Phishing
Nella ricerca scientifica, si definisce "phishing" una ricerca condotta su una problematica poco nota, ma senza un preciso obiettivo: significa "cercare un po' a caso" di fare una scoperta, come un pescatore che getta la rete sperando di trovare pesci. Con questo significato, il termine viene usato almeno dal 1990.
In ambito informatico si definisce phishing una tecnica di ingegneria sociale utilizzata per ottenere l'accesso ad informazioni personali e riservate con la finalità del furto di identità mediante l'utilizzo di messaggi di posta elettronica fasulli, oppurtunamente creati per apparire autentici.
Grazie a questi messaggi, l'utente è ingannato e portato a rivelare dati sensibili, come numero di conto corrente, nome utente e password, numero di carta di credito ecc.
Metodologia di attacco
Il processo standard di queste metodologie di attacco può riassumersi nei seguenti passi:
- l'utente malintenzionato (phisher) spedisce al malcapitato ed ignaro utente un messaggio e-mail che simuli nella grafica e nel contenuto quella di una istituzione nota al destinatario (ad es. la sua banca, il suo provider web, un sito di aste online a cui è iscritto).
- la e-mail contiene quasi sempre avvisi di particolari situazioni o problemi verificatesi con il proprio conto corrente/account (ad es. un addebito enorme, la scadenza dell'account ecc.).
- nella mail il destinatario è invitato a seguire un link, presente nel messaggio, per evitare l'addebito e/o per regolarizzare la sua posizione con l'ente o la società di cui il messaggio simula la grafica e l'impostazione.
- il collegamento al sito web della banca fornito NON porta in realtà al sito web ufficiale, ma a pagine appositamente create per emulare il "Look and feel" del sito in oggetto e richiedere al destinatario dati personali particolari, normalmente con la scusa di una conferma o la necessità di effettuare una autenticazione al sistema; queste informazioni vengono memorizzate dal server e quindi finiscono nelle mani del phisher.
- il phisher utilizza questi dati per acquistare beni, trasferire somme di denaro o anche solo come "ponte" per ulteriori attacchi.
Come difendersi
Per difendersi dal phishing inviato via e-mail, basta cancellare l'e-mail. Nel caso del Pharming, non esiste una vera e propria soluzione. Esistono tuttavia programmi specifici come Netcraft e anche liste nere (vedi sezione #Collegamenti esterni).
Voci correlate
Collegamenti esterni
- (EN) Anti-Phishing Working Group
- (IT) Anti-Phishing Italia
- (EN) Netcraft
- (EN) Anti-phishing Toolbars Free Anti-phishing Toolbars for Web Browsers.
- (IT) SicurezzaInformatica.it - Categoria Phishing e Truffe