Cos'è il whaling?
Il whaling è un tipo sofisticato di spear phishing in cui i malintenzionati puntano direttamente i dirigenti di alto livello di un'organizzazione o si spacciano per loro per ingannare gli altri. Un esempio comune è puntare il CEO di un'azienda o fingere di essere il CEO per ingannare altri membri essenziali dell'organizzazione, come i CFO, i dipartimenti paghe, i team di sicurezza o i portavoce.
I criminali informatici possono utilizzare complesse strategie di social engineering per eseguire con successo attacchi whaling, poiché sanno che i leader delle organizzazioni moderne usano varie strategie e strumenti di mitigation del phishing. Purtroppo, può essere difficile catturare gli attaccanti, poiché spesso mascherano la loro posizione e nascondono le loro tracce digitali.
Whaling vs. phishing: cosa sono?
Prima di approfondire cosa sia il whaling o come funzionano gli attacchi di whaling, dovremmo probabilmente rispondere alla domanda più frequente: cos'è il phishing nella cybersecurity? In poche parole, il phishing è quando i malintenzionati si presentano falsamente come parti fidate per ottenere la fiducia di una vittima e rubare i loro soldi o informazioni sensibili. Contrariamente alla credenza popolare, gli attacchi di phishing non sono limitati alle email. Ad esempio, gli attacchi di phishing che utilizzano i messaggi di testo si chiamano smishing, e quelli che utilizzano le comunicazioni vocali si chiamano vishing.
Le e-mail di phishing sono solitamente rivolte a molti utenti di Internet e sono più facili da individuare perché gli attori delle minacce le progettano per un pubblico di massa. Infatti, inviano miliardi di e-mail di phishing ogni giorno. Tuttavia, gli attacchi di phishing possono anche essere più mirati.
Che cos'è un attacco di spear-phishing?
Un attacco spear-phishing è un tipo di phishing più mirato in cui gli attori malintenzionati personalizzano le email per attaccare un gruppo specifico di persone, come i dipendenti di un dipartimento finanziario. Possono raccogliere dati da spyware o fonti su Internet, come profili social, per ottenere nomi, titoli di lavoro, indirizzi email e altro e progettare un attacco spear-phishing persuasivo. Tattiche simili possono aiutare i hacker a lanciare attacchi whaling.
Perché si chiama attacco whaling?
I termini phishing, spear-phishing e whaling sono tutti analoghi alla pesca. Mentre i pescatori lanciano una lenza con un'esca in acqua, sperando di catturare uno dei tanti pesci nel mare, un hacker invia email di phishing a molte persone sperando di colpire almeno una vittima. Allo stesso modo, come alcuni esperti di pesca usano le lance per cacciare singoli pesci, i malintenzionati usano lo spear-phishing per obiettivi specifici.
Per quanto riguarda le balene, questi mammiferi sono i pesci più grandi del mare e un obiettivo di grande valore per alcuni pescatori. Allo stesso modo, anche gli attacchi di cybersecurity mirano a obiettivi lucrativi come i dirigenti di un'azienda.
Come funziona un attacco whaling?
Con obiettivi di alto livello consapevoli degli attacchi di phishing, gli hacker utilizzano varie strategie per rendere la loro campagna di whaling un successo. Ad esempio, possono raccogliere informazioni dalla pagina LinkedIn di un dirigente per dare un tocco personale alla loro campagna. Infatti, le violazioni di sicurezza sono la ragione per cui forse non dovresti usare LinkedIn del tutto. Un attaccante whaling può anche studiare il gergo del settore per apparire legittimo ed esplorare le emozioni di un obiettivo offrendo un'opportunità di business lucrosa. Dopo aver completato la fase di raccolta informazioni, possono utilizzare i seguenti vettori di attacco whale phishing:
- Email: Come menzionato sopra, le email personalizzate per manipolare i loro obiettivi sono un vettore di attacco comune e utilizzano allegati, link o siti web malevoli.
- Telefono: Il National Cyber Security Center del Regno Unito ha osservato che gli aggressori potrebbero utilizzare e-mail e telefonate in una strategia 1-2 punch in cui la telefonata segue l'e-mail per rafforzare il phishing.
- Pretexting: I truffatori possono fare amicizia con un obiettivo sui social media fingendosi un potenziale partner commerciale, interesse amoroso, collega del settore o un'autorità come un ufficiale delle tasse.
- Baiting: L'attaccante può attirare un obiettivo a utilizzare un'unità USB infetta dall'aspetto autentico lasciandola nel loro ufficio, armadietto della palestra o inviandola per posta a casa loro.
Qual è l'obiettivo degli attacchi whaling?
- Denaro: Gli attaccanti possono usare l'attacco spear-phishing per indurre le vittime a inviare loro denaro tramite bonifico bancario o estorcere un'organizzazione dopo l'esfiltrazione dei dati.
- Controllo: Un hacker può utilizzare credenziali rubate per un movimento laterale nella rete di un'organizzazione o per aprire backdoor.
- Attacco alla supply chain: Un attacco alla supply chain accade quando gli hacker colpiscono organizzazioni violando elementi vulnerabili nella loro supply chain. Con il whale phishing, un criminale informatico potrebbe teoricamente attaccare un governo hackerando il loro fornitore per un attacco man-in-the-middle.
- Spionaggio aziendale: Con un attacco whaling riuscito, un hacker può rubare proprietà intellettuale o altri segreti commerciali per aiutare i concorrenti, a volte in un altro paese.
- Malware: Una banda di criminali informatici può ingannare le vittime di un attacco whaling nel installare malware pericolosi come ransomware, keylogger o rootkit.
- Vendetta personale: La vittima di un attacco whaling può subire una perdita catastrofica della loro reputazione.
Qual è un esempio di whaling?
Nel corso degli anni ci sono stati molti attacchi whaling, che alcune organizzazioni mediatiche chiamano anche truffe email CEO. Ecco alcuni esempi:
2015: Una filiale di Hong Kong della società wireless Ubiquiti Networks Inc. è stata defraudata di 46,7 milioni di dollari dopo che una falsa e-mail ha ingannato un dipendente della finanza.
2015: Un dirigente finanziario del gigante della produzione di giocattoli Mattel ha versato 3 milioni di dollari a un truffatore dopo aver ricevuto una richiesta fraudolenta che sembrava provenire dal nuovo CEO.
2016: Un produttore aerospaziale austriaco di nome FACC ha licenziato il suo amministratore delegato dopo aver perso 58 milioni di dollari in una truffa via e-mail con le balene.
2016: Un dipendente delle risorse umane di Snapchat ha fatto trapelare i dati delle buste paga dei dipendenti dopo una truffa via e-mail del CEO.
2017: Gli hacker hanno truffato un piccolo imprenditore di 50.000 dollari con un attacco man-in-the-middle di tipo whaling.
2020: I criminali informatici hanno utilizzato un link maligno per attaccare il co-fondatore di un hedge fund australiano con una frode, costringendo l'azienda a chiudere.
Come prevenire gli attacchi whaling?
Un'organizzazione può ridurre la minaccia di attacchi whaling imparando a rilevare i tentativi di phishing da parte degli hacker, ad esempio controllando l'URL, l'indirizzo e-mail, i link e gli allegati di un'e-mail alla ricerca di segnali rossi. Allo stesso modo, il linguaggio, il tono e la grammatica di un'e-mail possono essere un indizio. Oltre all'addestramento anti-phishing, anche la simulazione di attacchi whaling può migliorare le capacità di individuazione del phishing di un team. Per un'ulteriore protezione, le aziende dovrebbero utilizzare un software di cybersecurity che blocchi i vettori di attacco whaling, come i siti web di truffa.