Cos’è lo spear phishing

È una truffa personalizzata e mirata che richiede una preparazione certosina. I criminal hacker cercano informazioni sulla vittima sia consultando le informazioni pubbliche sia, non di rado, entrando in possesso di dati già esfiltrati mediante precedenti offensive di hacking.

I truffatori fanno incetta di informazioni tra le quali, per esempio, nome e cognome delle potenziali vittime, indirizzi email, amici più stretti, interessi, ruolo professionale, aziende per la quali lavorano, luoghi visitati e altre ancora. Dati che, di norma, possono essere evinti dai profili social.

Da qui i truffatori redigono messaggi che, per la vittima, sembrano provenire da persone conosciute e fidate: colleghi, superiori, istituti bancari, circoli privati, partner commerciali, amici. L’obiettivo dei truffatori è sempre un tornaconto personale. Così un’email, un sms, un messaggio diretto o una telefonata inducono la vittima a comunicare informazioni riservate come password, pin di accesso a conti online o altri dati sensibili, oppure a cliccare su link malevoli o a consultare file allegati che installano malware sui dispositivi privati o di lavoro.

Lo spear phishing non usa debolezza della rete o delle infrastrutture informatiche, fa leva sulla natura umana e questo lo rende efficace a prescindere dalla preparazione tecnica delle vittime.

Le IA (intelligenza artificiale) consentono ai truffatori di superare i limiti che hanno reso più facilmente intercettabili le campagne di phishing tradizionale, perpetrate spesso mediante messaggi scritti con un linguaggio sgrammaticato e con toni per nulla confacenti ai contenuti espressi.

I modelli linguistici hanno trasformato lo spear phishing, oggi non è più un’attività manuale ma una procedura automatizzata, di alta qualità e riproducibile in tempi ristretti. Più in generale, gli strumenti IA possono scansionare i profili social delle vittime e costruire storie credibili da diffondere ai rispettivi contatti, arrivando persino a replicare lo stile di scrittura dei mittenti emulati.

Una minaccia anche per le imprese considerando che i truffatori on-line possono redigere email imitando alla perfezione lo stile di scrittura di un amministratore delegato, inducendo così chi la riceve a eseguire gli ordini che contiene senza battere ciglio. L’ufficio contabile di un’azienda, per esempio, potrebbe disporre dei bonifici eseguendo gli ordini contenuti in email che sembrava effettivamente provenire dall’amministratore delegato.