In questo articolo vogliamo dimostrare quanto è importante conoscere e restare aggiornati sulle tecniche di phishing e di falsificazione dell’identità per evitare di caderne in trappola e cercare di tutelarsi dalle truffe online quanto più possibile.
Oggi giorno, con il supporto anche dell’intelligenza artificiale, il livello delle truffe online via mail ormai è parecchio elevato e può diventare veramente molto difficile riconoscere le comunicazioni finte da quelle autentiche.
Cos’è l’Intelligenza Artificiale (AI) e qual è il collegamento con il phishing?
Probabilmente molti sanno cos’è il phishing, ma non tutti ancora sanno cos’è l’intelligenza artificiale.
Chiediamoglielo insieme proprio all’intelligenza artificiale, tramite una chat.
GruppoRES: “Spiegami in estrema sintesi che cos’è l’Intelligenza Artificiale”
AI: “L’intelligenza artificiale è un campo dell’informatica che si occupa di creare sistemi capaci di svolgere compiti che richiedono intelligenza umana, come il ragionamento, il riconoscimento del linguaggio, la percezione visiva e la decisione. Ciò può essere ottenuto utilizzando tecniche di apprendimento automatico, in cui sistemi “imparano” dai dati, o tramite programmazione tradizionale”
Per chi non sapesse già cos’è il phishing, chiediamolo nuovamente all’intelligenza artificiale.
GruppoRES: “Che cos’è il phishing?”
AI: “Il phishing è una forma di frode informatica che mira a ottenere informazioni personali sensibili come password, numeri di carte di credito, informazioni bancarie o di accesso ai conti online attraverso l’inganno degli utenti. Questo viene fatto inviando messaggi di posta elettronica, messaggi di testo o attraverso siti web falsi che sembrano legittimi e che sollecitano l’inserimento di informazioni personali. L’obiettivo dei truffatori è quello di ottenere informazioni personali per utilizzarle per scopi illeciti o per accedere ai conti degli utenti”
L’industria della sicurezza informatica ha iniziato a preoccuparsi sulle potenziali implicazioni dell’intelligenza artificiale, in quanto questa può essere facilmente abusata da hacker, anche senza particolari competenze, che potrebbero creare campagne email di phishing estremamente credibili in grado di trasportare minacce dannose.
Bene, tutto chiaro no? Insomma, l’intelligenza artificiale può alterare in modo significativo il panorama delle minacce informatiche.
Cos’è concretamente il phishing?
In questo articolo mostreremo un tentativo di truffa tramite messaggi, non andato a buon fine, che ha coinvolto un’azienda.
Il caso: un attaccante si fingeva di essere un dipendente dell’azienda e ha contattato un cliente tramite un account falso whatsapp, cercando di instaurare una relazione.
Ma cosa è andato storto nel tentativo di truffa?
L’interazione era palesemente finta, probabilmente generata automaticamente o tradotta in modo maldestro. Tuttavia però la persona dell’azienda ci ha quasi creduto, arrivando a parlare di “pagamenti” (!!!) prima di accorgersi (chiamando l’azienda) che qualcosa andava storto.
Capiamo che, forse, se la conversazione fosse stata più credibile, si sarebbe caduti in trappola.
Quali sono le modalità di un attacco phishing?
Vediamo quali sono le fasi preliminari con cui generalmente un attaccante compie queste truffe.
- 1° passo : trovare un nominativo all’interno dell’azienda e un nominativo dell’azienda da attaccare.
Questa è un’attività estremamente facile, non serve intelligenza artificiale né tantomeno per il momento andare su strumenti professionali a pagamento per la ricerca delle informazioni.
Basta generalmente andare sul sito dell’azienda, nella sezione chi siamo – individuare le persone, per trovare i responsabili.
Se questo non fosse sufficiente, su linkedin si può ottenere conferma o perfezionare la ricerca.
Poi basta generalmente andare nella sezione “clienti” del sito per individuare ovviamente le referenze a cui un attaccante potrebbe puntare la campagna.
D’altra parte, se non bastasse, un attaccante può andare nel sito della vittima a cercare i fornitori o i prodotti che rivende. Stessa cosa è possibile più o meno farla con Linkedin studiando i contatti.
- 2° passo : scrivere un messaggio credibile.
Un attaccante potrebbe avvalersi dell’intelligenza artificiale per scrivere un testo credibile per un messaggio di phishing:
Non è proprio quello che serve all’attaccante per questa specifica truffa, ma è una buona base di partenza no? Potrebbe magari chiedere all’intelligenza artificiale di migliorarlo un pò, ma potrebbe semplicemente fare da solo, modificando il testo come qua sotto:
Più credibile a una persona non attenta, no?
Come si può notare l’intelligenza artificiale, nelle mani sbagliate, può essere usata in modo estremamente pericolosa per scrivere messaggi e falsificare comunicazioni che possono sembrare realmente umane e attendibili.
E magari generare anche successive interazioni altrettanto attendibili.
Nulla di particolarmente sconvolgente come tentativo di truffa, si sarebbe potuto fare tutto anche senza avvalerci dell’intelligenza artificiale, ma chissà in che modo potrà essere massivamente usata in futuro per questi scopi.
Come tutelarci dagli attacchi phishing e le truffe online?
Come riconoscere un finto messaggio per tutelarci?
Chiediamolo sempre all’intelligenza artificiale:
Bene, informazioni utili e corrette, ma un attaccante può usare queste informazioni per capire al contrario come NON far riconoscere un messaggio di phishing.
Importanza della sicurezza informatica
Sostenere l’innovazione e il rafforzamento tecnologico delle Organizzazioni diventa strategico in termini di resilienza operativa, di tutela dei dati e delle informazioni, in una epoca ormai che vede la rete internet come una fonte di business e il cambiamento dei luoghi di lavoro favorito dallo smart working. Prevenire possibili attacchi o intrusioni dall’esterno diventa essenziale per garantire la continuità dei servizi e per impedire la distruzione, la corruzione o la divulgazione di dati riservati.
Ma i dati parlano chiaro: solo il 45,1% delle aziende italiane più grandi si preoccupa della sicurezza informatica e solo il 14,4% delle piccole medie imprese.
Bisogna redigere documenti, stabilire misure e procedure connesse alla sicurezza informatica, ma soprattutto formare il personale per quanto concerne l’utilizzo sicuro degli strumenti informativi e assicurarsi contro incidenti connessi alla sicurezza informatica.
Non possiamo prevedere quale effettivamente sia l’impatto dell’intelligenza artificiale sulla sicurezza informatica, poiché molto dipenderà da come essa verrà utilizzata, ma è importante essere consapevoli dei potenziali rischi e adottare misure appropriate per mitigarli.
Scegli il corso cybersecurity base di Gruppo RES
Contatta Gruppo RES per tutelare il personale dipendente della tua Organizzazione dagli attacchi phishing.
Fornisci loro gli strumenti e un percorso di formazione per prevenire possibili attacchi cyber alla tua Organizzazione. Contribuisci a diffondere la cultura della sicurezza informatica.
