Laurence CadieuxI professionisti IT ripetono continuamente agli utenti finali di non cliccare mai su link sospetti. E si tratta di un avvertimento che dovrebbe sempre essere seguito! Si consideri che:
- il 90% di tutte le violazioni di dati è collegato ad attacchi di phishing.
- il 95% delle aziende che ha subito una violazione legata al phishing nel 2021 ha registrato perdite comprese tra 250 e 984.855 dollari, con una perdita mediana di 30.000 dollari (ossia la metà di tutte le vittime ha perso più di 30.000 dollari!).
- il 65% dei gruppi di hacker utilizza il phishing come vettore di infezione principale.
Alla luce di queste statistiche allarmanti, non sorprende che il sondaggio Devolutions sullo stato della cybersecurity nelle PMI nel 2021-22 abbia rivelato che il phishing è tra le prime tre minacce informatiche che preoccupano maggiormente le PMI.
Tuttavia, c’è un aspetto della vicenda estremamente rilevante per i professionisti IT che hanno perso il conto di quante volte hanno avvertito gli utenti finali di non cliccare mai su link sospetti: nemmeno i professionisti IT dovrebbero mai cliccarci!
I pericoli nascosti nel cliccare su link sospetti
Quando si trovano di fronte a un link sospetto (idealmente perché è stato condiviso da un utente finale attento e ben formato!), alcuni professionisti IT decidono di cliccarci. Questo non avviene certamente per negligenza o incoscienza. Al contrario, lo fanno perché vogliono investigare e determinare se il link sia legittimo.
In teoria, questa pratica ha senso. Ma nella realtà, alcuni esperti ritengono che si tratti di un grave errore — perché nel cliccare su link sospetti si celano pericoli che nemmeno alcuni professionisti IT conoscono. Tra questi:
-
Se in un browser esiste una vulnerabilità, gli hacker potrebbero essere in grado di eseguire ogni genere di azione pericolosa. In alcuni casi, possono persino ottenere un accesso remoto permanente a un endpoint.
-
I professionisti IT che cliccano su un link sospetto ma non perdono il controllo del proprio browser non dovrebbero necessariamente tirare un sospiro di sollievo. Un controllo limitato di un browser (o, più tecnicamente, dei suoi contenuti) amplia comunque notevolmente la superficie di attacco e offre agli hacker molti modi per ottenere informazioni. I pop-up JavaScript sono un esempio emblematico.
-
Anche se gli hacker non riescono a sfruttare vulnerabilità note in un browser, possono comunque acquisire informazioni sul modello del dispositivo, sul sistema operativo, sull’hardware, sull’indirizzo IP, sulla versione del browser e su determinati cookie non protetti dalla same origin policy (questo può essere particolarmente grave se sono presenti cookie sensibili non sicuri). Ciò fornisce agli hacker informazioni preziose che possono essere utilizzate per campagne future. Ad esempio, se sanno quale versione di Chrome sta utilizzando una vittima, possono mirare a exploit zero-day. Oppure possono sfruttare vulnerabilità nelle estensioni. Va ricordato che un’indagine condotta dalla società di sicurezza Awake ha scoperto più di 100 estensioni del browser Google Chrome dannose o false che (prima della loro rimozione) erano state scaricate circa 33 milioni di volte. E HowToGeek.com avverte che “le estensioni del browser sono un incubo per la privacy”.
E c’è ancora altro da considerare: cliccare su un link dannoso potrebbe portare a essere tracciati e profilati su Internet. Ad esempio, gli hacker possono estrarre informazioni da Facebook, Instagram, LinkedIn e altri account per scoprire ulteriori dettagli sulle potenziali vittime — incluso dove lavorano e cosa fanno. Le potenziali vittime potrebbero inoltre iniziare a ricevere messaggi di testo, e-mail private e telefonate. Queste informazioni potrebbero anche essere utilizzate per campagne di spear phishing mirate a individui specifici.
-
Una tattica comune utilizzata dai truffatori telemarketing consiste nel chiamare automaticamente più numeri e poi interrompere la chiamata non appena questa viene risposta. Lo scopo è confermare che un numero sia attivo e risposto da una persona reale. Ebbene, gli hacker che praticano phishing usano lo stesso schema. Il semplice atto di cliccare su un link può confermare l’esistenza di una potenziale vittima. Questo potrebbe aprire le porte a molti altri tentativi di phishing in futuro — non solo contro un individuo specifico, ma contro tutti gli individui dell’organizzazione.
-
Cliccare su un link sospetto può attivare un download automatico. È vero che, finché il file non viene aperto, i rischi sono minimi — ma esistono comunque!
-
Alcuni professionisti IT potrebbero non preoccuparsi troppo di cliccare su un link sospetto, perché ritengono di poter facilmente individuare una landing page falsa. Ma… sono davvero in grado di farlo? Forse non sempre! Nel settembre 2019, abbiamo chiesto ai professionisti IT della nostra community di descrivere il tentativo di hacking più realistico che avessero mai vissuto. Molti hanno condiviso che alcune campagne di phishing, in particolare quelle che coinvolgevano marchi noti come Microsoft e Amazon, avevano un aspetto sorprendentemente autentico.
-
Non dimentichiamo i famigerati attacchi drive-by-download, che esistono da tanti anni per un motivo molto semplice: funzionano! Sì, oltre a cliccare sul link, è anche necessario accettare l’avviso di SmartScreen (o simile). Ma alcuni professionisti IT, ingannati da campagne molto ben sviluppate, potrebbero ignorare questo avviso.
Mantenga informati — e al sicuro — i suoi utenti finali
Come professionista IT, potrebbe già essere consapevole di questi motivi per non cliccare su link sospetti. Ma anche così, riflettere sui fondamentali non fa mai male. Come consiglia l’autore ed esperto di leadership John Maxwell: “Il pensiero riflessivo trasforma l’esperienza in intuizione”. E quando si tratta di cybersecurity e sicurezza IT, più intuizione è sempre meglio!
Inoltre, incoraggiamo tutti i professionisti IT a condividere con i propri utenti finali questi sette motivi per non cliccare su link sospetti. Effettivamente, alcuni utenti finali — inclusi quelli a livello dirigenziale — non comprendono ancora PERCHÉ cliccare su link sospetti sia una scelta così sbagliata. Una volta informati, possono diventare parte della soluzione in materia di cybersecurity, invece di contribuire involontariamente al problema.
Conclusione
Evitare i link sospetti non eliminerà al 100% la minaccia del phishing — perché purtroppo nulla può raggiungere questo ideale. Ma ridurrà le dimensioni della superficie di attacco e potrà potenzialmente diminuire la frequenza, l’entità e la gravità degli attacchi informatici. Si tratta di un obiettivo fondamentale, e i professionisti IT possono essere orgogliosi di guidarne il raggiungimento.
Qual è la sua opinione?
Abbiamo osservato in precedenza che alcuni esperti ritengono che i professionisti IT non dovrebbero mai cliccare su link sospetti. Altri esperti ritengono invece che ciò non sia necessariamente sconsigliabile, purché vengano adottate determinate precauzioni. Il dibattito su questo tema è considerevole (inclusa una conversazione molto interessante, e a tratti piuttosto accesa, su Slack tra professionisti IT, che ha ispirato questo articolo!). Condivida la sua opinione e i suoi consigli. Da che parte si schiera su questa questione?