Menu
L'ultima guida per capisce u phishing in 2023
Allora, chì hè phishing?
U phishing hè una forma di ingegneria suciale chì inganna a ghjente per revelà e so password o valore nantu à u corsu. L'attacchi di phishing ponu esse in forma di e-mail, missaghji di testu è telefonate.
Di solitu, sti attacchi ponenu cum'è servizii populari è cumpagnie chì a ghjente ricunnosce facilmente.
Quandu l'utilizatori cliccà un ligame di phishing in u corpu di un email, sò mandati à una versione simile di un situ chì fiducia. Sò dumandati i so credenziali di login à questu puntu in a scam di phishing. Una volta chì entranu a so infurmazione nantu à u situ web falsu, l'attaccante hà ciò chì hà bisognu à accede à u so veru contu.
L'attacchi di phishing ponu esse infurmazioni persunali arrubati, informazioni finanziarie o informazioni di salute. Una volta chì l'attaccante accede à un contu, o vendenu l'accessu à u contu o utilizate l'infurmazioni per pirate l'altri cunti di a vittima.
Na vota ca lu contu hè vindutu, calchissia chì sà quantu à prufittà di u contu vi cumprà i credentials contu da u web scuru, è capitalize nantu à i dati arrubati.
Eccu una visualizazione per aiutà à capisce i passi in un attaccu di phishing:
L'attacchi di phishing venenu in diverse forme. U phishing pò travaglià da una telefonata, missaghju di testu, email, o missaghju suciale media.
E-mail di phishing generici sò u tipu più cumuni di attaccu di phishing. Attacchi cum'è questi sò cumuni perchè piglianu u minimu sforzu.
I pirate pirate una lista di indirizzi email assuciati cù Paypal o cunti suciali è mandanu un e-mail bulk blast à e vittimi potenziali.
Quandu a vittima clicche nantu à u ligame in l'email, spessu li porta à una versione falsa di un situ web populari è li dumanda à accede cù l'infurmazioni di u so contu. Appena ch'elli sottumettenu a so infurmazione contu, u pirate hà ciò ch'elli bisognu à accede à u so contu.
In un certu sensu, stu tipu di phishing hè cum'è scaccià una reta in una scola di pesci; mentre chì altre forme di phishing sò sforzi più mirati.
Spear phishing hè quandu un attaccu mira à un individuu specificu invece di mandà un email genericu à un gruppu di persone.
L'attacchi di spear phishing pruvate à indirizzà specificamente u mira è disguise cum'è una persona chì a vittima pò cunnosce.
Questi attacchi sò più faciuli per un scammer s'ellu avete infurmazioni persunali identificabili in Internet. L'attaccante hè capaci di ricercà voi è a vostra reta per fà un missaghju pertinenti è cunvincente.
A causa di l'alta quantità di persunalizazione, l'attacchi di phishing di spear sò assai più difficiuli di identificà paragunatu à l'attacchi di phishing regulare.
Sò ancu menu cumuni, perchè piglianu più tempu per i criminali per tirallu cù successu.
Quistione: Chì ghjè a rata di successu di un email spearphishing?
Risposta: L'e-mail di spearphishing anu un tassu mediu di apertura di e-mail 70% e 50% di destinatari cliccate un ligame in l'email.
Paragunatu à l'attacchi di spear phishing, l'attacchi di balena sò drasticamente più mirati.
L'attacchi di balena vanu dopu à l'individui in una urganizazione cum'è u capu di l'ufficiale esecutivu o u capu finanziariu di una cumpagnia.
Unu di l'ugettivi più cumuni di l'attacchi di a caccia di balena hè di manipulà a vittima in cablare grandi somme di soldi à l'attaccante.
Simile à u phishing regulare in chì l'attaccu hè in a forma di l'email, a caccia di balene pò aduprà logu di l'imprese è indirizzi simili per disguise.
In certi casi, l'attaccante impersonarà u CEO è aduprà quella persona per cunvince un altru impiigatu per revelà e dati finanziarii o trasferisce soldi à u contu di l'attaccanti.
Siccomu l'impiegati sò menu prubabile di ricusà una dumanda di qualcunu più altu, questi attacchi sò assai più inveci.
L'attaccanti spessu passanu più tempu per fà un attaccu di balena perchè tendenu à pagà megliu.
U nome "caccia di balena" si riferisce à u fattu chì i miri anu più putere finanziariu (CEO).
Angler phishing hè relativamente novu tipu d'attaccu di phishing è esiste nantu à e social media.
Ùn seguitanu micca u formatu tradiziunale di email di attacchi di phishing.
Invece, si disfrazzanu cum'è rapprisentanti di u serviziu di u cliente di l'imprese è ingannanu a ghjente per mandà l'infurmazioni per mezu di missaghji diretti.
Un scam cumuni hè di mandà à e persone à un situ web di supportu di u cliente falsu chì scaricarà malware o in altre parolle ransomware nantu à u dispusitivu di a vittima.
Un attaccu vishing hè quandu un scammer ti chjama per pruvà à cullà infurmazioni persunali da voi.
I scammers di solitu pretendenu esse una impresa o urganizazione reputable cum'è Microsoft, l'IRS, o ancu u vostru bancu.
Adupranu timore-tattiche per fà vi revelà dati impurtanti di u contu.
Questu li permette di accede direttamente o indirettu à i vostri cunti impurtanti.
L'attacchi di Vishing sò difficili.
L'attaccanti ponu facilmente impersonà e persone chì avete fiducia.
Fighjate u fundatore di Hailbytes, David McHale, parlà di cumu i robocalls spariranu cù a tecnulugia futura.
A maiò parte di l'attacchi di phishing si facenu per email, ma ci sò modi per identificà a so legittimità.
Quandu apre un email verificate per vede s'ellu hè o micca da un duminiu publicu di e-mail (ie. @gmail.com).
S'ellu hè da un duminiu publicu di e-mail, hè più prubabile un attaccu di phishing postu chì l'urganisazioni ùn utilizanu domini publichi.
Piuttostu, i so domini seranu unichi per a so attività (vale à dì, u duminiu email di Google hè @google.com).
Tuttavia, ci sò attacchi di phishing più difficili chì utilizanu un duminiu unicu.
Hè utile per fà una ricerca rapida di a cumpagnia è verificate a so legittimità.
L'attacchi di phishing tentanu sempre di fà amicizia cù un bellu salutu o empatia.
Per esempiu, in u mo puzzicheghju micca troppu longu aghju trovu un email di phishing cù u salutu di "Caru amicu".
Sapemu digià chì questu era un email di phishing cum'è in u sughjettu hà dettu: "BONA NOTIZIA DI I VOSTRI FONDI 21/06/2020".
Videndu quelli tipi di saluti duveranu esse bandieri rossi istantanei se ùn avete mai interazzione cù quellu cuntattu.
U cuntenutu di un email di phishing hè assai impurtante, è vi vede parechje caratteristiche distintive chì custituiscenu a maiò parte.
Se u cuntenutu sona assurdu, allora u più prubabile hè una scam.
Per esempiu, se u sughjettu hà dettu: "Avete vintu a Loteria $ 1000000" è ùn avete micca ricordu di participà allora hè una bandiera rossa.
Quandu u cuntenutu crea un sensu d'urgenza cum'è "dipende di voi" è porta à cliccà un ligame sospettu allora hè più prubabile una scam.
L'e-mail di phishing anu sempre un ligame sospettu o un schedariu attaccatu à elli.
Un bonu modu per verificà se un ligame hà un virus hè di utilizà VirusTotal, un situ web chì verifica i schedari o ligami per malware.
Esempiu di e-mail di phishing:
In l'esempiu, Google indica chì l'email pò esse potenzialmente periculoso.
Ricunnosce chì u so cuntenutu currisponde à altre email simili di phishing.
Se un email risponde à a maiò parte di i criteri sopra, allora hè cunsigliatu di rapportà à reportphishing@apwg.org o phishing-report@us-cert.gov in modu chì sia bluccatu.
Sè vo aduprate Gmail, ci hè una opzione per rapportà l'email per phishing.
Ancu s'è l'attacchi di phishing sò orientati versu l'utilizatori aleatorii, spessu dirigenu l'impiegati di una cumpagnia.
Tuttavia, l'attaccanti ùn sò micca sempre dopu i soldi di una cumpagnia, ma i so dati.
In quantu à l'affari, i dati sò assai più preziosi cà i soldi è ponu impattu severamente una cumpagnia.
L'attaccanti ponu utilizà e dati filtrati per influenzà u publicu influenzendu a fiducia di i cunsumatori è sfondendu u nome di a cumpagnia.
Ma questu ùn hè micca l'unicu cunsiquenzi chì pò esse risultatu da questu.
Altre cunsequenze includenu un impattu negativu nantu à a fiducia di l'investitori, disturbà l'affari, è incitanu ammende regulatori sottu u Regolamentu Generale di Proteczione di Dati (GDPR).
A furmazione di i vostri impiegati per trattà stu prublema hè cunsigliatu per riduce l'attacchi di phishing successu.
I modi per furmà l'impiegati sò generalmente di mostrà esempi di email di phishing è e manere di scopre.
Un altru modu bonu per dimustrà l'impiegati di phishing hè attraversu a simulazione.
I simulazioni di phishing sò basicamente attacchi falsi pensati per aiutà l'impiegati à ricunnosce u phishing in prima persona senza effetti negativi.
Avemu da sparte avà i passi chì duvete fà per fà una campagna di phishing riescita.
U phishing resta a prima minaccia per a sicurità secondu u rapportu di WIPRO di u statu di cibersicurezza 2020.
Unu di i migliori modi per cullà dati è educà l'impiegati hè di gestisce una campagna interna di phishing.
Pò esse abbastanza faciule per creà un email di phishing cù una piattaforma di phishing, ma ci hè assai di più chè chjappà mandà.
Discuteremu cumu trattà e teste di phishing cù cumunicazioni interna.
Allora, andemu nantu à cumu analizà è utilizate e dati chì cullighjate.
Una campagna di phishing ùn hè micca di punisce e persone si cadenu per una scam. Una simulazione di phishing hè di insignà à l'impiegati cumu risponde à e-mail di phishing. Vulete assicuratevi chì site trasparenti per fà a furmazione di phishing in a vostra cumpagnia. Priorità à informà i dirigenti di a cumpagnia nantu à a vostra campagna di phishing è descrive i scopi di a campagna.
Dopu avè mandatu u vostru primu test di basa di phishing per email, pudete fà un annunziu in tutta a cumpagnia à tutti l'impiegati.
Un aspettu impurtante di a cumunicazione interna hè di mantene u missaghju coherente. Sè vo fate e vostre teste di phishing, allora hè una bona idea di vene cun una marca fatta per u vostru materiale di furmazione.
Venite cun un nome per u vostru prugramma aiuterà l'impiegati à ricunnosce u vostru cuntenutu educativu in a so inbox.
Sè vo aduprate un serviziu di teste di phishing gestitu, allora probabilmente anu da esse coperto. U cuntenutu educativu deve esse pruduciutu in anticipu in modu chì pudete avè un seguitu immediatu dopu a vostra campagna.
Dà i vostri impiegati struzzioni è informazioni nantu à u vostru protocolu di email phishing internu dopu a vostra prova di basa.
Vulete dà à i vostri cumpagni l'uppurtunità di risponde currettamente à a furmazione.
Videndu u numeru di persone chì anu correttu è rappurtate l'email hè infurmazione impurtante per guadagnà da a prova di phishing.
Chì duverebbe esse a vostra prima priorità per a vostra campagna?
Impegno.
Pudete pruvà à basà i vostri risultati nantu à u numeru di successi è fallimenti, ma quelli numeri ùn anu micca bisognu di aiutà cù u vostru scopu.
Se eseguite una simulazione di prova di phishing è nimu cliccà nantu à u ligame, significa chì a vostra prova hè stata successu?
A risposta corta hè "nè".
Avè una rata di successu di 100% ùn si traduce micca cum'è successu.
Pò significà chì a vostra prova di phishing era simplicemente troppu faciule da vede.
Per d 'altra banda, s'è avete un tassu di fallimentu tremendu cù u vostru test di phishing, puderia significà qualcosa di completamente diversu.
Puderia significà chì i vostri impiegati ùn sò ancu capaci di scopre attacchi di phishing.
Quandu avete un altu ritmu di clics per a vostra campagna, ci hè una bona chance chì avete bisognu di calà a difficultà di i vostri email di phishing.
Pigliate più tempu per furmà e persone à u so livellu attuale.
Infine vulete diminuite a rata di clics di ligami di phishing.
Puderete esse dumandate ciò chì hè una bona o mala rata di clicu cù una simulazione di phishing.
Sicondu sans.org, u vostru A prima simulazione di phishing pò dà una rata media di clic di 25-30%.
Sembra un numeru veramente altu.
Per furtuna, anu infurmatu chì dopu à 9-18 mesi di furmazione di phishing, a rata di clic per una prova di phishing era sottu à 5%.
Questi numeri ponu aiutà cum'è una stima approssimativa di i vostri risultati desiderati da a furmazione di phishing.
Per inizià a vostra prima simulazione di email di phishing, assicuratevi di whitelist l'indirizzu IP di u strumentu di teste.
Questu assicura chì l'impiegati riceveranu l'email.
Quandu crea u vostru primu email di phishing simulatu ùn rende micca troppu faciule o troppu duru.
Duvete ancu ricurdà u vostru audience.
Se i vostri cumpagni di travagliu ùn sò micca utilizatori pisanti di e social media, allora probabilmente ùn saria micca una bona idea di utilizà una falsa password di LinkedIn resettate email di phishing. L'e-mail di u tester deve avè un appellu abbastanza largu chì tutti in a vostra cumpagnia averebbe una ragione per cliccà.
Alcuni esempi di e-mail di phishing cù un largu appellu puderia esse:
Ricurdate solu a psiculugia di cumu u messagiu serà pigliatu da u vostru audience prima di chjappà mandà.
Cuntinuà à mandà e-mail di furmazione di phishing à i vostri impiegati. Assicuratevi di cresce lentamente a difficultà cù u tempu per aumentà i livelli di cumpetenza di e persone.
Hè cunsigliatu di fà mandati mensili per email. Se "phish" a vostra urganizazione troppu spessu, sò prubabilmente catturà un pocu troppu prestu.
Catching i vostri impiegati, un pocu fora di guardia hè u megliu modu per ottene risultati più realistichi.
Se mandate u listessu tipu di email "phishing" ogni volta, ùn avete micca da insignà à i vostri impiegati cumu reagisce à diverse scams.
Pudete pruvà parechji anguli diffirenti cumpresi:
Cum'è mandate novi campagni, assicuratevi sempre chì aghjustate a pertinenza di u messagiu à u vostru audience.
Se mandate un email di phishing chì ùn hè micca ligatu à qualcosa di interessu, pudete micca riceve assai risposta da a vostra campagna.
Dopu avè mandatu diverse campagne à i vostri impiegati, rinfriscà alcune di e vechji campagni chì anu ingannatu a ghjente a prima volta è fate un novu spinu nantu à quella campagna.
Puderete dì l'efficacezza di a vostra furmazione si vede chì a ghjente sia apprendu è migliurà.
Da quì, puderete sapè s'ellu ci hè bisognu di più educazione nantu à cumu si trova un certu tipu di email di phishing.
Ci hè 3 fattori per determinà s'è vo site per creà u vostru propiu prugramma di furmazione di phishing o outsource u prugramma.
Sè vo site un ingegnere di sicurezza o avete unu in a vostra cumpagnia, pudete facilmente spawn up un servitore di phishing utilizendu una piattaforma di phishing preesistente per creà e vostre campagne.
Se ùn avete micca ingegneri di sicurezza, creà u vostru propiu prugramma di phishing pò esse fora di quistione.
Pudete avè un ingegnere di sicurezza in a vostra urganizazione, ma ùn anu micca esse espertu cù teste di ingegneria suciale o phishing.
Sè vo avete qualchissia chì hè spirienza, allura si saria abbastanza affidabile à creà u so propriu prugrammu phishing.
Questu hè un fattore veramente grande per e cumpagnie chjuche è medie.
Se u vostru squadra hè chjuca, puderia micca esse convenientu per aghjunghje un altru compitu à a vostra squadra di sicurità.
Hè assai più còmuda di avè un altru squadra di sperienza chì faci u travagliu per voi.
Avete passatu tutta sta guida per capisce cumu pudete furmà i vostri impiegati è site prontu per inizià a prutezzione di a vostra urganizazione attraversu a furmazione di phishing.
Chi ora?
Sè vo site un ingegnere di sicurità è vulete principià avà e vostre prime campagne di phishing, vai quì per sapè più nantu à un strumentu di simulazione di phishing chì pudete aduprà per cumincià oghje.
O ...
Sè site interessatu à amparà nantu à i servizii amministrati per fà campagni di phishing per voi, Sapete più quì nantu à cumu pudete inizià a vostra prova gratuita di furmazione di phishing.
Aduprate a lista di verificazione per identificà e-mail inusuali è se sò phishing, allora signalà.
Ancu s'ellu ci sò filtri di phishing quì chì ponu prutege, ùn hè micca 100%.
E-mail di phishing sò in constante evoluzione è ùn sò mai listessi.
To prutegge a vostra cumpagnia da attacchi di phishing chì pudete participà simulazioni di phishing per diminuisce a probabilità di attacchi di phishing successu.
Speremu chì avete amparatu abbastanza da sta guida per capisce ciò chì duvete fà dopu per diminuisce e vostre probabilità di un attaccu di phishing à a vostra attività.
Per piacè lasciate un cumentu s'è vo avete qualchì quistione per noi o se vulete sparte qualcunu di a vostra cunniscenza o sperienza cù e campagne di phishing.
Ùn vi scurdate di sparte sta guida è sparghje a parolla!
Hailbytes
9511 Queens Guard Ct.
Laurel, MD 20723
Phone: (732) 771-9995
E-mail: info@hailbytes.com
