Phishing cos'è? Definizione e come riconoscerlo

Cosa si intende con phishing?

La parola “phishing” è un neologismo creato a partire dalla parola “fishing” (che tradotto significa “pesca”), rimandando all’uso metaforico di un’esca da parte di soggetti malintenzionati per ingannare le vittime e ottenere, illegalmente, i loro dati. Si tratta dunque di un metodo che viene spesso usato da cybercriminali che, sfruttando i mezzi digitali, si spacciano per soggetti affidabili per indurre altri utenti a divulgare dati confidenziali, personali e/o bancari rilevanti. Solitamente al proprietario dell’indirizzo email viene richiesto l’invio o l’aggiornamento di dati personali specifici, presentando motivazioni di diverso tipo, come per esempio la perdita di alcuni dati o un attacco al sistema informatico che potrebbero compromettere la privacy dell’utente.

Spesso le email fasulle riproducono in maniera molto accurata e verosimile l’impostazione e parte dei contenuti presenti nelle email inviate dai soggetti per cui si spacciano (come per esempio banche ma anche aziende come Amazon, Aruba o Paypal).

Tendenzialmente la pratica di phishing viene associata all’invio di email, ma in realtà questo tipo di frode online può essere effettuata tramite anche altri tipi di comunicazione digitale come per esempio gli SMS (in questo caso c’è chi parla di SMS phishing o di smishing).

Quali sono le tipologie di phishing ed esempi

Al di là della pratica di phishing che passa dall’invio massiccio di email a un grande numero di utenti, è possibile distinguere altri tipi di phishing tra cui

• spear phishing: i cybercriminali puntano a colpire soggetti, organizzazioni o aziende, cercando di ottenere dei dati che spesso vengono utilizzati per effettuare attacchi informatici, per esempio ai sistemi informatici di grandi aziende o istituzioni;
• whaling: è un tipo di phishing che punta all’ottenimento di informazioni particolarmente rilevanti a livello economico o commerciale. Il termine “whaling” infatti rimanda al termine “whale” e quindi al tentativo di “pescare un grande pesce” (metaforicamente parlando). In questi casi di solito il target principale è rappresentato da dirigenti o individui con ruoli chiave all’interno delle organizzazioni, i quali hanno accesso a informazioni particolarmente rilevanti;
• clone phishing: l’espressione rimanda al modus operandi utilizzato per ingannare le potenziali vittime. In questo caso, i soggetti vanno a clonare o a imitare parzialmente una reale email, modificandola, con l’aggiunta, per esempio, di link in cui cliccare per aggiornare dati personali dell’utente, che vengono così inviati all’autore della email fasulla.

Come fatto notare, il phishing può colpire degli utenti comuni ma in molti casi ha come bersaglio le grandi aziende e le istituzioni. In questi casi, le implicazioni associate al furto di dati tendono a essere di dimensioni maggiori. Nel caso di multinazionali, per esempio, o di enti governativi, situazioni di phishing possono comportare l’accesso da parte di cybercriminali a dei dati particolarmente sensibili come per esempio quelli relativi alle transazioni aziendali, ma anche dati personali dei relativi clienti (dunque codice fiscale, numero della carta di credito, ecc.).

Al di là delle motivazioni meramente economiche e commerciali, non raramente il phishing (come anche il doxing ) viene utilizzato per motivazioni politico-economiche, in contesti di conflitto fra stati per esempio. A questo proposito, in un periodo di particolare tensione tra Stati Uniti e Iran (a seguito dell’attacco americano che ha provocato la morte del generale iraniano Quasem Soleimani, a gennaio 2020), alcuni esperti hanno fatto riferimento alla probabilità di eventuali reazioni di natura informatica da parte dell’Iran. In un’intervista a Business Insider Italia, Mike Beck, global head of threat analysis di Darktrace, ha infatti allertato circa la necessità di prepararsi ad affrontare minacce come quella del phishing, aggiungendo che «non solo le agenzie governative, ma anche le aziende rischiano di finire nel mirino degli abili hacker iraniani».

Come difendersi da queste minacce online

Anche se non ci sono delle pratiche anti-phishing totalmente infallibili, è possibile imparare a riconoscere messaggi o email di questo tipo ed effettuare delle segnalazioni.

Un potenziale segnale di pericolo potrebbe essere la richiesta di invio di dati sensibili o confidenziali tramite email. Questi dati non vengono di solito chiesti dalle aziende tramite posta elettronica proprio per evitare il loro “furto”: aggiornamenti o cambiamenti di password o di altri dati rilevanti vengono effettuati in maniera (tendenzialmente più) sicura sul sito delle aziende, una volta effettuato il login.

In caso di dubbio, comunque, l’ideale è sempre contattare l’azienda o l’istituzione in questione, per chiarimenti. A questo proposito, è importante ricordare di non rispondere mai ad una email o a un numero di telefono estrapolato dal messaggio potenzialmente fasullo, cercando sempre una email o un contatto già utilizzati in precedenza per comunicare con l’ente in questione.

Come pratica anti-phishing, spesso le aziende e le organizzazioni mettono a disposizione dei sistemi di segnalazione di tentativi fasulli di ottenimento di dati confidenziali, come nel caso di Poste Italiane che sul proprio sito ha una sezione ad hoc e un indirizzo di posta “anti-phishing” a cui inviare le segnalazioni, allegando la relativa comunicazione potenzialmente fasulla.

Sul sito di Aruba è possibile invece trovare diversi consigli per evitare di essere vittima di phishing, imparando a riconoscere eventuali email false.