I primissimi tentativi

I tentativi di phishing sono iniziati con gli hacker che rubavano le password degli utenti e generavano numeri di carte di credito casuali. Anche se i colpi di fortuna erano pochi e lontani tra loro, guadagnavano abbastanza per causare molti danni e per continuare a fare quello che stavano facendo. Aprivano account AOL fasulli con i numeri di carta di credito casuali e li utilizzavano per inviare spam agli utenti. AOHell era un’applicazione Windows che rendeva questo processo più automatico, pubblicata nel 1995. AOL adottò misure di sicurezza per impedire questa pratica e chiuse AOHell nel corso dell’anno.

I phisher sono passati poi a creare un diverso tipo di attacco di phishing, utilizzando tecniche che vediamo ancora oggi. Hanno iniziato a inviare messaggi agli utenti, sostenendo di essere dipendenti di AOL, utilizzando i sistemi di messaggistica istantanea e di posta elettronica di AOL. Molte persone hanno volontariamente “verificato i loro account” o hanno fornito i loro dati di fatturazione ai malintenzionati. Si trattò di un attacco senza precedenti, per cui le persone non sapevano a cosa fare attenzione e credevano che le richieste di informazioni fossero legittime.

Il problema si aggravò ulteriormente quando i phisher crearono degli account AIM per inviare i loro messaggi di phishing; gli account non rientravano nei Termini di servizio di AOL. Alla fine, AOL ha aggiunto degli avvisi su tutti i client di posta elettronica e di messaggistica istantanea, dichiarando che “nessuno dei collaboratori di AOL chiederà la vostra password o i vostri dati di fatturazione”. L’applicazione delle norme ha costretto a togliere dai server di AOL i file che violavano il copyright e AOL ha disattivato tutti gli account di phishing, chiudendo la comunità warez.

Nel gennaio 2009, un singolo attacco di phishing ha fruttato ai criminali informatici 1,9 milioni di dollari in bonifici non autorizzati attraverso i conti bancari online di Experi-Metal.

Alla fine del 2009, l’Anti-Phishing Working Group ha riferito di aver ricevuto oltre 115.000 e-mail di phishing segnalate dai consumatori nel solo terzo trimestre, con gli Stati Uniti e la Cina che ospitano oltre il 25% dei siti di phishing ciascuno.

MyFitnessPal, l’app di Under Armour per il monitoraggio della salute e del fitness, è stata colpita da una violazione dei dati nel marzo 2018. Secondo l’azienda, la violazione ha interessato circa 150 milioni di utenti, rendendoli tutti bersaglio di phishing.

Una campagna di sextortion phishing vista nel luglio 2018 è stata la prima a utilizzare le password effettivamente violate dei destinatari nelle e-mail per convincere le persone che la minaccia di hacking è reale. Dato l’enorme volume di dati personali violati e rubati ora disponibili online, questa è una grande minaccia da tenere d’occhio nel 2018.

Un rapporto di Lookout pubblicato nel luglio 2018 ha mostrato che il tasso di caduta degli utenti negli attacchi di phishing mobile è aumentato dell’85% ogni anno dal 2011 e che il 25% dei dipendenti clicca sui link trovati nei messaggi di testo. Facebook messenger è un altro mezzo utilizzato.

I criminali continuano a utilizzare domini GoDaddy dirottati per lanciare campagne di spam, nonostante GoDaddy abbia preso provvedimenti per risolvere la falla di autenticazione sfruttata dagli aggressori. Gli spammer avevano capito che potevano aggiungere domini ai loro account GoDaddy senza dimostrare di esserne i proprietari. Nel febbraio 2019 è stata osservata una campagna su larga scala che utilizzava i domini dirottati per distribuire e-mail di phishing caricate con il ransomware GandCrab.

Secondo Microsoft, ecco alcuni dei modi innovativi in cui gli attacchi di phishing si sono evoluti dal 2019 al 2020: Puntare i link delle e-mail a falsi risultati di ricerca di Google che puntano a siti web carichi di malware controllati dagli aggressori, puntare i link delle e-mail a pagine inesistenti di un sito web controllato dagli aggressori in modo da presentare una pagina 404 personalizzata che può essere utilizzata per falsificare le pagine di accesso a siti legittimi, falsificare le pagine di accesso a Office 365 specifiche per l’azienda in modo che sembrino così realistiche da indurre gli utenti a non pensarci due volte. Questi progressi nel modo in cui gli aggressori pensano al phishing per facilitare l’infezione degli endpoint o il furto di credenziali rendono necessario che le organizzazioni non considerino più le loro soluzioni di sicurezza come l’unica linea di difesa.

Una nuova serie di attacchi di phishing rivolti a vittime interessate ai film nominati agli Oscar ruba carte di credito e installa malware. Secondo i ricercatori di Kaspersky, sono stati identificati oltre 20 siti di phishing legati al cinema, con oltre 900 file dannosi offerti come download di film. Film come Joker, 1917, The Irishman e Once Upon a Time in Hollywood sono i più ricercati dai truffatori. Sfruttando i social media e presentando un’offerta di visione del film, gli utenti vengono portati in un viaggio che comprende sondaggi, fornitura di dati personali e raccolta di informazioni sulla carta di credito.