Sicurezza IT proattiva
 

Spear phishing - attacchi mirati contro un'organizzazione

2007-01-19 [Discussione sui malware, Sicurezza: terminologia e dibattiti, Social engineering]

22. januar 2007

Nel corso degli ultimi anni, il termine phishing si è reso ben noto. L'espressione divenne dapprima comune tra gli addetti alla sicurezza, ma ben presto si convertì in un termine usato senza ulteriori spiegazioni anche in articoli di riviste, giornali e altri media.

Recentemente ha fatto la sua apparizione una variante specializzata di phishing, nota come "spear phishing" (pesca con la fiocina).

I tentativi di phising "abituale" sono generalmente rivolti a individui scelti in modo più o meno casuale, con l'intento di indurli a compiere azioni specifiche che andrebbero in qualche modo a compromettere i propri dati personali. Lo spear phishing invece non ha come obiettivo individui a caso.
Spear phishing - attacchi mirati contro un'organizzazione: si potrebbe registrare, ad esempio, un tentativo di phishing da parte di un'organizzazione contro un concorrente (solitamente a scopo di spionaggio industriale) oppure da parte di un'agenzia di intelligence nei confronti di un'azienda sospetta, o ancora da parte di criminali nei confronti delle istituzioni per l'ordine pubblico.

Gran parte degli utenti sono stati informati in più occasioni sui rischi legati a tentativi di phishing con false richieste da parte di banche e altre istituzioni di rivelare i propri nomi utente, le proprie password e così via. Presumibilmente sono ormai pochi coloro che credono ancora che una banca possa richiedere di confermare, tramite e-mail, il proprio nome utente, password o i dati di una carta di credito.
Benvenuti allo spear phishing: l'artefice ti questo tipo di minaccia è in grado di forgiare un messaggio e-mail in modo estremamente convincente, ad esempio facendo credere che sia stato inviato da un capo reparto IT. Il messaggio può essere ulteriormente personalizzato in modo tale da rendere ovvio che è riferito unicamente all'organizzazione specifica in questione. In una situazione di attacco di phishing, sono le abilità di social engineering dell'artefice a determinare le probabilità di successo del tentativo. Nel caso di un attacco di spear phishing, tuttavia, le probabilità di successo sono molto più elevate.

Chi lancia l'attacco di spear phishing dispone di diversi strumenti da mettere in funzione quando una delle vittime delle organizzazioni prese di mira viene "trafitta dalla fiocina". Può installare, ad esempio, delle backdoor sui computer compromessi e guadagnare accesso al computer o rete per ottenere informazioni riservate. Può inoltre installare dei keylogger per ottenere le sequenze di tasti digitate per comporre nomi utente e password. Chi lancia l'attacco può inoltre installare virus che inviino tutti i file di un particolare tipo ai quali il computer della vittima ha accesso. E così via...

A differenza del tentativo di phishing generico, più comune, l'attacco di spear phishing è molto più difficile da ostacolare. Vi sono almeno due motivi per questo:

  • gli attacchi sono diretti a piccoli numeri di individui, ed è quindi più difficile per gli addetti alla sicurezza venirne a conoscenza e fornire protezione e avvisi;
  • dal momento che gli attacchi hanno come obiettivo il personale di un'organizzazione specifica, le tecniche di social engineering possono essere molto specifiche e personalizzate per i dipendenti di tale organizzazione.