C’è stato indubbiamente un aspetto positivo successivo all’articolo di Corrado Augias che, in risposta a una lettera di una lettrice (che aveva messo in evidenza le lungaggini burocratiche tra Italia e Svizzera per ottenere la cittadinanza nel nostro Paese), aveva raccontato una presunta sua esperienza con la burocrazia italiana, confondendo però il servizio clienti di Enel con un palese caso di phishing. Successivamente a questo articolo, con l’inevitabile polemica generata sui social network, si è sviluppato un ampio dibattito intorno ai casi di phishing, sono proliferate le guide per rendere edotti gli utenti rispetto al problema e sono state contestate anche alcune chiavi di lettura fornite da autorevoli testate online.
LEGGI ANCHE > Sms di Poste, nuovo tentativo di truffa attraverso “smishing”
In modo particolare, è stato contestato – soprattutto su Twitter – un articolo del Post. L’intento della testata era quello di realizzare una guida, al solito completa e «spiegata bene», sul fenomeno dopo l’ampia cassa di risonanza che aveva creato il caso di Corrado Augias. Nell’articolo, si evidenziava:
«Le email di phishing possono copiare qualsiasi cosa di una comunicazione ufficiale, meno che l’indirizzo mail (a meno che non sia frutto di qualche operazione di travestimento o hackeraggio ancora più sofisticata».
L’osservazione che è stata fatta riguarda proprio la spiegazione affrettata sul perché, in realtà, le mail di phishing possono arrivare anche da un indirizzo aziendale. Insomma, il phishing non avviene soltanto da indirizzi di posta generici (con il dominio @gmail o @yahoo per intenderci), ma ne esistono forme più sofisticate (e ultimamente sempre più diffuse) che utilizzano veri e propri account aziendali.
La società Barracuda Network, che fornisce prodotti di sicurezza e che si occupa di dispositivi che dovrebbero tutelare la protezione informatica delle aziende, ha recentemente promosso una ricerca insieme all’università di Berkeley e di San Diego. Questa ricerca descriveva il fenomeno del lateral phishing, ovvero di quegli attacchi hacker che riescono a intrufolarsi all’interno dei sistemi di sicurezza delle aziende e a ottenere l’accesso alla suite Office 365 dei dipendenti. Grazie a questo sistema, si riesce a recuperare l’indirizzo mail dei dipendenti e a utilizzare la loro mail aziendale per inviare comunicazioni-phishing.
Si tratta di attacchi che, in gergo tecnico, si definiscono di tipo takeover: ovviamente, ci sono anche altri scopi dietro a questa tipologia, ma uno degli effetti è senz’altro quello di realizzare lateral phishing. Lo studio di Barracuda aveva dimostrato che a partire da un centinaio di account aziendali hackerati, mail di phishing sono state inviate a oltre 100mila destinatari. La proporzione è, dunque, particolarmente significativa. Evidenziare questo fenomeno rappresenta senz’altro un aspetto del problema e riguarda in primo luogo la sicurezza delle aziende: di riflesso e a cascata l’informazione può essere utile anche per l’utente finale. Il messaggio che, in ogni caso, è opportuno far passare è che mail di truffa possono arrivare anche da account aziendali e non soltanto da indirizzi di posta generici.