Si chiama whaling la pericolosa variante del phishing che, basandosi sempre su tecniche di ingegneria sociale, prende di mira i dirigenti e i vertici aziendali inducendoli a compiere azioni dannose per l’azienda ma remunerative per l’attaccante.

Il whaling, o whale phishing, è una recente e ambiziosa tecnica di attacco informatico che prende di mira dirigenti e vertici aziendali quali CEO, CFO, CIO e in generale tutti quei profili, comunemente identificabili come C-Level, che all’interno di un’azienda sono in possesso sia di informazioni strettamente riservate che di elevati poteri decisionali e di spesa.

L’obiettivo è quello di manipolare la vittima inducendola con l’inganno a divulgare informazioni in suo possesso o a fargli compiere specifiche azioni dannose per l’azienda ma remunerative per l’attaccante, come ad esempio autorizzare un bonifico a beneficio di quest’ultimo.

Le logiche e le dinamiche di tale tipologia di attacco sono sostanzialmente le stesse del phishing, minaccia informatica particolarmente diffusa di cui il whaling rappresenta la forma più recente, evoluta e sofisticata.

La cura meticolosa dei dettagli e la forte personalizzazione rendono gli attacchi di whaling estremamente difficili da rilevare.

In che modo, dunque, aziende e professionisti possono difendersi da tale minaccia? Di seguito sono riportati alcuni suggerimenti pratici per ridurre il rischio di cadere vittime del whaling.

Suggerimenti per le aziende:

  • creare consapevolezza sul fenomeno, prevedendo formazione e sensibilizzazione specifica per i profili C-Level;
  • organizzare e simulare periodiche campagne interne di whaling, così da affinare le capacità di difesa dei propri C-Level. Proprio da tali campagne, spesso, scaturiscono lesson learned estremamente formative;
  • incoraggiare i dipendenti di tutti i livelli a verificare, attraverso un secondo canale, le fonti di eventuali richieste urgenti pervenute via e-mail, ad esempio chiedendo conferma di persona al mittente o contattando proattivamente quest’ultimo via telefono o SMS;
  • limitare il più possibile la condivisione di informazioni sui propri C-Level, ad esempio tramite il sito web o gli account social aziendali.

Suggerimenti per i C-Level:

  • imparare a mettere in dubbio, per impostazione predefinita, anche le e-mail dall’aspetto più familiare, soprattutto se ricevute da un superiore e se contenenti richieste a carattere d’urgenza. Bisogna sempre ricordare che tale tipologia di attacco presuppone una preventiva ed approfondita raccolta di informazioni sulle vittime;
  • esattamente come per le aziende, cercare di limitare la condivisione di informazioni personali e professionali, in particolare attraverso i vari social network.

 

Fonte dell’Articolo: https://bit.ly/39fqlCF