Il phishing è un tipo di truffa effettuata su Internet attraverso la quale un malintenzionato cerca di ingannare la vittima convincendola a fornire informazioni personali, dati finanziari o codici di accesso, fingendosi un ente affidabile in una comunicazione digitale.
Il termine phishing è una variante di fishing (letteralmente "pescare" in lingua inglese), probabilmente influenzato da phreaking e allude all'uso di tecniche sempre più sofisticate per "pescare" dati finanziari e password di un utente. La parola può anche essere collegata al linguaggio leet, nel quale la lettera f è comunemente sostituita con ph. La teoria popolare che si tratti di un portmanteau di password harvesting è un esempio di pseudoetimologia. Descrizione Si tratta di un'attività illegale che sfrutta una tecnica di ingegneria sociale: il malintenzionato effettua un invio massivo di messaggi che imitano, nell'aspetto e nel contenuto, messaggi legittimi di fornitori di servizi; tali messaggi fraudolenti richiedono di fornire informazioni riservate come, ad esempio, il numero della carta di credito o la password per accedere ad un determinato servizio. Per la maggior parte è una truffa perpetrata usando messaggi di posta elettronica, ma non mancano casi simili che sfruttano altri mezzi, quali i messaggi SMS.
Il phishing è una minaccia attuale, il rischio è ancora maggiore nei social media come Facebook, Instagram, TikTok e Twitter. Degli hacker potrebbero infatti creare un clone del sito e chiedere all'utente di inserire le sue informazioni personali. Gli hacker comunemente traggono vantaggio dal fatto che questi siti vengono utilizzati a casa, al lavoro e nei luoghi pubblici per ottenere le informazioni personali o aziendali.
Secondo un’indagine realizzata nel 2019, solo il 17,93 per cento degli intervistati sarebbe in grado di identificare tutti i diversi tipi di phishing (tra cui email o SMS contenenti link malevoli o siti web che replicano delle pagine legittime).
Storia Una tecnica di phishing è stata descritta nel dettaglio in un trattato presentato nel 1987 all'International HP Users Group, Interex.
La prima menzione registrata del termine phishing è sul newsgroup di Usenet alt.online-service.america-online il 2 gennaio 1996, malgrado il termine possa essere apparso precedentemente nell'edizione stampata della rivista per hacker 2600.
Secondo Ghosh ci sono stati attacchi nel 2012, nel 2011 e nel 2010, mostrando che la minaccia del phishing è in aumento.
+Numero totale di attacchi phishing unici Anno Gennaio Febbraio Marzo Aprile Maggio Giugno Luglio Agosto Settembre Ottobre Novembre DicembreTotale 2005 12 845 13 468 12 883 14 411 14 987 15 050 14 135 13 776 13 562 15 820 16 882 15 244173 063 2006 17 877 17 163 18 480 17 490 20 109 28 571 23 670 26 150 22 136 26 877 25 816 23 787268 126 2007 29 930 23 610 24 853 23 656 23 415 28 888 23 917 25 624 38 514 31 650 28 074 25 683327 814 2008 29 284 30 716 25 630 24 924 23 762 28 151 24 007 33 928 33 261 34 758 24 357 23 187335 965 2009 34 588 31 298 30 125 35 287 37 165 35 918 34 683 40 621 40 066 33 254 30 490 28 897412 392 2010 29 499 26 909 30 577 24 664 26 781 33 617 26 353 25 273 22 188 23 619 23 017 21 020313 517 2011 23 535 25 018 26 402 20 908 22 195 22 273 24 129 23 327 18 388 19 606 25 685 32 979284 445 2012 25 444 30 237 29 762 25 850 33 464 24 811 30 955 21 751 21 684 23 365 24 563 28 195320 081 2013 28 850 25 385 19 892 20 086 18 297 38 100 61 453 61 792 56 767 55 241 53 047 52 489491 399 2014 53 984 56 883 60 925 57 733 60 809 53 259 55 282 54 390 53 661 68 270 66 217 62 765704 178 2015 49 608 55 795 115 808 142 099 149 616 125 757 142 155 146 439 106 421 194 499 105 233 80 5481 413 978201699 384229 315229 265121 02896 49098 00693 16066 16669 92551 15364 32495 5551 313 771201796 148100 932121 86087 45393 28592 65799 02499 17298 01261 32286 54785 7441 122 156201889 25089 01084 44491 05482 54790 88293 07889 32388 15687 61964 90587 3861 040 654201934 63035 36442 39937 05440 17734 93235 53040 45742 27345 05742 42445 072475 369
Prime azioni di phishing su AOL Il phishing su AOL era strettamente connesso alla comunità warez che scambiava software senza licenza. AOHell, rilasciato all'inizio del 1995, era un programma con lo scopo di attaccare gli utenti di AOL fingendosi un rappresentante della compagnia AOL. Nel tardo 1995 AOL applicò misure per prevenire l'apertura di account usando carte di credito false, generate tramite algoritmo. I cracker iniziarono ad attaccare i veri utenti con lo scopo di ottenere i loro profili.
Transizione a operazioni più ampie L'aver ottenuto gli account di AOL poteva aver permesso ai phishers l'utilizzo improprio delle carte di credito, ma ha soprattutto portato alla realizzazione che potessero essere attuabili attacchi verso sistemi di pagamento. Il primo attacco diretto conosciuto contro un sistema di pagamento è stato ad E-Gold nel giugno 2001, che è stato seguito da "post-9/11 id check". Entrambi vennero visti al tempo come fallimenti, ma possono essere ora visti come primi esperimenti per attacchi più complessi per banche tradizionali. Nel settembre 2003 c'è stato il primo attacco a una banca, ed è stato riportato da The Banker in un articolo scritto da Kris Sangani intitolato "Battle Against Identity Theft.".
Nel 2004 il phishing era riconosciuto come una parte completamente affermata dell'economia del crimine: emersero specializzazioni su scala globale per portare a termine le operazioni, che venivano sommate per gli attacchi finali.
Nel 2011 una campagna di phishing cinese ha avuto come obiettivi gli account Gmail di alti ufficiali di governo e dell'esercito degli Stati Uniti e del Sud Korea, come anche di attivisti cinesi. Il governo cinese ha negato ogni accusa di aver preso parte a questo attacco partito dal suo territorio, ma ci sono prove che l'Esercito Popolare di Liberazione abbia assistito nello sviluppo del software di cyber-attacco.
Tecniche di phishing Attacchi rilevanti di phishing
Data Vittima Dettagli attacco nov 2013 Target (negozi) 110 milioni di utenze comprensive di carta di credito rubate, attraverso il phishing di un account di un subappaltatore. Il CEO e lo staff della sicurezza IT sono stati licenziati. mar 2011 RSA Security Lo staff interno di RSA è stato vittima di phishing, portando all'accesso delle master key e al furto di tutti i token RSA SecurID, che sono stati in seguito usati per far breccia all'interno dei fornitori per la difesa US. set 2014 Home Depot Le informazioni personali e della carta di credito di 100+ milioni di clienti di tutti i 2200 Home Depot sono stati messi in vendita su siti di hacking. nov 2014 ICANN Sono stati ottenuti accessi amministrativi al Centralized Zone Data System, permettendo agli attaccanti di accedere ai file di zona e ai dati degli utenti del sistema. Oltre a ciò è stato ottenuto anche all'ICANN's public Governmental Advisory Committee wiki, blog, e al portale di informazioni whois.
Il servizio di condivisione file RapidShare è stato vittima del phishing per ottenere le credenziali di account premium, che non hanno vincoli di velocità e numero di download.
Gli attaccanti che hanno avuto accesso al database di TD Ameritrade contenente 6,3 milioni di indirizzi mail lanciarono successivamente un attacco phishing alle suddette mail per ottenere username e password.
Quasi la metà dei furti di credenziali tramite phishing nel 2006 sono stati commessi da gruppi che operavano tramite la Russian Business Network con sede a San Pietroburgo.[https://www.washingtonpost.com/wp-dyn/content/story/2007/10/12/ST2007101202661.html?hpid=topnews Shadowy Russian Firm Seen as Conduit for Cybercrime, by Brian Krebs, Washington Post, October 13, 2007
Nel terzo quadrimestre del 2009 il Anti-Phishing Working Group ha riportato di aver avuto segnalazioni di mail di phishing dai consumatori USA con la Cina che ospitava più del 25% delle pagine incriminate.
Dal dicembre 2013 il ransomware Cryptolocker ha infettato pc. Inizialmente l'obiettivo era l'utenza business ed è stato usato un archivio Zip allegato a una mail che sostiene di essere da parte di una lamentela di un consumatore e per passare successivamente a un pubblico più vasto usando una mail riguardante un problema con un assegno. Il ransomware crittografava i file e richiedeva un riscatto per ottenere la chiave di decifrazione (in modo da poter riavere i file). Secondo SecureWorks più dello 0.4% degli infetti ha pagato il riscatto.
Metodologia generale di attacco
Il processo standard delle metodologie di attacco di phishing può riassumersi nelle seguenti fasi: l'utente malintenzionato (phisher) spedisce a un utente un messaggio email che simula, nella grafica e nel contenuto, quello di una istituzione nota al destinatario (per esempio la sua banca, il suo provider web, un sito di aste online a cui è iscritto). l'e-mail contiene quasi sempre avvisi di particolari situazioni o problemi verificatesi con il proprio conto corrente/account (ad esempio un addebito enorme, la scadenza dell'account, ecc.) oppure un'offerta di denaro. l'e-mail invita il destinatario a seguire un link, presente nel messaggio, per evitare l'addebito e/o per regolarizzare la sua posizione con l'ente o la società di cui il messaggio simula la grafica e l'impostazione (Fake login). il link fornito, tuttavia, non porta in realtà al sito web ufficiale, ma a una copia fittizia apparentemente simile al sito ufficiale, situata su un server controllato dal phisher, allo scopo di richiedere e ottenere dal destinatario dati personali particolari, normalmente con la scusa di una conferma o la necessità di effettuare una autenticazione al sistema; queste informazioni vengono memorizzate dal server gestito dal phisher e quindi finiscono nelle mani del malintenzionato. il phisher utilizza questi dati per acquistare beni, trasferire somme di denaro o anche solo come "ponte" per ulteriori attacchi. Talora, l'e-mail contiene l'invito a cogliere una nuova "opportunità di lavoro" (quale operatore finanziario o financial manager), consistente nel fornire le coordinate bancarie del proprio conto online per ricevere l'accredito di somme che vanno poi ri-trasferite all'estero tramite sistemi di trasferimento di denaro (Western Union o Money Gram), trattenendo una percentuale dell'importo, che può arrivare a cifre molto alte. In realtà si tratta del denaro rubato con il phishing, per il quale il titolare del conto online beneficiario, spesso in buona fede, commette il reato di riciclaggio di denaro sporco. Quest'attività comporta per il phisher la perdita di una certa percentuale di quanto è riuscito a sottrarre, ma esiste comunque un interesse a disperdere il denaro sottratto in molti conti correnti e a fare ritrasferimenti in differenti Paesi, perché così diviene più difficile risalire alla identità del criminale informatico e ricostruire compiutamente il meccanismo illecito. Peraltro, se i trasferimenti coinvolgono più Paesi, i tempi per la ricostruzione dei movimenti bancari si allungano, poiché spesso serve una rogatoria e l'apertura di un procedimento presso la magistratura locale di ogni Paese interessato.
Lista dei tipi di phishing Phishing Il phishing è un tipo di truffa effettuata su Internet attraverso la quale un malintenzionato cerca di ottenere informazioni personali, dati finanziari o codici di accesso, fingendosi un ente affidabile in una comunicazione digitale. Spear phishing Un attacco mirato verso un individuo o una compagnia è stato denominato spear phishing. Gli attaccanti potrebbero cercare informazioni sull'obiettivo per poter incrementare le probabilità di successo. Questa tecnica è, alla lunga, la più diffusa su internet, con una quota del 91% degli attacchi.