Pronto chi parla? con l’aumento del lavoro da remoto e è tornata di moda la “vecchia” truffa telefonica, ma adesso potenziata perché diventa parte di una strategia di telefono (voce) + phishing via email o sms, ecco che nasce il “vishing”.
Check Point Research (CPR) avverte i lavoratori da remoto di “vishingattacks”, in cui gli hacker utilizzano i nomi dei dipendenti reali per creare storie con l’obiettivo di trarre in inganno le vittime e far condividere informazioni personali che possono aiutare gli hacker a rubare fondi o consegnare malware.
I ricercatori di CPR hanno anche convidiso le trascrizioni degli attacchi di vishing che hanno recentemente intercettato, per aiutare i lavoratori da remoto a riconoscerli e a proteggersi contro di loro.
- Gli hacker raccolgono informazioni da LinkedIn e dai social per determinare quali dipendenti hanno accesso al maggior numero di risorse
- Gli hacker reclutano persone che possano “impersonare” in modo verosimile il vero dipendente per effettuare chiamate fraudolente, dando loro una trascrizione da leggere
- Gli hacker cambiano regolarmente il numero di telefono di chi chiama, per evitare di essere classificati come spam
I ricercatori di CPR avvertono di un forte aumento degli attacchi di vishing in concomitanza con l’aumento del lavoro da remoto. Il vishing, una combinazione di ‘voce’ e ‘phishing’, è una truffa telefonica progettata per indurre una persona a condividere informazioni personali o dell’azienda. Durante la telefonata, gli aggressori impersonificano i dipendenti dell’azienda, spesso provenienti dai dipartimenti di finanza, risorse umane o legale, e sfruttano le tecniche di ingegneria sociale per ingannare le vittime e indurle a condividere le credenziali del proprio conto, le informazioni bancarie o altre informazioni sull’azienda. Gli aggressori utilizzano poi le informazioni per rubare i fondi della vittima e/o consegnare malware distruttivi.
Il commento di Lotem Finkelsteen, Manager di Threat Intelligence di Check Point: “Gli attacchi di vishing sono tra le maggiori minacce informatiche che i lavoratori remoti si trovano oggi ad affrontare, poiché questi tipi di attacchi sono ormai chiaramente una tendenza preoccupante per il 2020. In questi attacchi, l’aggressore controlla i vostri canali di informazione, lasciandovi senza una fonte affidabile per la verità. Una persona non può dire cosa è reale o falso. Stiamo vedendo che sempre più attacchi informatici, in più fasi, includono anche chiamate di vishing, per vari motivi. Per prima cosa gli attacchi di vishing aiutano gli hacker nella loro fase di ricognizione, dove possono apprendere di più sui loro obiettivi.
In secondo luogo, gli attacchi in vishing rafforzano la fase di phishing, poiché la combinazione di una chiamata con un messaggio SMS, ad esempio, aumenta l’inganno. In terzo luogo, gli attacchi di vishing diventano il fulcro dei principali cyber-attacchi, come l’inganno alle vittime per fargli trasmettere i codici 2FA inviati via SMS o a concedere l’accesso a un determinato sistema, come è avvenuto nell’hijacking degli account Twitter all’inizio di quest’anno. I lavoratori da remoto dovrebbero imparare ovunque a non sovra-condividere e a verificare costantemente l’autenticità di chi si trova al telefono”.
Come proteggersi?
- Non condividere troppo. A meno che non siate assolutamente certi di chi sia la persona con chi state parlando, non date mai informazioni personali al telefono, in particolare i dettagli per i pagamenti
- Verificare l’autenticità. Se non siete sicuri dell’identità del chiamante, chiedete il suo numero e richiamatelo. Mentre siete ancora al telefono, cercate il loro numero su internet per verificarne l’autenticità
- Nessun bonifico bancario a sconosciuti. Non accettate mai di effettuare bonifici o pagamenti “virtuali” a persone che non conoscete.
- Siate preparati. La conoscenza e la formazione sono fondamentali. Più siete attenti a questo tipo di truffe, meno probabilità avete di caderne vittime
- Riattaccate. Riagganciare le chiamate sospette o non verificate non è mai scortese o una cattiva abitudine.
- Segnalare attività sospette. Fate in modo che le chiamate sospette o i tentativi di frode vengano segnalati alla vostra banca il prima possibile.
