Phishing senza link: la nuova truffa che porta le vittime al telefono

Il phishing non passa più necessariamente da un link sospetto o da un allegato infetto. Sempre più spesso, l’obiettivo dei cybercriminali è molto più semplice: convincere la vittima a contattarli direttamente.

È quanto emerge da una nuova campagna di phishing individuata da Check Point, composta da circa 24.700 email indirizzate a persone appartenenti a oltre 9.000 organizzazioni.

La particolarità di questa campagna è il modo in cui viene costruito l’inganno. Le email possono infatti non contenere malware, allegati pericolosi o collegamenti evidentemente malevoli. Al contrario, fanno leva su una delle vulnerabilità più difficili da proteggere con i soli strumenti tecnologici: le emozioni della persona.

Quando l’ansia finanziaria diventa uno strumento di attacco

Le email della campagna fanno leva sulle difficoltà economiche dei destinatari, proponendo soluzioni apparentemente vantaggiose come la cancellazione o la riduzione dei debiti, rate più basse, programmi di consolidamento o forme di assistenza finanziaria.

Il meccanismo è studiato per attirare l’attenzione e spingere la vittima a compiere un’azione: telefonare a un numero indicato nel messaggio.

Ed è proprio qui che cambia la natura dell’attacco.

La persona non viene necessariamente indirizzata verso una pagina web contraffatta. Viene invece convinta a iniziare una conversazione con qualcuno che si trova dall’altra parte del telefono.

Il messaggio email diventa quindi soltanto il primo passo di una truffa più articolata.

Dal phishing alla telefonata: il secondo livello dell’attacco

Una volta effettuata la chiamata, il cybercriminale può utilizzare tecniche di ingegneria sociale per conquistare la fiducia della vittima e ottenere progressivamente nuove informazioni.

Durante la conversazione potrebbe cercare di raccogliere dati personali, informazioni finanziarie o dati relativi ai pagamenti. Ma non è necessariamente questo l’obiettivo immediato.

Il truffatore può prima cercare di creare un rapporto di fiducia, fare domande apparentemente innocue e utilizzare le informazioni ottenute per rendere la conversazione sempre più credibile.

In alcuni casi, la vittima potrebbe inoltre essere spinta a proseguire il contatto attraverso altri canali controllati dagli attaccanti.

Il vantaggio per il criminale è evidente: una volta che la persona ha deciso volontariamente di telefonare, la situazione può apparire molto meno sospetta.

Non si trova più davanti a una email da analizzare, ma sta parlando con una persona che si presenta come un operatore, un consulente o un professionista.

Perché un’email apparentemente innocua può superare i controlli

I sistemi di sicurezza possono analizzare numerosi indicatori per individuare un tentativo di phishing: link dannosi, allegati sospetti, domini malevoli, malware o mittenti contraffatti.

Ma cosa succede quando questi elementi non sono presenti?
 
Un’email può contenere semplicemente del testo e un numero di telefono. Dal punto di vista tecnico potrebbe quindi non presentare gli stessi segnali di allarme di una classica email di phishing.
 
Il vero elemento sospetto diventa il contenuto e l’intento della comunicazione.
 
Un’offerta finanziaria particolarmente vantaggiosa, una richiesta urgente o un messaggio che sfrutta paura, difficoltà economiche o altre situazioni emotivamente delicate possono essere utilizzati per spingere la persona ad agire senza fermarsi a verificare.
 
È proprio questo uno degli aspetti più importanti dell’evoluzione del phishing: l’attacco non deve necessariamente compromettere un dispositivo per essere efficace.
 
Può essere sufficiente convincere una persona a fare qualcosa.

Il fattore umano torna al centro della sicurezza

Questa campagna dimostra ancora una volta quanto la cybersecurity non possa essere affidata esclusivamente agli strumenti tecnologici.

Firewall, sistemi antispam, antivirus e soluzioni di protezione delle email rimangono fondamentali, ma non possono sostituire completamente la capacità degli utenti di riconoscere una situazione anomala.
 
L’intelligenza artificiale e l’analisi comportamentale possono contribuire a individuare anche messaggi in cui gli indicatori tecnici tradizionali sono assenti, analizzandone il contenuto e cercando di riconoscere possibili tentativi di manipolazione.
Ma anche il dipendente deve essere preparato a riconoscere l’ingegneria sociale.
 
Un’offerta arrivata improvvisamente via email, particolarmente conveniente e accompagnata da un senso di urgenza dovrebbe sempre essere valutata con attenzione, soprattutto quando invita a fornire informazioni personali o finanziarie oppure a contattare direttamente un numero indicato nel messaggio.

Il phishing sta cambiando, e anche la formazione deve farlo

Per anni, parlare di phishing ha significato soprattutto insegnare agli utenti a non cliccare sui link sospetti e non aprire allegati sconosciuti.

Queste regole rimangono valide, ma oggi non sono più sufficienti.
 
Un attacco può iniziare senza alcun link e senza alcun allegato. Può iniziare con una semplice email che cerca di suscitare una reazione emotiva e terminare con una conversazione telefonica.
 
Per questo la formazione sulla cybersecurity deve andare oltre il riconoscimento degli elementi tecnici di una email sospetta e aiutare le persone a sviluppare una maggiore capacità di valutare il contesto, riconoscere la manipolazione e fermarsi prima di compiere un’azione impulsiva.
 
La sicurezza, infatti, non si ferma alla casella di posta elettronica.
 
Quando il phishing diventa una conversazione, la consapevolezza delle persone diventa una delle prime linee di difesa.

Proteggere un’azienda significa anche preparare le persone

Le tecniche di ingegneria sociale continuano a evolversi proprio perché sfruttano un elemento che nessun software può eliminare completamente: la fiducia delle persone.

Una campagna come questa dimostra che anche un messaggio apparentemente innocuo può essere il punto di partenza di una frode più complessa.
 
Per un’azienda, investire nella formazione e nella consapevolezza del personale significa quindi ridurre il rischio che una semplice email si trasformi nel primo passo di un attacco.
 
La cybersecurity non riguarda soltanto la tecnologia: riguarda anche le decisioni che ogni giorno le persone prendono davanti a un messaggio, una telefonata o una richiesta apparentemente normale.

Vuoi rafforzare la sicurezza della tua azienda? Scopri i nostri percorsi di formazione sulla cybersecurity e aiuta il tuo team a riconoscere phishing, ingegneria sociale e nuove tecniche di attacco prima che possano causare danni.