Phishing in Italia, il 79% delle aziende ha subito un attacco via email

Proofpoint ha pubblicato il suo nono rapporto annuale State of the Phish, il quale evidenzia come i criminali informatici utilizzino sia tattiche già note che tattiche emergenti per attaccare le organizzazioni. E lo fanno con successo. Pensate che lo scorso anno, il 79% delle aziende in Italia che hanno subito tentativi di attacchi phishing via email ne hanno registrato almeno uno di successo. Con le aziende che nel 7% che ha riportato perdite finanziarie dirette.

Phishing in Italia – il 79% delle aziende colpita via email

Prova subito Bitdefender, Tra i Migliori Antivirus

Tra le tecniche comuni utilizzate dagli attori delle minacce ci sono l’impersonificazione del marchio, la compromissione delle email aziendali (BEC) e il ransomware. Tuttavia, non sono le uniche che gli hacker utilizzano, Infatti, questi attori stanno anche aumentando l’uso di metodi di attacco meno conosciuti per infiltrarsi nelle aziende.

Il rapporto State of the Phish 2023 fornisce un’analisi dettagliata delle minacce reali, utilizzando la telemetria di Proofpoint. Che comprende oltre 18 milioni di email segnalate dagli utenti e 135 milioni di attacchi di phishing simulati inviati nel corso di un anno. Il rapporto esamina anche le percezioni di 7.500 dipendenti e 1.050 professionisti della sicurezza operativa in 15 Paesi, inclusa l’Italia per la prima volta, rivelando importanti lacune nella consapevolezza della sicurezza e nell’igiene informatica.

Ryan Kalember, executive vice president, cybersecurity strategy di Proofpoint, spiega: “Mentre il phishing convenzionale continua ad avere successo, molti cybercriminali si sono spostati su tecniche più recenti, come la consegna di attacchi telephone-oriented e i proxy di phishing adversary-in-the-middle (AitM) che bypassano l’autenticazione multi-fattore. Queste tecniche sono state utilizzate per anni negli attacchi mirati, ma nel 2022 sono state implementate su larga scala. Abbiamo anche assistito a un netto aumento di campagne di phishing sofisticate e multi-touch che prevedono conversazioni più lunghe tra più parti – che si tratti di un gruppo allineato a uno stato o di un attore BEC sono numerosi gli avversari disposti a
giocare sul lungo periodo.”

Le trappole in cui cadono gli utenti

Il caos causato dall’estorsione cibernetica continua ad aumentare in Italia. Infatti, il 63% delle organizzazioni ha subito un tentativo di attacco ransomware nell’ultimo anno. Sfortunatamente, il 44% di questi attacchi è stato di successo. E solo il 38% delle organizzazioni ha recuperato l’accesso ai propri dati dopo aver pagato il riscatto.

Non solo. Molte aziende hanno pagato più di una volta. La maggioranza di coloro che sono stati colpiti ha stipulato una polizza di assicurazione cibernetica per gli attacchi ransomware. Più della metà degli assicuratori è disposta a pagare il riscatto in parte o per intero, il che spiega anche l’elevata propensione al pagamento, con il 27% delle organizzazioni infette che ha pagato almeno un riscatto.

Attenzione alle email con nomi di grandi brand

Un altro problema sono le email fasulle che impersonano noti marchi, come Microsoft, Google, Amazon, DHL, Adobe e DocuSign. Il 47% dei dipendenti italiani ritiene che un’email sia sicura se contiene un marchio familiare. Anzi, il 71% pensa che l’indirizzo email corrisponda sempre al sito web del marchio. Ciò spiega perché la metà dei 10 modelli di phishing più utilizzati sono legati all’impersonificazione di un marchio. E perché questi attacchi hanno tassi di fallimento elevati.

Oltre ai grandi brand, anche le minacce interne rappresentano un problema per le organizzazioni. Il 39% ha subito una perdita di dati a causa di una minaccia interna. Con il 42% dei dipendenti italiani che hanno cambiato lavoro ammette di aver portato con sé i dati.

Infine, ci sono le minacce email più complesse come il phishing telefonico e il bypass dell’autenticazione a più fattori. Ci sono stati più di 600.000 attacchi TOAD al giorno, dove gli attaccanti incitano i destinatari a iniziare una conversazione diretta con loro al telefono tramite “call center” fasulli. Inoltre, molti fornitori di phishing-as-a-service hanno già incluso strumenti AitM nei propri kit di phishing pronti all’uso.

Phishing in Italia – l’analisi di Proofpoint

In generale, ci sono ancora molti spazi di miglioramento per la cyber-igiene, soprattutto riguardo alla consapevolezza dei dipendenti riguardo alle minacce cibernetiche. Quasi la metà (49%) delle organizzazioni italiane forma l’intera forza lavoro contro il rischio. Solo il 29% effettua simulazioni di phishing. Due percentuali che dovrebbero aumentare.

Luca Maiocchi, Country Manager di Proofpoint Italia, spiega: “Lacune nella consapevolezza e comportamenti lassisti dei dipendenti in materia di sicurezza creano rischi sostanziali per le organizzazioni e i loro dati. I cybercriminali utilizzano le email come vettore di attacco preferito e stanno inoltre applicando tecniche molto meno familiari ai dipendenti per ingannarli. Tutto questo sottolinea il valore e l’importanza della definizione di una cultura della sicurezza che coinvolga l’intera organizzazione”.

Qui trovate il report completo, mentre a questo indirizzo trovate alcune best practice di Proofpoint per la formazione di cybersecurity.

Phishing: Anatomy of Deception

• Solanes, Ariel (Autore)

9,69 EUR

Acquista su Amazon