Phishing: le dimensioni aziendali influiscono sugli attacchi

Bastano meno di 30 secondi perché una persona cada vittima di una truffa di phishing. In media, un utente impiega 21 secondi per cliccare su un link malevolo dopo aver aperto una email sospetta, e ne bastano 28 per inserire i dati richiesti. Sono questi alcuni dei dati contenuti nel secondo 2024 Data Breach Investigations Report redatto da Verizon, che testimonia incontrovertibilmente l’efficacia e la pervasività degli attacchi via email. Queste informazioni sono citate in un recente report di Barracuda che ricorda come, nonostante la formazione e i continui appelli degli esperti, il phishing continui imperterrito a rappresentare una minaccia seria alla cybersecurity. Uno strumento di attacco relativamente semplice da implementare, economico e facilmente scalabile, ma di intramontabile successo.

A ciascuno il suo phishing

Barracura fornisce una interessante classificazione del phishing per tipologie e dall’associazione di ciascuna tipologia a una categoria di vittime ben precisa. Si parte con il phishing esterno, quello che tutti conosciamo: gli attaccanti inviano email da account esterni all'azienda target, cercando di ingannare il destinatario affinché fornisca informazioni personali o finanziarie. Spesso queste email sembrano provenire da fonti legittime, come banche o servizi di pagamento online, e includono link malevoli o allegati infetti.

Meno noto ai più è il phishing laterale: in questo caso gli attacchi provengono dall'interno dell’azienda stessa. Gli attaccanti compromettano un account email interno e inviano messaggi fraudolenti ad altri utenti della rete aziendale. Si tratta di un tipo di attacco particolarmente insidioso poiché è più difficile per le vittime sospettare delle email dei propri colleghi o superiori. I messaggi possono contenere spam o tentativi di frode più sofisticati.

Non serve invece una presentazione per i Business Email Compromise, meglio noti come attacchi BEC: si tratta di attività altamente mirate, per lo più ai danni i dirigenti e i dipendenti che hanno accesso a dati sensibili o a informazioni finanziarie. Gli attaccanti si fingono manager o dirigenti d'azienda e inducono i destinatari a eseguire bonifici o divulgare informazioni critiche, spesso causando danni finanziari ingenti.

Chi è più soggetto agli attacchi

Esaminando i dati di attacchi mirati avvenuti tra giugno 2023 e maggio 2024, Barracuda ha concluso che le aziende più grandi sono più soggette alle azioni di phishing laterale, mentre quelle di dimensioni inferiori cadono più spesso vittime di phishing esterno. Nel dettaglio circa il 42% degli attacchi mirati rilevati nelle grandi organizzazioni ha coinvolto phishing laterale, mentre questa percentuale scende drasticamente al 2% per le aziende più piccole.

Tanta differenza è motivata dal fatto che le grandi aziende, con migliaia di dipendenti e numerosi canali di comunicazione, offrono più opportunità di sfruttamento per i cybercriminali, che possono diffondere rapidamente messaggi malevoli all'interno dell'organizzazione. Inoltre, queste aziende spesso custodiscono grandi quantità di dati sensibili e finanziari, rendendole bersagli molto attraenti per gli attacchi di phishing laterale.

In compenso, le aziende di piccole dimensioni sono molto più soggette agli attacchi di phishing esterno. I dati rivelano che le realtà con oltre 2.000 caselle di posta elettronica hanno ricevuto in media circa 7.500 minacce di phishing in 12 mesi, contro un numero significativamente inferiore di attacchi complessivi (circa 180 in un anno) associati alle aziende con meno di 100 caselle di posta. Tuttavia, nel primo caso la frequenza degli attacchi per singolo account è risultata sorprendentemente bassa (mediamente un singolo account è stato colpito solo una volta nell'arco di un anno), mentre nelle aziende più piccole in media ogni account è stato bersagliato sei volte.

Il motivo di questa differenza, secondo gli esperti, è da ricercare nella struttura organizzativa e disponibilità delle risorse: le aziende più piccole tendono ad avere una struttura organizzativa più piatta, il che semplifica l’accesso da parte degli attaccanti a informazioni utili per orchestrare un attacco.

Non solo: nelle piccole imprese spesso mancano risorse e competenze interne, oltre a sistemi di sicurezza avanzati in grado di rilevare e bloccare le minacce via email nelle fasi iniziali. Anche le impostazioni di filtraggio delle email potrebbero essere configurate in modo non ottimale, consentendo il passaggio di un numero maggiore di attacchi.

L’opposto di quanto accade nelle grandi organizzazioni, dove risorse e strumenti sono in genere strutturati e adeguati, e gli account con accesso privilegiato sono generalmente concentrati tra un numero ristretto di individui, spesso dirigenti o responsabili di funzioni critiche. Di conseguenza, questi account ricevono la maggior parte degli attacchi, mentre molte altre caselle di posta aziendali restano relativamente sicure, portando a una media complessivamente più bassa di attacchi per singolo account.