio sembra provenire da un mittente affidabile, come un collega, un ente o un’azienda conosciuta: se l’inganno riesce, la vittima viene invitata a fornire informazioni riservate su un sito web truffa. Spesso, nel computer del malcapitato si scarica un malware.

Questa pratica prende il nome di phishing. O smishing, se avviene tramite SMS.

Ecco come riconoscere questa tipologia di attacchi e tenere al sicuro i tuoi dati aziendali.

Alcuni esempi di phishing e smishing

Scopri come funzionano questi attacchi in dettaglio e come puoi proteggerti

 «Il tuo pacco è in attesa di consegna»: sms di phishing a nome di Poste Italiane

Capita spesso di ricevere degli SMS da parte di Poste Italiane che ti informa della presenza di un problema con la spedizione del tuo pacco e in cui ti viene richiesto di pagare un importo. Se fai clic sul link presente nel messaggio, ti verrà chiesto di effettuare il pagamento e di inserire i dati della tua carta.

Nonostante possa sembrare un sms sorprendentemente verosimile, in realtà si tratta di una truffa. Tuttavia, prestando attenzione ai dettagli, talvolta si possono trovare delle incongruenze.

«Il tuo account Amazon è incompleto»: e-mail di phishing da parte di Amazon

Nel caso di Amazon, i truffatori cercano di aggirare le misure di sicurezza. Ad esempio, in un’e-mail di questo tipo viene richiesto di aggiungere il tuo numero di telefono per proteggere il tuo account Amazon. La conferma del numero avviene tramite un link che, ovviamente, è manipolato. Tramite un modulo, i criminali cercano difatti di ottenere altri dati oltre al tuo numero di telefono, quelli della tua carta o il tuo indirizzo.

Messaggi di questo tipo sono spesso formulati con un’urgenza che ha lo scopo di metterti sotto pressione.

«Abbiamo rilevato un’anomalia sul tuo conto corrente. Reinserisci le credenziali di accesso»: sms da parte della tua banca

In questa comunicazione la banca chiede di cliccare su un link che apre un sito (in cui viene riportato il logo e il nome della banca), che sembra quello del proprio istituto di credito, in cui viene richiesto di inserire le credenziali di accesso al proprio conto corrente. Una volta inseriti, si riceve una chiamata nella quale viene richiesto un secondo codice per accedere ai servizi online della propria banca, l’OTP. Una volta comunicato, inizia lo svuotamento del conto.

«Ciao, sono in riunione e ho bisogno di un bonifico urgente sul conto di questo fornitore» e-mail di phishing da parte del CEO dell’azienda o di un collega

Le minacce interne sul posto di lavoro, ossia le mail che sembrano provenire da un account di posta aziendale, sono purtroppo all’ordine del giorno. Si tratta di attacchi meno frequenti rispetto al phishing tradizionale, ma sono molto più pericolose poiché più difficili da individuare.

Ad esempio, un dipendente dell’ufficio amministrativo riceve un’email dal suo capo che lo esorta a eseguire un bonifico con estrema urgenza sul conto di un fantomatico fornitore. Questo è un attacco di Business Email Compromise e può rappresentare una minaccia piuttosto grave.

Ma come si fa a riconoscere questa tipologia di truffe?

Cosa fare per riconoscere e-mail o sms di phishing

  • Verifica il mittente: passa il mouse sull’indirizzo e-mail del mittente per scorgere delle anomalie
  • Lo stesso vale per i link: passa il mouse sul link (senza cliccare) e vedrai che il dominio di destinazione ti sembrerà strano
  • Controlla manualmente il numero di spedizione o del pacco: inserisci il codice sulla pagina Internet di poste Italiane
  • Accedi al tuo account Amazon ed entra nella sezione Centro Comunicazioni: lì vedrai tutti i messaggi autentici di Amazon
  • Non cliccare mai su questi link e non rivelare informazioni riservate su di te o sulla tua carta
Hai bisogno di un aiuto professionale per aumentare la sicurezza informatica nella tua azienda? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.

Mese della sicurezza informatica: come proteggersi dagli attacchi informatici

attacchi informatici

Il mese della sicurezza informatica è una campagna dell’Unione Europea che si tiene durante il mese di ottobre per promuovere la conoscenza degli attacchi informatici e dei metodi per contrastarli, fornendo informazioni aggiornate in materia di cybersecurity. L’ECSM (European Cyber Security Month) è organizzato dall’agenzia europea ENISA, e prevede una serie di eventi e attività in tutti i Paesi membri dell’UE.

Un’opportunità per aiutare sia gli utenti che le aziende a tutelarsi. E a conoscere i metodi più efficaci per proteggersi dalle minacce informatiche, in particolare i ransonware.

Attacchi informatici ransonware

Questa tipologia di attacchi avviene attraverso quattro metodi principali.

  • Phishing via mail: si tratta di comunicazioni fraudolente che sembrano provenire da una fonte attendibile o autorevole.
  • Malvertising: sono degli annunci pubblicitari che, una volta cliccati, installano dei software malevoli sul device dell’utente.
  • Social Engineering: questo induce l’utente a fidarsi del cybercriminale a compiere azioni compromettenti, come condividere password.
  • Exploit kit: una parte di codice o un programma progettato per trovare e sfruttare una falla di sicurezza o una vulnerabilità. Un esempio è la compromissione dei sistemi di backup, in modo che gli amministratori non possano utilizzarli per ripristinare i dati.

Come difendersi

Il settore del ransomware è in continua evoluzione: attacchi sempre più sofisticati, aumento dei criminali informatici, nuove tecnologie come il Ransomware as a Service (RaaS).

Esistono tuttavia delle pratiche per mettersi al riparo da cyber-agguati, ad esempio bloccare siti web, e-mail ed allegati sospetti.

Utilizzo di sistemi aggiornati e performanti

Occorre aggiornare regolarmente i sistemi operativi e i software utilizzati, controllando e applicando gli aggiornamenti più recenti. Un software sempre aggiornato è infatti uno dei modi più efficaci per evitare un attacco.

Un’altra componente essenziale è il backup. Bisogna difatti eseguire sempre il backup dei dati in modo da recuperarli in caso di emergenza. Nello stesso tempo, è importante archiviare i backup offline, cosicché non possano essere trovati o compromessi.

Cybersecurity: conoscerla per difendersi

Risulta quindi di fondamentale importanza che le aziende e i dipendenti abbiano familiarità con la sicurezza informatica, per poter prevenire e difendersi da eventuali minacce.

Queste sono molte e in continua evoluzione: virus, worm, trojan possono essere installati su PC non necessariamente collegati alla rete. Ma anche backdoor, spyware, adware, denial of service e spam, che si sviluppano attraverso internet.

Ma quando si può considerare un sistema veramente sicuro? Un sistema infatti risulta sicuro quando si comporta nel modo previsto.

Questo fa però parte di un processo complesso, che inizia dalla formazione e la sensibilizzazione dei dipendenti, fino all’individuazione delle vulnerabilità e alla pianificazione del sistema di sicurezza. Ad un’adeguata sicurezza dei dati si arriva attraverso la valutazione dei sistemi operativi, dei software, dei protocolli in uso, degli apparati di rete coinvolti.

Hai bisogno di un aiuto professionale per aumentare la sicurezza informatica nella tua azienda? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.

Password: come crearne una davvero sicura

password sicura

Segui alcune indicazioni del Garante della privacy per creare una password sicura e difficilmente identificabile dai cybercriminali.

La scelta di una password sicura può sembrare banale, ma in realtà può rivelarsi determinante. Non troppo corta, non troppo scontata, non troppo duratura o non direttamente ricollegabile a noi o all’attività.

Le password più violate dagli hacker

La protezione online è diventata fondamentale: per questo è necessario selezionare con attenzione anche tutte le password, in modo da impedire l’accesso ai nostri dati.

Ecco alcune delle password maggiormente violate dai malintenzionati del dark web, da evitare assolutamente:

  • 123456
  • 123456789
  • Qwerty
  • Password
  • 12345
  • 12345678
  • 111111
  • 1234567
  • 123123
  • Qwerty123
  • 1234567890
  • DEFAULT
  • 0
  • Abc123
  • 654321
  • 123321
  • 666666

Come creare dunque una password che sia davvero efficace?

Per rispondere a questa domanda, il Garante della privacy ha stilato una serie di consigli su come scegliere una password sicura. Questo in modo da non compromettere dati personali, informazioni riservate o denaro.

Le caratteristiche di una password sicura

Secondo il Garante per il trattamento dei dati personali, una password che metta i nostri dati al sicuro da eventuali intrusioni deve:

  • rispettare una lunghezza minima: almeno otto caratteri, anche se una password di 15 caratteri aumenti le probabilità di combinazioni e sia dunque più protetta
  • contenere maiuscole e minuscole, dei numeri ed almeno un carattere speciale (asterisco, chiocciola, cancelletto, trattino, punto interrogativo o esclamativo, ecc)
  • evitare dei riferimenti personali facilmente identificabili (nome, cognome, anno o data di nascita ecc.);
  • essere interamente diversa dal nome utente
  • prediligere delle parole camuffate anziché quelle di uso comune (coccinell@ al posto di coccinella, ad esempio). Esistono anche dei software programmati per provare ad indovinare e rubare le password controllando tutte le parole di uso comune nelle varie lingue;
  • essere cambiata periodicamente, soprattutto per gli account più importanti o quelli maggiormente utilizzati.

Come creare e conservare la password

Per creare un’ottima password, il suggerimento dell’Autorità è quello di utilizzare il più possibile i meccanismi di Autenticazione a 2 fattori (2FA).

Conviene anche utilizzare password diverse per account diversi o di non utilizzare password già usate in passato. Lo stesso vale per le password temporanee rilasciate da un sistema o da un servizio informatico: queste vanno sempre cambiate immediatamente con una personale.

Una volta scelta la password giusta, ci sono tre accorgimenti fondamentali da seguire per la conservazione:

  • non scriverla mai password su biglietti che poi magari vengono tenuti nel portafoglio, in un’agenda o che possono essere lasciati in giro, oppure in file non protetti sui dispositivi personali (computer, tablet o smartphone o tablet)
  • evitare sempre di condividere le password via e-mail, sms ed instant messaging: queste, infatti, potrebbero essere diffuse involontariamente a terzi o rubate
  • se si utilizza un pc, uno smartphone e altri dispositivi altrui, evitare sempre che le password utilizzate possano restare nelle rispettive memorie.

Hai bisogno di un aiuto professionale per aumentare la sicurezza dei tuoi device? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.