Il Phishing as a Service (PHaaS)
Il phishing è un modo comune per i criminali informatici di ingannare le persone tramite e-mail di ingegneria sociale, inducendole a cedere le proprie credenziali ad account online in grado di archiviare dati sensibili.
I phisher utilizzano queste e-mail, che a volte ingannano le persone impersonando un’azienda, un’applicazione o un’istituzione fidata, per indirizzarle a siti di phishing appositamente predisposti in modo da raccogliere le credenziali che vi si chiede di inserire, pensando di farlo per un motivo legittimo.
Il phishing è spesso una porta di accesso ad altre attività criminali: i phisher vendono credenziali ottenute tramite campagne sul dark web che possono essere utilizzate da gruppi di ransomware come punto di ingresso nelle reti per eseguire attacchi ransomware, tra le altre attività nefaste.
Le sfide del Phishing-as-a-Service
Il Phishing-as-a-Service è una forma inclusiva di criminalità informatica che potenzialmente apre la porta a tutti. Ora, anche un principiante può avere la propria campagna di phishing.
Infatti, uno degli ostacoli all’ingresso nel mondo del crimine informatico è stato a livello tecnico.
In passato, era necessario creare “hand made” la propria truffa, dalla codifica (incluso lo sviluppo di malware) all’hosting delle pagine di destinazione dello spoof e alla vendita dei dati raccolti come parte del phishing.
I passaggi interessati comportavano un processo piuttosto lento, accurato e intenso che si componeva dei seguenti step:
Progettare la truffa stessa
Inclusa l’identificazione degli obiettivi, l’elaborazione delle migliori marche da falsificare, la decisione su come funzionerà il ciclo di phishing (link? Allegati?), cosa farai con i dati raccolti e così via.
Progettazione e sviluppo di e-mail di phishing
Compresa la configurazione di server e-mail, la scrittura di contenuti, la creazione di collegamenti o allegati dannosi.
Creazione del sito web di spoofing
Il phishing spesso comporta l’inganno di una persona per rivelare dettagli come dati personali o informazioni finanziarie.
Potrebbe anche essere necessaria una pagina di accesso contraffatta per raccogliere le credenziali di autenticazione.
Consumo e utilizzo dei dati raccolti
La fase finale, in cui si individua cosa fare con i dati phishing, se vendere tramite un marketplace su darknet o un gruppo di app di messaggistica oppure servirsene per dirottare un account.
Il Phishing-as-a-Service è quindi un punto di svolta nel mondo del crimine informatico perché rimuove una serie di passaggi di cui sopra, in particolare quelli difficili come l’hosting e il design.
L’apprendista criminale informatico non dovrà più violare i siti web per ospitare le loro pagine di destinazione dannose.
Utilizzando un’opzione di phishing come servizio già pronta, il crimine informatico diventa accessibile a tutti.
Come funziona il Phishing-as-a-Service
Esiste un mix di kit di phishing da singoli strumenti a campagne completamente orchestrate, disponibili per l’affitto sul darknet.
È quest’ultima categoria che viene utilizzata per le offerte di phishing come servizio a tutti gli effetti. I prezzi dei servizi e dei kit, a partire da circa 50 dollari per un semplice download di kit una tantum.
I servizi di phishing più complicati, come il Phishing-as-a-Service, prevedono prezzi da 50 a 80 dollari al mese per il noleggio.
Il Phishing-as-a-Service funziona generalmente come modello di abbonamento, in modo simile al noleggio di qualsiasi altro servizio online come lo streaming TV.
Questo modello consente agli utenti inesperti di utilizzare strumenti di phishing professionali a un prezzo accessibile.
Chiunque desideri acquistare gli strumenti andrà in un marketplace (su darknet) che li offre come prodotti confezionati, più o meno allo stesso modo di qualsiasi altro sito di e-commerce.
Si può scegliere tra diverse varianti di prodotto, aggiungerle al carrello e pagare, il che rende il Phishing-as-a-Service facile da usare anche per i non esperti.
La tecnica del doppio furto nel PHaaS
Il servizio di Phishing-as-a-Service ha un doppio valore aggiunto, guadagna due volte: con il noleggio della piattaforma (con cui l’operatore ottiene le credenziali da trafugare) e poi con la condivisione di queste ultime, ottenute da chi ha noleggiato il servizio di Phishing-as-a-Service per trafugare quella combo di email e password.
Il PHaaS differisce dai kit di phishing tradizionale, venduto in un’unica soluzione di pagamento per ottenere l’accesso a pacchetti di file contenenti template di email di phishing pronti all’uso, perché c’è una servitization del phishing: è un servizio in abbonamento e s’ispira a un modello di Software-as-a-Service (SaaS), mentre si espande includendo siti integrati di hosting, diffusione email e furto di credenziali.
Come difendersi?
Il modo migliore per proteggersi dagli attacchi di phishing è non cliccare mai su alcun collegamento o aprire alcun allegato. Ma questo consiglio non è realistico per la maggior parte delle persone.
Gli attacchi di phishing che utilizzano malware spesso si basano su bug del software per attirare il malware stesso sul proprio computer.
Di solito, una volta che viene rilevato un bug, un produttore di software rilascerà un aggiornamento per risolverlo.
Ciò significa che i software più vecchi hanno più bug noti pubblicamente che potrebbero essere utilizzati per aiutare a installare malware.
Mantenere aggiornato il software riduce i rischi di malware e risulta un consiglio realistico e spesso efficace.