In questa situazione il criminale fingerà di essere un ente affidabile in una comunicazione digitale.
Questo genere di truffa è fortemente legato all’ingegneria sociale, infatti ne sfrutta una determinata tecnica: il malintenzionato invia una serie di messaggi in massa rendendoli, nell'aspetto e nel contenuto, particolarmente simili a legittimi messaggi di fornitori di servizi.
Tramite questi messaggi fraudolenti verrà richiesto al soggetto di fornire informazioni riservate (es. numero bancomat, dati utente per accedere a un determianto servizio). Generalmente si tratta di una truffa perpetrata tramite e-mail, ma non mancano casi simili che sfruttano altri mezzi, quali i messaggi SMS.
La minaccia del phishing è attuale più che mai, in particolar modo particolare per le piattaforme in rete, le quali sono a maggiore rischio (es. i social media come Facebook, Twitter, e Google+).
Questo fatto deriva dall’eventualità che un hacker specializzato possa riuscire a clonare il sito e che successivamente richieda all’utente l’inserimento delle proprie informazioni personali.
Per gli hacker il fatto che questi siti vengono utilizzati a casa, al lavoro e nei luoghi pubblici, costituisce un vantaggio al fine di ottenere le informazioni personali o aziendali.
La denominazione phishing deriva da una variante della parola inglese “fishing” che significa pescare, con una probabile influenza derivata dal termine “phreaking” il quale indica l'utilizzo di tecniche in continua evoluzione create appositamente per "pescare" dati sensibili, quali possono essere quelli finanziari e password di utenza.
La parola può anche essere collegata al linguaggio leet, nel quale la lettera f è comunemente sostituita con ph.
Secondo un’indagine realizzata nel 2019, solo il 17,93% degli intervistati sarebbe in grado di identificare tutti i diversi tipi di phishing (tra cui e-mail o sms contenenti link malevoli o siti web che replicano delle pagine legittime).
Nel 1987 fu presentato un trattato all'International HP Users Group, Interex, di cui il contenuto era una dettagliata descrizione di una tecnica di phishing. La prima menzione registrata del termine phishing è sul newsgroup di Usenet alt.online-service.america-online il 2 gennaio 1996, malgrado il termine possa essere apparso precedentemente nell'edizione stampata della rivista per hacker 2600.
In accordo con Ghosh ci sono stati 445'004 attacchi nel 2012, 258'461 nel 2011 e 187'203 nel 2010, mostrando che la minaccia del phishing è in aumento.
Le prime attività di phishing su AOL (America on Line) erano strettamente connesse alla comunità warez che scambiava software senza licenza.
Infatti, all’inizio del 1995 venne rilasciato AOHell, un programma creato con la finalità di attaccare gli utenti di AOL, spacciandosi per un rappresentante della compagnia AOL.
Nel tardo 1995 AOL applicò misure al fine di prevenire aperture di account tramite l’utilizzo di carte di credito false, queste generate tramite algoritmo.
I cracker iniziarono ad attaccare i veri utenti con lo scopo di ottenere i loro profili.
L'aver ottenuto gli account di AOL poteva aver permesso ai phishers l'utilizzo improprio delle carte di credito, ma ha soprattutto portato alla realizzazione che potessero essere attuabili attacchi verso sistemi di pagamento.
Il primo attacco diretto conosciuto contro un sistema di pagamento è stato ad E-Gold nel giugno 2001, che è stato seguito da "post-9/11 id check".
Entrambi vennero visti al tempo come fallimenti, ma possono essere ora visti come primi esperimenti per attacchi più complessi per banche tradizionali.
Nel settembre 2003 c'è stato il primo attacco a una banca, ed è stato riportato da The Banker in un articolo scritto da Kris Sangani intitolato "Battle Against Identity Theft.".
Nel 2004 il phishing era riconosciuto come una parte completamente affermata dell'economia del crimine: emersero specializzazioni su scala globale per portare a termine le operazioni, che venivano sommate per gli attacchi finali.
Nel 2011 una campagna di phishing cinese ha avuto come obbiettivi gli account Gmail di alti ufficiali di governo e dell'esercito degli Stati Uniti e del Sud Korea, come anche di attivisti cinesi.
Il governo cinese ha negato ogni accusa di aver preso parte a questo attacco partito dal suo territorio, ma ci sono prove che People’s Liberation Army ha assistito nello sviluppo del software di cyber-attacco.
Il servizio di condivisione file RapidShare è stato vittima del phishing per ottenere le credenziali di account premium, che non hanno vincoli di velocità e numero di download.
Gli attaccanti che hanno avuto accesso al database di TD Ameritrade contenente 6.3 milioni di indirizzi mail lanciarono successivamente un attacco phishing alle suddette mail per ottenere username e password.
Un interessante dato invece, riguarda il 2006, quando venne stimato che quasi la metà dei furti di credenziali tramite phishing erano stati attuati da gruppi che operavano da San Pietroburgo tramite la Russian Business Network.
Nel terzo quadrimestre del 2009 l’Anti-Phishing Working Group ha riportato di aver avuto 115,370 segnalazioni di mail di phishing dai consumatori USA con la Cina che ospitava più del 25% delle pagine incriminate.
Dal dicembre 2013 il ransomware Cryptolocker ha infettato 250,000 pc.
L'obiettivo iniziale era l'utenza business ed è stato usato un archivio Zip allegato a una mail che sembrava essere da parte di una lamentela di un consumatore e per passare successivamente a un pubblico più vasto usando una mail riguardante un problema con un assegno.
Successivamente, tramite il ransomware i file venivano crittografati e veniva richiesto un riscatto per aver accesso alla chiave di decifrazione per tornare in possesso dei propri file. Secondo Dell SecureWorks più dello 0.4% degli infetti ha pagato il riscatto.
Le metodologie utilizzate per un attacco di phishing seguono un processo standardizzato che può essere categorizzato in questo modo:
In primo luogo, il phisher deve attuare la spedizione di un’e-mail ad un utente, emulando (sia a livello di grafica che di contenuto), quella di una istituzione che destinatario giudicherebbe come conosciuta (es. siti online a cui ha effettuato l’iscrizione o la banca).
l'e-mail contiene quasi sempre avvisi di particolari situazioni o problemi verificatesi con il proprio conto corrente/account (ad esempio un addebito enorme, la scadenza dell'account, ecc.) oppure un'offerta di denaro.
Il destinatario è invitato a seguire un link, contenuto all’interno dell’e-mail, al fine di evitare l'addebito e/o per regolarizzare qualsivoglia problema presentato nel messaggio, tramite un fake login.
Il falso link fornito dal malintenzionato però, indirizzerà il soggetto ad un sito web fittizio (tuttavia particolarmente somigliante a quello ufficiale), situato su un server di cui il phisher è in controllo, con la finalità di ottenere dall’utente i suoi dati personali particolari, generalmente la scusa utilizzata è la conferma o la necessità di effettuare una autenticazione al sistema; queste informazioni vengono memorizzate dal server gestito dal phisher e quindi finiscono nelle mani del criminale.
Il phisher utilizza questi dati per acquistare beni, trasferire somme di denaro o anche solo come "ponte" per ulteriori attacchi.
In casi differenti, il messaggio di posta elettronica mostra l'invito a cogliere una nuova "opportunità lavorativa" (quale operatore finanziario o financial manager), questa consiste nel fornire le proprie coordinate bancarie per ricevere l'accredito di somme che vanno poi ri-trasferite all'estero tramite sistemi di money trasfert (Western Union o Money Gram), trattenendo una percentuale dell'importo, che può arrivare a cifre molto alte.
In situazioni come queste, si tratta di effettivo riciclaggio di denaro sporco (rubato tramite il phishing), reato commesso dal titolare del conto online senza che ne sia a conoscenza.
L’attività sopracitata comporta per il criminale informativo una percentuale di perdita sulla somma sottratta, ma il suo interesse nella dispersione del denaro sottratto in molti conti, tramite vari trasferimenti in diversi paesi, risiede nella maggiore difficoltà che si avrebbe nel risalire alla identità del criminale informatico e ricostruire compiutamente il meccanismo illecito.
Peraltro, il coinvolgimento di più Paesi nei trasferimenti bancari, comporta una maggiore lentezza nelle tempistiche di ricostruzione dei suddetti movimenti movimenti, poiché spesso vi è la necessità dell’apertura di un procedimento presso la magistratura locale di ogni Paese interessato.
Esistono quattro tipologie di phishing:
Il phishing, tipologia di truffa che colpisce gli utenti di Internet, qui attraverso la rete il criminale cerca di ottenere informazioni personali, dati finanziari o codici di accesso, fingendosi un ente affidabile in una comunicazione digitale.
Lo spear phishing è caratterizzato dal fatto che l’obiettivo generalmente è un individuo o una compagnia specifica, quindi un attacco mirato.
Gli attaccanti potrebbero cercare informazioni sull'obbiettivo per poter incrementare le probabilità di successo. Questa tecnica è, alla lunga, la più diffusa su internet, con una quota del 91% degli attacchi.
Il clone phishing è una tipologia di attacco in cui una mail legittima viene letteralmente clonata dal criminale (per quanto riguarda i link e gli allegati della mail) e nuovamente ai riceventi, dichiarando falsamente di essere una versione aggiornata.
Le parti modificate della mail sono volte a ingannare il ricevente. Questo attacco sfrutta la fiducia che si ha nel riconoscere una mail precedentemente ricevuta.
Il whaling invece è dedicato ad attacchi verso figure di rilievo di aziende o enti.
Viene mascherata una mail/ pagina web con lo scopo di ottenere delle credenziali di un manager.
Il contenuto è creato su misura per l'obbiettivo, è spesso scritto come un subpoena legale, un problema amministrativo o una lamentela di un cliente.
In questa particolare tipologia è stato fatto uso anche di e-mail completamente uguali a quelle dell’FBI, con la finalità di far scaricare ed installare il software al ricevente.
La maggior parte dei metodi di phishing usa degli exploit tecnici per far apparire i link nelle mail come quelli autentici.
Altri trucchetti diffusi sono utilizzare URL scritte male, oppure usando sottodomini ad esempio http://www.tuabanca.it.esempio.com/, può sembrare a prima vista un sito legittimo, ma in realtà sta puntando a un sottodominio di un altro sito.
Un'altra metodologia è registrare un dominio lavorando su lettere visivamente simili.
Nel tempo i phisher hanno cominciato a celare il testo inserendolo in immagini, rendendo così più difficile la loro identificazione per i filtri anti-phishing.
Questo ha portato sull'altro lato a una evoluzione dei filtri, ora capaci di trovare testo in immagini.
Questi filtri usano OCR (riconoscimento ottico dei caratteri)
Quando una vittima visita un sito di phishing l'attacco non è terminato.
Nella pagina possono essere infatti presenti comandi JavaScript per alterare la barra degli indirizzi.
Può essere fatto o mettendo un'immagine nella barra degli indirizzi o chiudendo la finestra e aprendone una nuova con l'indirizzo legittimo.
Un phisher può anche usare vulnerabilità in un sito fidato e inserire i suoi script malevoli.
Questo genere di attacchi sono denominati cross-site scripting, essendo questi particolarmente problematici perché tutto sembra legittimo, compresi i certificati di sicurezza.
In realtà tutto è fatto ad hoc per portare a termine l'attacco, rendendolo molto difficile da individuare senza conoscenze specialistiche.
Un attacco di questo tipo è stato utilizzato nel 2006 contro PayPal.
Oltre al phishing tramite siti web o mail, purtroppo esiste la stessa tipologia di truffa anche per via telefonica.
Vengono infatti inviati agli utenti degli sms, comunicando loro determinati problemi con i loro account bancari.
Successivamente all’utente verrà chiesto il PIN, che sarà inviato dalla vittima al numero gestito dal phisher.
Altra tipologia di truffa telefonica prende il nome di Vishing, derivato da voice phishing, la quale talvolta effettua un finto numero chiamante, così che la vittima abbia l’impressione che si tratti di un’organizzazione fidata.
Simili attacchi sono stati effettuati anche tramite Whatsaap, ma con lo scopo di poter reperire copie di documenti d’identità da poter utilizzare nelle successive truffe.
Vi sono differenti tecniche e strategie riuscire a combattere il phishing, rispetto al 2007, quando la protezione dei dati sensibili (personali ed individuali era molto bassa), al giorno d’oggi esistono svariate tecniche per combattere il phishing, incluse leggi e tecnologie create ad hoc per la protezione.
Una strategia funzionale per combattere questo fenomeno risiede nell’informazione, difatti istruire le persone a riconoscere gli attacchi e ad affrontarli si è rivelato particolarmente utile.
L'educazione può essere molto efficace, specialmente se vengono enfatizzati alcuni concetti e fornito un feedback diretto.
L'Anti-Phishing Working Group, un ente di rinforzo per la sicurezza, ha suggerito che le tecniche di phishing convenzionali potrebbero diventare obsolete in futuro, con la crescente consapevolezza delle persone delle tecniche di social engineering usate dai phisher.
Tutti possono aiutare il pubblico incoraggiando pratiche sicure ed evitando quelle pericolose.
Misure di anti-phishing sono state implementate nei browsers, come estensioni o toolbar, e come parte delle procedure di login.
Sono anche disponibili software contro il phishing.
La maggior parte dei siti bersaglio del punishing sono protetti da SSL con una forte crittografia, dove l'URL del sito web è usata come identificativo.
Questo dovrebbe in teoria confermare l'autenticità del sito, ma nella pratica è facile da aggirare.
La vulnerabilità che viene sfruttata sta nella user interface (UI) del browser.
Nell'url del browser viene poi indicata con dei colori la connessione utilizzata (blocco verde per certificato EV, scritta https in verde)
Un altro approccio popolare per combattere il phishing è quello di mantenere una lista dei siti noti per phishing e controllare se l'utente li visita.
Tutti i browser popolari incorporano questo tipo di protezione.
Alcune implementazioni di questo approccio mandano gli URL visitati a un servizio centrale, che ha suscitato preoccupazione per la privacy.
Una protezione di questo tipo può essere applicata anche a livello di DNS, filtrando a monte le richieste pericolose, questo approccio può essere applicato a ogni browser, ed è simile all'uso di un file host (un file in cui si definiscono destinazioni personalizzati per domini).
Il sito di Bank of America è uno dei molti siti che ha adottato questo sistema, consiste nel far scegliere all'iscrizione un'immagine all'utente, e mostrare questa immagine ad ogni login successivo.
In questo modo essendo l'immagine nota solo all'utente e al sito legittimo in un eventuale attacco di phishing questa sarebbe assente o sbagliata.
Nella tecnica dell’eliminazione delle mail di phishing, eliminando le e-mail attraverso filtri specializzati contro la spam.
Questo dovrebbe far diminuire le possibilità di essere truffati.
I filtri si basano sul machine learning e natural language processing per classificare le mail a rischio.
La verifica dell'indirizzo mail è un nuovo approccio.
Molte compagnie offrono una soluzione alternativa, un servizio di monitoraggio e analisi per banche e organizzazioni con lo scopo di bloccare i siti di phishing.
I singoli individui possono contribuire riportando tentativi di phishing, a servizi come Google, Cyscon o PhishTank.
L'Internet Crime Complaint Center noticeboard, invece ha il compito di raccogliere e gestistire le allerte per ransomware e phishing.
Prima di autorizzare operazioni sensibili viene mandato un messaggio telefonico con un codice di verifica da immettere oltre la password.
Un articolo di Forbes dell'agosto 2014 argomenta che il phishing resiste alle tecnologie anti-phising perché una tecnologia non può sopperire in modo completo alle incompetenze umane ("un sistema tecnologico per mediare a debolezze umane”).
Le prime condanne penali e casi giudiziari verificatesi in Italia per il reato di phishing risalgono al 2007.
In quell’anno ci fu la prima condanna per phishing di un’associazione transnazionale dedita a questo crimine, emanata dal Tribunale di Milano.
Tale sentenza è stata confermata in Cassazione nel 2011.
Nel 2008, con sentenza del Tribunale di Milano, si è invece pervenuti per la prima volta in Italia alla condanna per riciclaggio di soggetti che, quali financial manager, si erano prestati ad attività di money laundering, effettuando diversi trasferimenti di somme di denaro provento dei reati di phishing.
Queste due sentenze hanno dunque indicato quali norme possono essere applicate a questo nuovo fenomeno criminale, dal momento che all'epoca in Italia il phishing non era ancora specificatamente regolamentato, a differenza di altri paesi, un esempio è la legislazione americana, in possesso di apposite norme penali.
Solo con la modifica dell'art. 640-ter c.p. (intervenuta con legge 15 ottobre 2013, n. 119) si è avuto un primo intervento normativo idoneo a ricomprendere anche tale particolare fattispecie di furto di identità
Per la normativa italiana, gli istituti di credito non sono tenuti a garantire i clienti da frodi informatiche.
Ergo, non vi è previsto risarcimento di somme sottratte indebitamente tramite la violazione dell’account online delle vittime, né tanto meno è previsto risarcimento in caso di clonazione di carte di credito o bancomat.
Un recente provvedimento del GUP di Milano, del 10 ottobre 2008, ha stabilito che solo l'esistenza di un preciso obbligo contrattuale in capo alla banca di tenere indenne il cliente da ogni tipo di aggressione alle somme depositate potrebbe attribuire all'ente la qualifica di danneggiato dal reato.
I singoli contratti per l'apertura di un conto corrente e la home banking possono prevedere che in specifici casi la banca sia tenuta a risarcire il cliente delle somme indebitamente prelevate.
Spesso, l'istituto di credito è coperto dal rischio di furto o smarrimento dei dati identificativi e delle carte.
Il costo di questa riassicurazione è ribaltato sui clienti, che talora beneficiano di clausole contrattuali a loro favore per questo tipo di coperture.
Altro problema viene costituito dallo smarrimento sia della carta che del codice PIN di questa, in tal caso l'istituto rifiuta generalmente il risarcimento; analogamente, per la home banking rifiuta di risarcire le somme se il cliente ha smarrito la password di accesso insieme al token.
Ciò configura negligenza da parte del cliente e l'eventualità del dolo e truffa all'istituto di credito: il cliente potrebbe cedere a terzi i propri dati e la carta, i quali, d'accordo col cliente, potrebbero effettuare dei prelievi, mentre il titolare dichiara lo smarrimento o il furto.
Tuttavia, la banca (o altro istituto o società) ha l'onere di applicare sia le misure di sicurezza minime stabilite nel DL 196/03 per tutelare i dati personali del cliente, sia di attuare tutte quelle misure idonee e preventive che, anche in base al progresso tecnico, possono ridurre al minimo i rischi.
Difatti in casi di furto delle credenziali personali, nonostante la banca abbia il diritto di accusare il cliente, facendo ricadere la colpa su quest’ultimo, è comunque tenuta a dimostrare al giudice di aver attuato tutte le misure (sia quelle minime stabilite che quelle idonee e preventive che vanno valutate di caso in caso con una valutazione del rischio -obbligatoria- e un documento programmatico per la sicurezza) per ridurre al minimo i rischi.
Se la banca non ha attuato misure che in altre banche sono comuni per le prevenzioni delle frodi informatiche, accessi abusivi etc., ad esempio, potrebbe essere tenuta a risarcire l'utente del danno.
La Raccomandazione europea n. 489 del 1997 stabilisce che dalla data della comunicazione alla banca di aver subito una truffa (con allegazione della denuncia alla polizia), il titolare del conto non può essere ritenuto responsabile dell'uso che viene fatto del suo conto da parte di terzi, per cui i soldi sottratti devono essergli restituiti.
