Secondo il procuratore di Manhattan Cyrus Vance la cybersecurity è la seconda emergenza di New York dopo il rischio terrorismo. Lo ha detto qualche giorno fa in un consesso dove la preoccupazione maggiore per gli utenti della rete sarebbe rappresentata dal phishing.

Non è l’unico a pensarla così. A dargli manforte è intervenuto il sottosegretario di stato Jeh Johnson che guida la Homeland Security. Il phishing è una tecnica di ingegneria sociale grazie alla quale gruppi criminali e singoli malintenzionati cercano di ottenere quante più informazioni possibili sulle vittime per sostituirsi ad esse e compiere delle azioni al posto loro, in genere per derubarle. L’attacco comincia sovente da un indirizzo email trovato in rete oppure ricostruito con un po’ di logica a partire dal nome del bersaglio.

Questa “pesca a strascico” dei nostri dati personali usati per installare malware e ransomware fanno diventare i nostri dispositivi miniere d’oro per i criminali digitali.

Per questo motivo molti – e non solo Cyrus Vance –, sottolineano che sia l’antica, vetusta email personale, lo strumento più pericoloso per la sicurezza di persone, organizzazioni e stati. È attraverso l’email che arrivano gli attacchi di phishing, nella forma di un messaggio plausibile proveniente da qualcuno che ci invita a cliccare su un sito apparentemente legittimo e legale, somigliante in tutto e per tutto a quelli che usiamo ogni giorno, ma che contiene un codice malevolo capace di farci scaricare e installare un virus in grado di fare essenzialmente due cose: esfiltrare i dati del nostro computer e contagiarlo prendendone il controllo.

Dallo Spear-phishing all’Angler-phishing

La variante più pericolosa del phishing è stata finora lo spear-phishing, cioè la richiesta di aprire allegati o visitare link in grado di prendere il controllo di dati e computer solo perché proveniente da persone o indirizzi che conosciamo o crediamo di conoscere.

Dicevo “era”, perché oggi, il phishing più pericoloso è l’Angler-phishing. Di che si tratta? Intanto diciamo che anglerfish sono i pesci nordamericani con quelle bocche gigantesche e un filamento a forma di verme sul cranio che gli serve per attirare le prede. Ce l’avete presente? Beh, un anglerfish è il pesce cattivo di Alla ricerca di Nemo, il famoso cartoon cinematografico.

L’angler-phishing però, in gergo informatico si riferisce alle email fasulle di grandi organizzazioni, provider internet, banche e servizi postali e di delivery che ci invitano a reimpostare password e settings dei nostri account legittimi.

Le persone che ricevono molte email e che sono a digiuno di cyber-prevenzione, tendono a farlo più spesso di quanto si pensi, anche perché è conoscenza comune il fatto che i social media oppure Google, Microsoft & co, hanno dei team dedicati ai clienti e che includono tra le procedure di customer care, la verifica e il controllo dell’integrità degli account. Sovente la loro intestazione è “Team degli account NOMEAZIENDA” e la sintassi dell’indirizzo è “<[email protected]>”

Phishing, elezioni e disattenzione

Quindi, frodando la fiducia degli utenti inconsapevoli della vecchia, semplice, email, i criminali che si presentano con un messaggio di posta elettronica dove dimostrano di conoscere almeno il nostro nome o l’indirizzo che usiamo, riescono a convincerci a fare quello che non vorremmo: abbeverarci a un pozzo avvelenato.

Se vi sembra strano riflettete su questo: il furto delle email del comitato democratico, i famosi DNCleaks, che hanno avuto un certo peso nella consultazione presidenziale Usa, è stato realizzato attraverso un attacco di spear-phishing. La prima volta a farne le spese è stata una consulente dello staff elettorale dei democratici, la seconda volta è stato John Podesta, l’advisor della Camera diventato campaign manager di Hillary Clinton. Podesta aveva cliccato sui link di una email che sembrava provenire da Gmail. Il resto è storia.