I criminali informatici utilizzano tecniche sempre più sofisticate per prendere di mira le persone. Siti web che sembrano legittimi, ma sono in realtà pericolosi, sono un vettore comune per le loro campagne.
È facile che le persone abbassino il loro livello di attenzione quando svolgono attività quotidiane come ricerche, acquisti, pagamento di fatture o controllo dei social media. Scopri le conclusioni del report State of the Phish 2023 di Proofpoint che analizza il panorama delle minacce del 2022:
- Oltre un terzo dei lavoratori adulti ha compiuto almeno un’azione pericolosa, come fare clic su un link dannoso o scaricare malware o esporre i propri dati personali o le credenziali di accesso.
- Oltre il 60% dei lavoratori adulti non sa che l’intestazione del link di un'email potrebbe non corrispondere al sito web a cui il link conduce.
Questi dati sono preoccupanti. La nostra ricerca mostra inoltre che l’84% delle aziende è stata colpita da un attacco di phishing riuscito nel 2022 e che questi attacchi si basano sul fatto che l’utente faccia clic su qualcosa di dannoso.
I collaboratori sono la prima linea di difesa per un’azienda. Prendiamo in considerazione le recenti tendenze delle minacce che prendono di mira la navigazione web da cui devono difendersi.
- Chatbot basati sull’intelligenza artificiale come ChatGPT
- Phishing dell’autenticazione a più fattori (MFA, Multi-Factor Authentication)
- Attacchi del browser nel browser (BitB, Browser-in-the-Browser)
Il fascino e i pericoli delle chatbot basate sull’intelligenza artificiale
I chatbot basati sull’intelligenza artificiale sono diventati rapidamente popolari grazie alla loro capacità di assistere istantaneamente gli utenti attraverso interazioni in linguaggio naturale. ChatGPT è il più noto ma ne esistono altri come Microsoft Bing e Google Bard.
Questi chatbot sono spesso accessibili tramite un browser web. La possibilità di trasmettere e ricevere istantaneamente informazioni apre molti rischi di sicurezza in termini di disinformazione.
Gli utenti possono digitare informazioni personali nel browser in risposta a un chatbot basato sull’intelligenza artificiale. E come abbiamo già visto in passato con le iniezioni bancarie, qualsiasi trasmissione di informazioni personali attraverso il browser può diventare un obiettivo per i criminali informatici.
I chatbot acquisiscono i dati degli utenti per migliorare le loro prestazioni e personalizzare le interazioni. Ciò può anche destare preoccupazioni per la privacy dei dati personali. Se i dati non sono archiviati in modo sicuro o crittografati in modo adeguato, potrebbe verificarsi un accesso non autorizzato che porta al furto d’identità o a violazioni dei dati.
La minaccia del phishing dell’autenticazione a più fattori (MFA)
Poiché l’autenticazione a due fattori (2FA) o a più fattori (MFA) è diventata una misura di sicurezza standard, le tecniche di phishing MFA “man-in-the-middle” si sono evolute al fine di rubare token MFA.
In un attacco di phishing MFA, la vittima visita una pagina fraudolenta che utilizza un proxy inverso per visualizzare l’interfaccia di accesso del servizio legittimo. Il tentativo di accesso sembra procedere normalmente, ma quando la vittima digita il suo codice MFA e altre credenziali di accesso utente, il proxy inverso intercetta il suo token MFA e lo ruba.
In questo modo i criminali informatici possono aggirare il livello di sicurezza MFA ed entrare nell'account dell'utente. Potrebbero impossessarsi di dati sensibili, informazioni personali e dati finanziari o anche rubare informazioni personali per rubare l’identità delle vittime o utilizzare l'account per accedere ad altri sistemi e dati privati.
Attenzione agli attacchi di browser nel browser (BitB)
Questa avanzata forma di phishing delle credenziali d’accesso è difficile da rilevare. Oltre a creare una pagina di phishing convincente, il criminale informatico crea anche una finestra pop-up di Single Sign-On (SSO) fasulla. Si tratta della finestra che gli utenti vedono quando decidono di accedere a un servizio con le credenziali di un sito affidabile come Google, Apple o Twitter.
La falsa pagina SSO viene creata modificando il codice del sito web di phishing per aggiungere un’altra pagina web separata incorporata nella pagina di phishing. Se l’utente inserisce le proprie credenziali d’accesso al sito affidabile, l’hacker le acquisisce e può così avere accesso a un componente fondamentale dell’identità digitale della vittima.
Lezione da ricordare: le azioni delle persone sono la miglior difesa
I browser web dispongono di funzioni di sicurezza che avvisano l’utente in caso di pericoli potenziali. Ma non impediscono all’utente di svolgere comunque azioni pericolose. È responsabilità di ogni singolo fermarsi a riflettere prima di agire o reagire. Questo è il motivo per cui la formazione di sensibilizzazione alla sicurezza informatica sono fondamentali nell’aiutare gli utenti a comprendere come riconoscere le minacce e applicare le loro conoscenze a situazioni concrete.
È cruciale prestare attenzione ai dettagli di un sito web e considerare elementi e comportamenti relativi alla sua sicurezza, come ad esempio:
- Messaggi a comparsa che sembrano messaggi del browser che richiedono di installare o aggiornare il software
- Download gratuiti come film, musica o video che nascondono software dannoso
- Offerte gratuite che richiedono informazioni personali in cambio di un omaggio
- La comparsa di marchi noti può creare un falso senso di sicurezza: riconosci il marchio, ma le immagini sembrano legittime?
- Utilizzo del nome di dominio principale del sito web corretto (ad esempio "microsoft.com"), ma parole o ortografia insolite nel resto dell'URL
- URL di siti web che appaiono nei risultati di ricerca ma non sono link legittimi
- URL abbreviati da servizi come Bitly e TinyURL che possono mascherare la vera destinazione di un link
- Messaggi di avviso del browser che indicano che un sito web non è sicuro o non può essere autenticato
- Funzionalità sospette del browser come la mancanza di un certificato di sicurezza
- Sito web che richiede di inserire informazioni finanziarie o sensibili (non farlo se non sei sicuro della fonte).
- Mantieni aggiornato il tuo browser per proteggerti dai problemi di sicurezza noti. Presta attenzione alle estensioni e agli aggiornamenti automatici per i plug-in.
“Navigazione web: Road Trip” è il tema del kit di sensibilizzazione alla sicurezza informatica 2023 di Proofpoint.
Passo successivo: scarica il kit del mese di sensibilizzazione alla sicurezza informatica
Il mese della sensibilizzazione alla sicurezza informatica è ogni ottobre, un momento importante per insegnare agli utenti di proteggere sé stessi e la loro azienda contro le minacce attuali.
Per aiutarti il prossimo ottobre, Proofpoint ha pubblicato un kit di sensibilizzazione alla sicurezza informatica 2023, disponibile gratuitamente, focalizzato sul tema cruciale della protezione della navigazione web. Il kit Navigazione web: Road Trip offre, per un periodo di quattro settimane, contenuti e comunicazioni selezionati in tema di sicurezza online, oltre a materiale di preparazione al lancio e suggerimenti su come concludere la campagna.
Scarica e utilizza il nostro kit del mese di sensibilizzazione alla sicurezza informatica nel corso di ottobre, o quando hai bisogno di rilanciare il tuo programma.
Un programma di sensibilizzazione alla sicurezza informatica attivo tutto l'anno darà probabilmente risultati migliori quando si tratta di ridurre i rischi legati agli utenti. Visita il nostro Centro di sensibilizzazione alla sicurezza informatica per saperne di più su come trasformare i tuoi utenti in supereroi della sicurezza informatica, sia al lavoro che a casa.