Zscaler, realtà specializzata nella sicurezza del cloud, ha rilasciato i risultati del suo studio “ThreatLabz Phishing Report 2022” che esamina 12 mesi di dati raccolti a livello globale sui tentativi di phishing dal cloud di sicurezza Zscaler per identificare le principali tendenze, i settori, le aree geografiche più a rischio e le tattiche emergenti.
Secondo l’FBI Internet Crime Complaint Center (IC3), i tentativi di phishing sono il cyberattacco più frequentemente segnalato. Il team di ricerca ThreatLabz di Zscaler ha analizzato i dati di oltre 200 miliardi di transazioni giornaliere e 150 milioni di attacchi bloccati ogni giorno per identificare le minacce emergenti e monitorare i criminali informatici di tutto il mondo. Il report di quest’anno mostra una crescita notevole del 29% negli attacchi di phishing complessivi rispetto agli anni precedenti, con le aziende di vendita al dettaglio e all’ingrosso che assorbono il peso maggiore di questo aumento. Il report ha anche mostrato un crescente utilizzo dei metodi di phishing-as-a-Service, così come nuovi vettori di attacco, come il phishing tramite SMS, che è diventato uno dei metodi più prevalenti di violazione.
“Gli attacchi di phishing colpiscono le aziende e i consumatori con una complessità, portata e frequenza allarmante dato l’aumento del phishing-as-a-Service che rende più facile che mai per i criminali meno esperti lanciare attacchi di successo. Il nostro report annuale evidenzia come i criminali informatici continuino a intensificare l’uso del phishing come punto di partenza per violare le aziende e diffondere ransomware o rubare dati sensibili“, ha affermato Deepen Desai, CISO e VP di Security Research and Operations di Zscaler. “Per difendersi da tentativi di phishing avanzati, le aziende devono sfruttare una strategia difensiva su più fronti, che deve basarsi su una piattaforma Zero Trust nativa nel cloud che unisca funzionalità di ispezione SSL complete con il rilevamento AI/ML-powered per neutralizzare i tentativi di phishing e i kit di phishing più sofisticati, la prevenzione dei movimenti laterali e truffe integrate per limitare il raggio d’azione di un utente violato, controlli proattivi per bloccare le destinazioni ad alto rischio come i domini appena registrati che sono spesso abusati dai criminali informatici, e soluzioni di prevenzione della fuga di dati (DLP) in linea per salvaguardare dal furto di dati“.
Il phishing è sempre stato una delle minacce informatiche più diffuse, con vari metodi utilizzati per sottrarre informazioni private. Uno dei motivi per cui ogni anno cresce la diffusione di questa tipologia di attacco è la semplicità con cui i criminali informatici possono accedervi e utilizzarli. Gli hacker inoltre, sfruttano argomenti d’attualità, come la pandemia COVID-19 o le criptovalute, per convincere le vittime inconsapevoli a fornire dati riservati, come password, informazioni della carta di credito e credenziali di accesso.
L’edizione 2022 del ThreatLabz Phishing Report evidenzia come i tentativi di phishing attirino le vittime spacciandosi per marchi importanti o promuovendo argomenti di attualità. I principali temi utilizzati negli attacchi di phishing durante il 2021 includevano categorie come strumenti di produttività, siti di streaming illegali, siti di shopping, piattaforme di social media, istituzioni finanziarie e servizi logistici.
Un problema globale
Nel 2021, gli Stati Uniti sono stati il Paese più colpito a livello mondiale, con oltre il 60% di tutti gli attacchi di phishing bloccati dal cloud di sicurezza Zscaler. Tra gli altri paesi più colpiti troviamo Singapore, Germania, Paesi Bassi e Regno Unito.
Non tutti i Paesi sono stati colpiti allo stesso modo dagli attacchi di phishing. Per esempio, i Paesi Bassi hanno registrato un calo del 38%, che potrebbe essere il risultato di una legge recentemente approvata che ha inasprito le sanzioni per le frodi online.
Gli attacchi di phishing non sono distribuiti in modo uniforme tra i diversi settori. Le aziende che si occupano di vendita al dettaglio e all’ingrosso hanno subito un aumento di oltre il 400% dei tentativi di phishing – il valore più alto tra tutti i settori monitorati. Seguono il settore finanziario e la pubblica amministrazione, con un aumento in media del 100% degli attacchi. Da sottolineare come invece per alcuni settori ci sia stata una parziale riduzione dagli attacchi di phishing registrati l’anno scorso: la sanità ha registrato un notevole calo, pari al 59%, mentre il settore terziario ha visto un calo del 33%.
Phishing-as-a-Service – Una minaccia in crescita
Mentre il phishing è stato a lungo una delle tattiche più comuni utilizzate nei cyberattacchi da parte dei criminali informatici più esperti, ora sta diventando più accessibile a quelli meno tecnici dato un mercato illegale più sviluppato per strutture e servizi per sferrare gli attacchi. Vendendo i loro strumenti e servizi di phishing pronti all’uso sul dark web, i criminali informatici facilitano l’implementazione di tentativi di phishing su larga scala, che probabilmente favorirà l’aumento di questa tipologia di attacchi nel 2022.
Contrastare gli attacchi di phishing
Secondo il team di ricerca Zscaler ThreatLabz, un’azienda di medie dimensioni riceve decine di email di phishing ogni giorno. Questo significa che i dipendenti, a tutti i livelli, devono essere consapevoli delle tattiche di phishing più comuni ed essere in grado di individuare i tentativi di phishing che possono causare perdite finanziarie e danni al marchio aziendale.
Affrontare le minacce evidenziate nel ThreatLabz Phishing Report 2022 può essere difficile, ma è opportuno considerare che se da un lato è impossibile eliminare il rischio di phishing, dall’altro, una gestione consapevole può impedire che le informazioni sensibili delle aziende possano cadere nelle mani dei criminali informatici. Tra le raccomandazioni utili per contrastare la crescita del phishing, Zscaler suggerisce in particolare le seguenti:
- Imparare e comprendere i rischi derivanti dal phishing per poter meglio indirizzare le decisioni in ambito tecnologico e quelle relative alle policy aziendali.
- Sfruttare strumenti automatizzati e di intelligence fruibili per fornire ai dipendenti gli strumenti necessari per ridurre gli incidenti di phishing.
- Fornire una formazione adeguata ai dipendenti per costruire la consapevolezza della sicurezza e promuovere la segnalazione da parte degli utenti.
- Simulare attacchi di phishing per identificare le lacune nelle policy e nelle procedure di sicurezza.
- Valutare l’infrastruttura di sicurezza per garantire l’accesso alle più recenti ricerche e capacità del sistema.
