Gli esperti di ESET hanno pubblicato un articolo in cui spiegano come funzionano le truffe vishing, come influiscono su aziende e individui e come puoi proteggerti da loro.
“Abbiamo tutti sentito parlare di phishing, la famosa truffa via e-mail che falsifica fonti autorevoli per indurre i destinatari a fornire informazioni sensibili o a scaricare malware. Bene, vishing è il suo equivalente di chiamata vocale. È un trucco con molte varianti che possono avere un impatto sia sugli individui che sulle aziende, con conseguenze potenzialmente devastanti.
Insieme, phishing, smishing, pharming e vishing sono costati più di 241.000 vittime per oltre 54 milioni di dollari nel 2020. E questi sono solo i casi che sono stati segnalati all’FBI poiché molti casi di frode non vengono denunciati.
Il problema con l’ingegneria sociale
Il vishing funziona per un’ottima ragione: la fallibilità umana. L’ingegneria sociale è al centro degli sforzi dei truffatori. È, in effetti, l’arte della persuasione. L’ingegneria sociale consiste nell’impersonare un’autorità fidata – la tua banca, il fornitore di tecnologia, il governo, un operatore dell’help desk IT – e creare un senso di urgenza o paura che prevale su qualsiasi cautela o sospetto naturale che la vittima potrebbe avere.
Queste tecniche vengono utilizzate nelle e-mail di phishing e nei messaggi di testo falsi (noti come smishing). Ma forse sono più efficaci se usati “dal vivo” al telefono. I Visher hanno diversi strumenti e tattiche aggiuntive per rendere le loro truffe più efficaci, tra cui:
- Strumenti di spoofing dell’ID chiamante, che possono essere utilizzati per nascondere la posizione reale del truffatore e persino impersonare i numeri di telefono di organizzazioni fidate. L’anno scorso, ad esempio, ai clienti dell’hotel Ritz London sono stati rubati i loro dati personali durante una violazione dell’hotel di lusso e i truffatori hanno quindi utilizzato i dati per lanciare convincenti attacchi di ingegneria sociale contro le vittime, falsificando il numero ufficiale dell’hotel.
- Truffe multicanale che potrebbero iniziare con un messaggio di testo smishing, un’e-mail di phishing o un messaggio vocale e incoraggiare l’utente a chiamare un numero. In questo modo la vittima passerà direttamente nelle mani di un truffatore.
- Social media scraping e ricerche open source che possono fornire al truffatore una grande quantità di informazioni sulle sue vittime. Può essere utilizzato per prendere di mira individui specifici (ad esempio, dipendenti aziendali con account privilegiati) e per aggiungere legittimità alla truffa, ovvero il visher può ripetere alcuni dettagli personali alla vittima in modo che possa aprirsi di più.
L’impatto del vishing sul posto di lavoro
È molto probabile che il vishing venga utilizzato nel contesto aziendale per rubare credenziali privilegiate. L’FBI ha avvertito più volte di tali attacchi. Nell’agosto 2020, ha dettagliato un’operazione sofisticata in cui i criminali informatici hanno ricercato i loro obiettivi e poi hanno chiamato fingendo di provenire dall’helpdesk IT. Le vittime sono state incoraggiate a inserire i propri dati di accesso su un sito di phishing precedentemente registrato progettato per falsificare la pagina di accesso VPN dell’azienda. Queste credenziali sono state poi utilizzate per accedere ai database aziendali e alle informazioni personali dei clienti.
Tali attacchi sono più comuni in parte grazie al passaggio di massa al lavoro a distanza durante la pandemia, ha avvertito l’FBI. Infatti, è stata costretta a emettere un’altra allerta nel gennaio 2021 per un’operazione in cui sono state utilizzate tecniche simili per ottenere l’accesso alla rete aziendale.
Una famigerata violazione su Twitter, in cui dipendenti altamente mirati sono stati indotti con l’inganno dai visher a rivelare i loro accessi, dimostra che anche le aziende e gli utenti esperti di tecnologia possono essere vittime. In questo caso, l’accesso è stato utilizzato per dirottare gli account di utenti famosi per distribuire una truffa con oggetto la criptovaluta.
In che modo il phishing vocale può colpire la tua famiglia
Sfortunatamente, anche i truffatori vishing sono attivi per colpire i consumatori. In questi attacchi, l’obiettivo finale è sfilarti soldi: rubando direttamente i dati del conto bancario o della carta o inducendoti con l’inganno a fornire informazioni personali e accessi che possono utilizzare per accedere a questi account.
Ecco alcune truffe tipiche:
Truffe del supporto tecnico
Nelle frodi del supporto tecnico, le vittime vengono spesso chiamate a freddo da qualcuno che finge di essere il loro ISP o un noto fornitore di software o hardware. Dichiareranno di aver trovato un problema inesistente con il tuo PC e quindi richiederanno il pagamento (e i dettagli della tua carta) per risolverlo, a volte scaricando malware nel processo. Queste truffe possono anche iniziare con un utente presentato con una finestra pop-up che lo invita a chiamare un numero di hotline.
Wardialing
Questa è la pratica di inviare messaggi vocali automatici a un gran numero di vittime e di solito cerca di spaventarli e di richiamarli, ad esempio affermando di avere tasse o altre multe non pagate.
Telemarketing
Un’altra tattica popolare è chiamare sostenendo che il destinatario ha vinto un premio favoloso. L’unico problema è che è richiesta una commissione anticipata prima che la vittima possa ricevere il premio.
Phishing/smishing
Come accennato, le truffe possono iniziare con un’e-mail contraffatta o un SMS falso, incoraggiando l’utente a chiamare un numero. Una popolare è un’e-mail “Amazon” che afferma che qualcosa non va in un ordine recente. Chiamare il numero metterà la vittima in linea con un truffatore vishing.
Come prevenire il vishing
Sebbene alcune di queste truffe stiano diventando sempre più sofisticate, c’è molto che puoi fare per mitigare il rischio di cadere vittima. Alcuni passaggi di base includono:
- Cancellati dall’elenco telefonico, così il tuo numero non è disponibile pubblicamente.
- Non inserire il tuo numero di telefono in alcun modulo online (ad esempio, quando acquisti online).
- Diffida delle richieste telefoniche per la tua banca, dati personali o altri dati sensibili.
- Prestare attenzione: non interagire con chiamanti non richiesti, soprattutto se chiedono di confermare dettagli sensibili.
- Non richiamare mai un numero lasciato in segreteria. Contattare sempre direttamente l’organizzazione.
- Utilizza l’autenticazione a più fattori (MFA) su tutti gli account online.
- Assicurati che la tua sicurezza email/web sia aggiornata e includa funzionalità anti-phishing”.
