Ma cos’è il phishing?
Il phishing è una tecnica di attacco informatico impiegata per ingannare i destinatari, inducendoli a rivelare informazioni sensibili, come dati bancari, credenziali di accesso, dati personali, ecc. A seconda della diversa organizzazione aziendale, la società può essere esposta al fenomeno del phishing sotto diverse forme.
Infatti, le tipologie di attacco phishing si sono molto evolute nel corso degli anni e se ne registrano ormai di diversi tipi, quali, ad esempio:
- Email phishing: un attaccante invia email false che sembrano provenire da fonti legittime;
- Smishing: attacchi effettuati tramite SMS o messaggi su piattaforme come WhatsApp;
- Clone phishing: gli attaccanti duplicano email legittime inviate in precedenza (ad esempio, inviti a riunioni) e le modificano inserendo link o allegati dannosi;
- Man-in-the-Middle (MITM) Phishing: gli attaccanti intercettano le comunicazioni tra due parti (ad esempio, durante l’accesso a una rete Wi-Fi non sicura) per rubare dati sensibili.
Dunque, gli attacchi di phishing si sono evoluti insieme alle strutture aziendali.
Quali misure adottare per ridurre il rischio di attacchi phishing?
In linea di massima, si possono adottare tre diverse misure:
- Misure organizzative: policies aziendali che indichino nel dettaglio le misure volte a limitare le conseguenze di un attacco di phishing, quali, ad esempio, istruzioni relative alla verifica degli indirizzi email, alla verifica del linguaggio utilizzato per scrivere un messaggio (che può anche discostarsi dal solito linguaggio impiegato dall’apparente mittente del messaggio), alla verifica dei link ricevuti, al blocco di mittenti sospetti, all’uso di reti sicure e VPN, ai sistemi di conferma di identità quando si riceve una chiamata, ai sistemi di conferma tramite più canali, alla segnalazione rapida di incidenti e alle procedure dettagliate per il trasferimento di denaro.
- Misure tecniche: accesso condizionale, email gateway sicuro, DMARC, SPF e DKIM, sandboxing, cifratura dei messaggi, protezione dei metadati, whitelist dei domini, ecc.
- Formazione regolare: istruire i dipendenti sui rischi del phishing, sulle policies implementate dall’azienda e sul riconoscimento di messaggi sospetti, con test periodici.
Le misure sopra elencate costituiscono senza dubbio un’ottima risorsa per limitare la perdita di denaro, la fuga di informazioni riservate e di dati personali.
Proprio sotto il profilo della privacy, tali misure rappresentano anche un efficace strumento di compliance aziendale con il GDPR, che impone ai titolari del trattamento l’obbligo di adottare tutte le misure tecniche e organizzative necessarie per tutelare al massimo i dati trattati.