Gli attacchi di phishing continuano a essere una delle principali minacce per le organizzazioni di oggi. Le aziende infatti si affidano sempre più spesso a canali di comunicazione digitali, consentendo così ai criminali informatici di sfruttare le vulnerabilità presenti in e-mail, SMS e comunicazioni vocali per lanciare sofisticati attacchi di phishing. Con la pandemia di COVID-19, che ha portato all'incremento del lavoro da remoto nel corso degli ultimi anni, il rischio di subire attacchi di questo tipo si è molto intensificato.

L'ultimo report sul phishing redatto da Zscaler ThreatLabz rivela che questi attacchi sono ancora in crescita, con un aumento del 47,2% nel 2022 rispetto all'anno precedente. Questo a causa dell'utilizzo di tecniche sempre più sofisticate da parte dei criminali informatici, che consentono di lanciare attacchi su larga scala. L'istruzione è stato il settore più colpito nel 2022, con un incremento degli attacchi del 576%, mentre quello della vendita al dettaglio e all'ingrosso ha registrato una diminuzione del 67% rispetto al 2021.

I più colpiti sono stati i marchi di Microsoft, tra cui OneDrive e Sharepoint, l'exchange di criptovalute Binance e i servizi di streaming illegale. Stati Uniti, Regno Unito, Paesi Bassi, Russia e Canada sono stati i cinque Paesi che hanno subito più attacchi. Attraverso l'analisi di 280 miliardi di transazioni giornaliere e di 8 miliardi di attacchi bloccati ogni giorno, questo report evidenzia il crescente utilizzo dei kit di phishing e di strumenti di intelligenza artificiale per lanciare campagne altamente efficaci, in grado di aggirare i modelli di sicurezza tradizionali, compresa l'autenticazione a più fattori (MFA).

Zscaler ThreatLabz pubblica questo report ogni anno per aiutare le organizzazioni a riconoscere le tattiche di social engineering e i sofisticati codici utilizzati negli attacchi di phishing in modo da prevenire costose violazioni dei dati. I risultati continuano a sottolineare la necessità che le organizzazioni riesaminino la propria infrastruttura di cybersecurity e adottino misure proattive per mitigare la crescente minaccia legata alle truffe di phishing e alle tecniche che utilizzano.

Per fare un esempio, uno dei risultati del report di quest'anno è l'incremento dell'uso di kit di phishing provenienti dai mercati neri e di chatbot basati sull'IA, come ChatGPT. Questi strumenti consentono agli aggressori di sviluppare con facilità campagne di phishing più mirate, in grado di manipolare gli utenti e di indurli a condividere le loro credenziali di sicurezza. Con la crescente diffusione dell'intelligenza artificiale e delle soluzioni PaaS, per i criminali informatici è persino più semplice compromettere le istituzioni e accedere ai dati sensibili a scopo di estorsione.

Il report evidenzia inoltre l'evoluzione di questi attacchi, che ormai vanno ben oltre il phishing via SMS (SMiShing) e utilizzano invece il cosiddetto Vishing, ovvero il phishing basato sulla messaggistica vocale, per indurre le vittime ad aprire allegati dannosi. Inoltre, i sofisticati attacchi AiTM (adversary-in-middle) stanno aiutando gli aggressori a bypassare l'autenticazione a più fattori (misure di sicurezza MFA).

Per combattere queste minacce, le organizzazioni devono adottare un'architettura zero trust in grado di ridurre drasticamente la superficie di attacco, prevenire la compromissione e restringere il raggio di azione in caso di attacco riuscito. Implementando un approccio zero trust, è possibile garantire la verifica di ogni singola entità, come utenti, applicazioni, dispositivi e rete, prima che le sia consentito l'accesso ai dati sensibili.

Il report del 2023 fornisce inoltre approfondimenti pratici e consigli di esperti su come le organizzazioni possono adottare le best practice di sicurezza per proteggersi dagli attacchi di phishing. Sottolinea anche l'importanza di educare i dipendenti sui rischi del phishing e sulla necessità di adottare policy più robuste per password ed MFA. Inoltre, suggerisce l'implementazione di una soluzione di sicurezza con base cloud per la posta elettronica, che utilizzi l'intelligenza artificiale e il machine learning per rilevare e bloccare gli attacchi di phishing.

Per saperne di più sulle ultime minacce di phishing e su come proteggere la tua organizzazione, scarica oggi stesso il Report di ThreatLabz del 2023 sugli attacchi di phishing.