Crescono gli attacchi di phishing: nuove tecniche e trend

Nonostante le continue campagne di sensibilizzazione e l'adozione di misure di sicurezza avanzate, è ormai un dato di fatto che il phishing rappresenta una delle minacce più insidiose nell’attuale panorama di cybersecurity, soprattutto perché fa leva sull’anello debole della catena: l’utente finale, spesso impreparato ad affrontare tecniche di attacco sempre più sofisticate ed evolute.

Il problema emerge in tutta la sua portata nel recente report Spam and Phishing in 2024 di Kaspersky, basato sull'analisi dei dati raccolti attraverso i propri sistemi di monitoraggio durante tutto il 2024, e passa in rassegna tendenze, settori più colpiti e tecniche emergenti utilizzate dagli attaccanti.

Partiamo dai dati: secondo i calcoli di Kaspersky, nel 2024 il 27% di tutte le email inviate in tutto il mondo era spam, e di queste ultime il 18% proveniva dalla Russia. I sistemi di Kaspersky hanno bloccato oltre 893 milioni di tentativi di phishing, con un aumento del 26% rispetto al 2023, che è stato particolarmente evidente nel periodo tra maggio e luglio, in coincidenza con la stagione turistica, caratterizzata da truffe a tema (false prenotazioni alberghiere, biglietti aerei fraudolenti e promozioni ingannevoli).

Uno degli aspetti più rilevanti riguarda l’imitazione di brand noti: il monitoraggio di Kaspersky evidenzia la falsificazione di piattaforme popolari quali Booking, Airbnb, TikTok e Telegram con l’obiettivo di sottrarre credenziali di accesso o diffondere malware. I truffatori hanno inoltre sfruttato argomenti di tendenza per rendere più credibili le loro esche, come nel caso delle truffe legate al videogioco di criptovalute Hamster Kombat e ai wallet TON.

Email malevole e spam

Nel 2024 Kaspersky ha rilevato oltre 125 milioni di tentativi di attacchi tramite allegati malevoli che attiravano le potenziali vittime con svariate tecniche: archivi compressi e protetti da password, immagini SVG nascoste dietro a grafiche apparentemente innocue e molto altro. In molti casi l’esca consisteva in false notifiche giudiziarie, offerte ingannevoli e comunicazioni istituzionali contraffatte.

Sul fronte dello spam, quasi una email su due (47% del traffico globale), è risultata essere spam, con un aumento di 1,27 punti percentuali rispetto al 2023. Gran parte di questi messaggi era banalmente una pubblicità indesiderata, ma è stata significativa la percentuale che rappresentava una minaccia per la sicurezza, come le comunicazioni relative a soluzioni di intelligenza artificiale, webinar su AI, strategie per aumentare i follower sui social media, eccetera.

A ricordare che quello della security è un campo in continua evoluzione ci hanno pensato i metodi innovativi messi a punto dagli attaccanti per bypassare l’autenticazione a due fattori con l’impiego di bot e kit di phishing avanzati per intercettare i codici OTP. Inoltre, i truffatori hanno sfruttato immagini false di personaggi famosi per attirare le vittime con la promessa di premi inesistenti.

Infine, il report evidenzia l’importante ruolo assunto dall’AI nella creazione delle campagne di phishing, soprattutto nell’ambito della generazione di siti web tanto falsi quanto realistici, e nella stesura di testi corretti e accattivanti.

Come proteggersi

Come indicato decine di volte, la difesa efficace dal phishing passa per una buona dose di consapevolezza e una sana componente di diffidenza. Mai attivare link o aprire allegati da email inaspettate e/o provenienti da mittenti sconosciuti. Nel caso in cui il mittente fosse apparentemente legittimo, ma il contenuto del messaggio fosse insolito, gli esperti consigliano di condurre una verifica ulteriore: è sufficiente una telefonata se è una comunicazione di un collega, oppure la consultazione del sito web di riferimento se l’argomento è relativo a un acquisto online, a un movimento bancario o a un avviso istituzionale.

Per controllare la bontà del mittente spesso basta verificare attentamente l'ortografia dell’indirizzo di provenienza: potrebbe apparire corretto a prima vista, ma a un’analisi attenta riportare una lettera minuscola al posto di una maiuscola, o un numero al posto di una lettera.

Ultimo ma non meno importante: utilizzare una soluzione di sicurezza consolidata per la navigazione in rete che abbia accesso a fonti internazionali di threat intelligence.