Differenza tra phishing, smishing e vishing

Sempre più frequenti, sofisticati e maliziosi, gli attacchi informatici rappresentano un serio rischio per gli utenti abituati a utilizzare smartphone, tablet, pc e sistemi informatici di ogni tipo. Ogni giorno, migliaia di persone accedono a Internet, visitano pagine web, utilizzano il proprio smartphone e altri dispositivi elettronici: spesso, gli utenti non sanno come proteggersi da un cyber attacco e finiscono per diventare una facile preda per gli hacker. 

Non tutti sono in grado di riconoscere un attacco informatico: per colmare queste lacune, occorre informarsi anche riguardo le tecniche più usate dai criminali e il loro funzionamento. Una delle strategie di attacco più frequenti è il phishing, ma non solo. Pur essendo la più diffusa tecnica di truffa, non è l’unica strategia SCAM per portare a termine un’aggressione online.

Gli SCAM, ovvero i tentativi di truffe online, utilizzano principalmente le tecniche di ingegneria sociale: phishing, smishing e vishing rientrano in questa categoria di attività. Ma quali sono le differenze tra phishing, smishing e vishing? Scopriamo quel che c’è da sapere e alcuni consigli su come proteggersi da questi tentativi di truffe online.

Phishing

Il suo nome deriva dal verbo inglese “to fish”, pescare. Questa tecnica di truffa ricorda l’atto della pesca in quanto l’attaccante lancia un amo, in attesa che la vittima “abbocchi”. Il tentativo avviene prettamente nell’universo digitale: il phishing, infatti, si svolge esclusivamente nel mondo online. In base allo strumento utilizzato dall’attaccante, è possibile suddividere la tecnica di phishing in sotto-tecniche specifiche: smishing, vishing, spear phishing, whaling.

Il phishing non va inteso esclusivamente con il termine spam: mentre quest’ultimo ha come scopo quello di inviare comunicazioni moleste, soprattutto pubblicità fastidiose, il phishing ha tutt’altro obiettivo. Ben più fine e pericoloso. L’hacker che sferra un attacco phishing, infatti, ha lo scopo di trafugare dati sensibili (numeri delle carte di credito, credenziali di accesso, informazioni riservate). Tutte queste informazioni possono essere rivendute nel dark web o essere utilizzate per effettuare altre truffe (sia online che offline), per acquistare beni a nome della vittima o per richiedere riscatti. 

Il phishing, quindi, rappresenta una minaccia piuttosto importante. Per capire come proteggersi da questo tentativo di truffa, comprendiamo le dinamiche classiche di un attacco:

• la vittima riceve una e-mail. La comunicazione può raggiungere account privati o aziendali. Molto spesso, l’obiettivo dei criminal hacker sono dipendenti di aziende. Se l’attacco ha successo, infatti, il criminale ha accesso all’intera rete aziendale e potrebbe provocare non pochi danni;
• la vittima apre l’e-mail (spesso inviata da un indirizzo credibile, a nome di aziende private o statali rinomate);
• se la vittima compie l’azione richiesta nel corpo della e-mail (spesso la comunicazione ha carattere di urgenza), l’attacco ha successo. In particolare, le azioni possibili sono due: cliccare su un link (che si rivelerà essere un link malevolo) o scaricare un allegato (che probabilmente installerà in automatico un malware sul dispositivo). 

Un attacco di phishing diretto, chiamato anche spear phishing, ha maggiori possibilità di successo poiché l’attaccante ha studiato approfonditamente la vittima. Pertanto, ne conosce il comportamento e le abitudini. Sa quali sono i suoi punti deboli e sa quali aziende/Enti impersonare per essere credibile e trarre in inganno l’utente. 

Un attacco phishing viola l’articolo 640, comma 1, del codice penale. È punibile “chiunque, con artifizi o raggiri, inducendo taluno in errore, procura a sé o ad altri un ingiusto profitto con altrui danno”. Tale articolo prevede, per il colpevole, una multa (dai 51 ai 1.032 euro) e la reclusione dai 6 mesi ai 3 anni.

Quali sono le tipologie di phishing e perché si differenziano? Due le principali varianti del phishing: parliamo dello smishing e del vishing. Scopriamo di più nei paragrafi dedicati. 

Smishing

Il termine smishing nasce dalla fusione tra due termini: phishing e SMS. Questa tecnica di truffa, infatti, sfrutta un mezzo differente rispetto alle e-mail (generalmente utilizzate durante un attacco di phishing). L’aggressore invia un SMS sul numero di cellulare della vittima, inducendola a cliccare su un link o a fornire dati personali. Il criminale invia SMS simili, nella struttura e nella comunicazione, a quelli inviati da banche, uffici postali, Enti Pubblici o altre aziende. 

In questo modo la vittima considera l’SMS credibile e cade nella truffa. I messaggi di smishing possono contenere delle richieste esplicite e avere un carattere di urgenza: alla vittima viene richiesto di controllare lo stato di spedizione di un pacco, di approfittare di presunti saldi imperdibili o di cliccare su un link per proteggere il cellulare da un attacco virus. 

Cosa succede se si clicca in un SMS di phishing? La vittima che esegue l’azione, cadendo nel tranello, verrà dirottata tramite link maliziosi su pagine web fittizie (molto spesso, identiche o quasi alle pagine web originali di banche, uffici postali e altre aziende). Gli verranno richiesti dati sensibili, di accedere all’account personale, o di compilare un modulo. Se la vittima procede, tutti i dati forniti saranno direttamente ceduti al truffatore, che ne potrà fare l’uso che preferisce. 

Ma questo non è l’unico rischio: cliccando sui link maliziosi presenti negli SMS di smishing, la vittima corre il rischio di installare un malware direttamente sul suo smartphone. 

Vishing

Dopo aver analizzato smishing e vishing, vediamo quindi un’altra versione di questa truffa online: il vishing. Trattasi di una truffa che si svolge via telefono: la vittima riceve una chiamata telefonica che può svolgersi in due diversi modi. 

Può trattarsi di una chiamata effettuata direttamente dal criminale: la vittima, sentendo una voce umana, cadrà più facilmente nel tranello. Il criminale si finge un operatore di società di credito, banche e altre aziende. Chiederà alla vittima alcuni dati personali, per risolvere un problema o per mettere in campo delle presunte misure di sicurezza. 

Una variante del vishing effettuato con voce telefonica è la robocall, ovvero una chiamata preregistrata partita mediante un software di composizione automatica. Questo software ha la capacità di far partire milioni di chiamate al giorno. Chi risponde alla robocall sente una voce robotica che lo invita a seguire delle istruzioni. 

Per evitare di cadere nella truffa della robocall occorre assicurarsi innanzitutto che l’ID del chiamante sia valido (spesso, però, risulta erroneamente valido) e, in ogni caso, non seguire le istruzioni e chiudere la chiamata il prima possibile. Meno si risponde a questo tipo di chiamata, meno chiamate si riceveranno in futuro. 

Smishing vs phishing

Tra smishing e phishing c’è una sostanziale differenza, che riguarda lo strumento utilizzato per portare a termine la truffa. L’obiettivo è il medesimo, cambia però il mezzo che il criminale usa per un attacco smishing e phishing: nel primo caso, la truffa viene condotta via SMS, nel secondo caso, via e-mail. Nel caso del vishing, inoltre, l’attacco si svolge mediante una chiamata telefonica. 

Spear vishing vs vishing

Un’altra variante del phishing è lo spear phishing, ben più pericoloso in quanto l’attacco risulta essere “personalizzato”. Un attacco mirato, portato avanti da un criminale che ha studiato la vittima e quindi conosce le sue fragilità. Mentre un attacco phishing coinvolge un numero incredibile di utenti (in quanto viene sferrato in sequenza e in modo massivo, su moltissimi indirizzi e-mail contemporaneamente), un attacco spear phishing è specifico e viene strutturato da persona a persona. Un attacco di spear phishing può essere svolto via e-mail (phishing) o tramite chiamata (vishing). 

Come proteggersi da truffe e attacchi 

Non esiste un software o un antivirus in grado di debellare completamente i rischi legati al phishing. La migliore difesa è la consapevolezza: gli utenti, conoscendo le modalità di un attacco, sapranno riconoscere i possibili rischi e non cadere nella trappola tesa dal criminale. 

La miglior difesa contro vishing, spear phishing, smishing e phishing è la capacità di diffidare dalle comunicazioni ricevute (via e-mail, SMS o vocali) evitando di seguire le istruzioni dell’attaccante. Scopriamo alcuni comportamenti e consigli utili per proteggersi da truffe e attacchi.

Per proteggersi da una robocall occorre:

• riattaccare immediatamente, appena si comprende che si tratta di una robocall;
• evitare di dire la parola “sì”, che potrebbe essere registrata dal truffatore e utilizzata per altre attività malevole;
• non seguire le istruzioni dei bot;
• non fornire mai dati sensibili. 

Per bloccare i messaggi di phishing sullo smartphone occorre innanzitutto verificare il numero dal quale proviene l’SMS (queste istruzioni sono valide per sistemi iOS e Android):

• avviare l’app Messaggi di Google;
• cliccare sui tre puntini verticali (⋮);
• selezionare “Impostazioni”;
• selezionare “Avanzate” e poi “Protezione antispam”;
• attivare la protezione antispam cliccando su ON.

Come proteggersi da un attacco phishing? Mettendo in atto le seguenti istruzioni:

• verificare i link presenti nella comunicazione prima di cliccarvi sopra. È preferibile copiare il link in una nuova barra di ricerca piuttosto che cliccarvi sopra. Per capire se si tratta di link maliziosi, basta passare con il mouse sopra il link e verificare se l’URL corrisponde all’indirizzo Internet presentato;
• utilizzare una connessione sicura, evitando di accedere a wi-fi pubblici. È preferibile installare VPN;
• controllare che l’URL disponga del certificato di sicurezza (HTTPS), soprattutto quando si devono svolgere azioni che coinvolgono l’acquisto, l’immissione di credenziali di accesso e l’online banking;
• non comunicare mai i propri dati sensibili via e-mail, via SMS o via telefono. Le organizzazioni ufficiali non richiedono mai dati personali attraverso questi strumenti;
• utilizzare un metodo di autenticazione a due fattori (come OTP) per la protezione dell’identità personale;
• installare un software antivirus in grado di fornire un’adeguata protezione alla rete.