Phishing: chiusura 2012 e previsioni 2013
Il 2012 si è da poco concluso consentendo di verificare un netto incremento di url unici di attacco tra il primo ed il terzo quadrimestre.
Il raddoppio del numero di segnalazioni raccolte è in parte imputabile all’affinamento della capacità di rilevare gli attacchi di phishing ottenuto con l’entrata a regime di tools e procedure sviluppati e affinati man mano che l’azienda si avvicina a festeggiare il primo anno di operatività effettiva.
Nell’ultimo quadrimestre del 2012 i 642 url unici di attacco, rilevati nei messaggi di posta elettronica o negli allegati ad essi, hanno fatto riferimento a 542 differenti domini/indirizzi ip, il che consente con semplicità di rilevare come parte di questi venga riutilizzata in più attacchi.
Il grafico sottostante mostra chiaramente gli enti verso i quali i tentativi di frode sono stati una costante nell’arco dell’anno appena conclusosi.
Esaminando l’andamento degli attacchi nell’arco di tutto l’anno si può notare come gli tra i cinque enti più colpiti dal phishing,
la minacci agli utenti/clienti di quattro di questi fosse sostanzialmente volta ad impadronirsi dei codici di carte di credito, mentre solo nel caso di Banca Popolare dell’Emilia Romagna ad essere prese di mira fossero le funzionalità di home banking.
L’esame degli attacchi agli enti distribuiti nei tre quadrimestri mostra come dalla seconda metà dell’anno i phisher abbiano orientato il
proprio operato non solo nei confronti di istituti bancari o di emissione di carte di credito, ma anche nei confronti di società di servizi per l’utilizzo dei cui servizi è plausibile la richiesta dei dati delle carte di credito.
Da giugno si è potuto assistere a tentativi di frode nei confronti degli utenti Telepass, Gioco Digitale, Vodafone, Wind e verso la fine dell’anno, facendo leva sulla crisi economica che mette in affanno el famiglie, sfruttando quindi la promessa di false offerte per l’acquisto di carburante e di rimborsi, anche nei confronti di Eni/Agip e del Gruppo Hera.
In panorama internazionale si assiste invece alla scoperta da parte dei cyber criminali di nuove terre di conquista, con tentativi di frode volti a colpire utenti di banche asiatiche, nord africane e dei paesi arabi.
Relativamente alle metodiche di attacco si nota una netta flessione sia nell’uso di redirect che degli allegati html/htm/mht contenenti form da visualizzarsi e compilarsi in locale.
Il calo degli url unici di attacco utilizzati per i tentativi di frode portati attraverso form allegati non deve far in realtà pensare ad un calo assoluto di tale metodica, si è rilevata infatti una forte persistenza, o capacità di sopravvivenza, delle pagine php (generalmente) utilizzate per la gestione delle credenziali inviate dai form, con alcune di esse che risultano essere riutilizzate in attacchi anche a distanza di diverse settimane.
Il calo nel numero di url unici di attacco utilizzati quali redirect e invece reale e da imputarsi sostanzialmente ad un temporaneo cambio di modalità operativa da parte del gruppo criminale, presumibilmente romeno, che di tale metodica aveva fatto una sua costante almeno dalla seconda metà del 2009.
Solo nelle ultime settimane dell’anno appena concluso tale gruppo sembra star facendo ritorno a tale metodica, da essi ampiamente collaudata.
Previsioni per il 2013
A fronte dei monitoraggi effettuati dal 2009 ad oggi risulta estremamente complesso lanciarsi in previsioni riguardanti la minaccia phishing.
Enti molto colpiti un anno sono stati quasi ignorati quello successivo, mentre istituti mai attenzionati prima sono poi stati colpiti duramente.
Sicuramente alcuni enti con un elevato numero di utenti operanti con carte di credito e prepagate rimarranno una costante.
Gli italiani riceveranno ancora moltissime mail fraudolente relative a Carta Si e Poste Italiane. Potrebbe esservi un incremento dei tentativi di frode nei confronti degli utenti Visa, anche se in realtà nei tre quadrimestri si è registrato un calo progressivo, mentre Mastercard rimane al momento ancora troppo poco diffusa per rappresentare un obiettivo pagante.
Un certo interesse potrebbe esercitarlo nei cyber criminali la nuova carta fedeltà e pagamento Eni, di cui si sta assistendo alla pubblicizzazione da alcune settimane, si sa che le novità attirano sempre una certa attenzione, come avvenuto in passato per Lottomatica, molto colpita nel 2011.
Sul lato home banking si è assistito ad un calo di interesse da parte dei criminali, presumibilmente a causa dell’adozione da parte di diversi istituti di strumenti hardware OTP e di metodiche di autenticazione via cellulare. I phisher potrebbero andare alla ricerca di quegli istituti che ancora operano senza tali strumenti, facendo magari uso delle password dispositive, o riversando comunque l’attenzione su quegli istituti che, seppur proteggendo i clienti con autenticazioni robuste, possono vantare un ampio bacino di utenti.
In tali casi la cornice grafica dei siti di home banking, fedelmente riprodotti in pagine fraudolente, verrà utilizzata semplicemente per mettere a proprio agio il cliente/utente al fine di ingannarlo e convincerlo a cedere i codici delle carte di credito, come in tutto l’anno passato si è visto ripetere ad esempio con Unicredit e San Paolo Intesa.
La possibilità che i criminali si orientino verso enti non bancari, ma deputati alla semplice fornitura di servizi potrebbe rappresentare un trend in aumento, a tali frodi si da ancora poco risalto e potrebbero rappresentare un terreno fertile per i phisher nell’arco dell’anno appena cominciato.
