Google: chi abbocca al phishing?

Se è vero che i cittadini della Rete si mostrano progressivamente meno ingenui e più responsabili, è altrettanto vero che i truffatori hanno imparato a muoversi con scaltrezza ed efficienza: Google, che cerca di imbrigliare con i propri filtri la fiumana di messaggi insidiosi che scorre attraverso i propri servizi, ha analizzato il fenomeno del phishing rivelando come questa tattica di ingegneria sociale non sia affatto tramontata.

Lo studio presentato da Google e condotto in collaborazione con la University of California, San Diego , che si fonda sui dati raccolti da Mounatin View tra il 2011 e il 2014, prende in considerazione in fenomeno del manual hijacking , l’appropriazione degli account condotto senza l’impiego di botnet o di sistemi di intrusione che operino su larga scala. Si tratta di attacchi sofisticati, in cui l’ intervento umano è necessario per profilare almeno in maniera grossolana le vittime, blandirle con messaggi apparentemente affidabili e sfruttarne gli account, si tratta di attacchi che quotidianamente, spiega Google, si misurano in 9 casi su un milione di utenti. Nonostante rappresentino una minima percentuale dei tentativi di appropriazione degli account, si spiega nello studio, i danni inferti si dimostrano decisamente gravi.

L’impegno dei cybercriminali, si spiega, è spesso mirato a conquistare l’accesso all’email (nel 35 per cento dei casi), alle credenziali di accesso ai servizi bancari (nel 21 per cento dei casi) ma anche allo sfruttamento di account su app store e social network. Concentrati sui target e sulla costruzione di scenari truffaldini credibili, gli aggressori mostrano di preferire per questo genere di attacchi il veicolo del phishing , meno dispendioso e meno macchinoso dello sfruttamento di vulnerabilità di sicurezza. Nel 99 per cento dei casi la truffa parte da una email: direzionando i destinatari su pagine nelle quali compilare dei form con le proprie credenziali, lo studio osserva che gli utenti che si lasciano ingannare dalla missiva e si rechino sul sito linkato in media completano i moduli nel 13,5 per cento dei casi . Le pagine che meglio riescono a dimostrarsi affidabili conquistano i dati degli utenti nel 45 per cento dei casi, mentre quelle che si mostrano meno accurate nel simulare lo scenario che propongono ottengono successo nel 3 per cento dei casi.

Una volta appropriatisi delle credenziali ambite, i cybercriminali sono pronti ad operare in maniera fulminea, spiega lo studio: offrendo ai truffatori dati relativi a 200 account Google creati ad hoc, i ricercatori hanno rilevato come nel 20 per cento dei casi i cybercriminali abbiano fatto accesso agli account nel giro di 30 minuti , nel 50 per cento dei casi entro le 7 ore successive. I tempi di accesso rivelano inoltre come in media siano necessari 3 minuti per valutare la redditività dell’account in termini di contenuti sfruttabili (credenziali di accesso ad altri servizi, immagini utilizzabili per ricattare la vittima e via dicendo) e di contatti, potenziali vittime di ulteriori truffe o spam. Agli account che si dimostrino promettenti, per i quali viene operato un prevedibile cambio di password e di impostazioni di sicurezza, oltre ad eventuali dirottamenti della posta in arrivo su account terzi, i cybercriminali dedicano ancora 15-20 minuti: in questo lasso di tempo scelgono se architettare truffe nei confronti dei contatti, inviando ad esempio delle email con accorate e dettagliate richieste d’aiuto a nome del detentore dell’account rubato, oppure riciclare l’account per metterlo al servizio di ulteriori schemi di phishing.

Lo studio fa emergere inoltre dei dettagli che sembrano dimostrare come le campagne di manual hijacking siano organizzate su base regolare, gestite come una qualsiasi attività legale : gli indirizzi IP da cui si originano gli attacchi sono prevalentemente localizzati in Cina, in Costa D’Avorio, in Malesia, in Nigeria e in Sudafrica, gli strumenti adottati ricorrono, gli orari di attività rispecchiano le scansioni tipiche del lavoro d’ufficio, con l’allentarsi nei ritmi nei fine settimana e intorno alle canoniche ore di riposo. È proprio per la natura organizzata e reattiva di questo tipo di attività illecita che lo studio raccomanda agli utenti l’adozione di misure di sicurezza stringenti ed efficaci: una scelta oculata delle impostazioni per il recupero degli account e sistemi di autenticazione a doppio fattore, spiega Google, risultano utili almeno quanto l’attenzione e la diffidenza che gli utenti dovrebbero adottare nello sfogliare la propria posta in arrivo.

Gaia Bottà