Che cos'è un attacco baleniere?

Un attacco whaling è un tipo di attacco di phishing che prende di mira dirigenti di alto livello, come il CEO o il CFO, per rubare informazioni sensibili da un'azienda. Ciò potrebbe includere informazioni finanziarie o informazioni personali dei dipendenti.

Il motivo per cui gli attacchi di whaling prendono di mira i dipendenti di alto rango è perché detengono il potere nelle aziende e spesso hanno accesso completo ai dati sensibili.

Il termine "caccia alle balene" deriva dall'entità del potenziale guadagno per la truffa di phishing, poiché le "balene" sono scelte con cura per la loro influenza, autorità e accesso all'interno dell'azienda.

In alcuni casi, i truffatori possono fingersi l'amministratore delegato o altri funzionari aziendali per manipolare le vittime affinché autorizzino bonifici bancari di alto valore su conti bancari offshore o per accedere a siti Web contraffatti che installano malware.

Perché gli attacchi con la caccia alle balene hanno successo?

Gli attacchi di whaling, come gli attacchi di spear phishing, sono più difficili da rilevare rispetto ai tipici attacchi di phishing in quanto sono altamente personalizzati e inviati solo a obiettivi selezionati in un'organizzazione.

Mentre il phishing delle balene non sofisticato si basa esclusivamente sull'ingegneria sociale per ingannare gli obiettivi, la maggior parte dei criminali informatici che utilizzano attacchi di whaling tendono a investire molto nell'attacco per farlo sembrare il più legittimo possibile, a causa dei rendimenti potenzialmente elevati.

Ciò potrebbe includere la raccolta di informazioni da profili di social media pubblici come Facebook, Twitter e LinkedIn, l'interazione con l'organizzazione via e-mail per capire come l'azienda struttura gli indirizzi e-mail e le firme e-mail e la raccolta di informazioni generali sull'azienda come titoli di lavoro, nomi di colleghi, fornitori di terze parti e qualsiasi dettaglio esposto in precedenti violazioni dei dati.

Inoltre, se l'organizzazione bersaglio non dispone di un'adeguata sicurezza della posta elettronica, l'aggressore può utilizzare lo spoofing delle e-mail per far sembrare che le proprie e-mail provengano da una fonte attendibile all'interno dell'organizzazione, rendendo ancora più difficile rilevare l'attacco.

Anche se l'organizzazione bersaglio dispone di un'adeguata sicurezza della posta elettronica, gli aggressori possono sfruttare la mancanza di sicurezza informatica di un fornitore di terze parti e lanciare l'attacco informatico tramite il dominio del fornitore o acquistare un nome di dominio tipo-quatt simile.

Come funzionano gli attacchi di caccia alle balene?

L'obiettivo di un attacco whaling è indurre la vittima a divulgare informazioni personali, informazioni aziendali o a installare diversi tipi di malware, come il ransomware, utilizzando l'ingegneria sociale, lo spoofing delle e-mail e lo spoofing dei contenuti.

Ad esempio, l'aggressore può inviare alla vittima un'e-mail contraffatta che sembra provenire da una fonte attendibile, come un dirigente senior o un altro membro dell'alta dirigenza. Attacchi più sofisticati possono assumere il controllo dell'account di posta elettronica di un collega o portare a un sito Web personalizzato creato appositamente per l'attacco.

Ad esempio, un utente malintenzionato può falsificare l'indirizzo e-mail del CTO e inviare un'e-mail a un membro del reparto contabilità fornitori richiedendo il pagamento di una fattura AWS falsa entro la chiusura dell'attività.

Un altro obiettivo comune per la caccia alle balene sono i membri del consiglio di amministrazione delle aziende perché hanno una grande autorità senza essere dipendenti a tempo pieno e possono persino utilizzare un'e-mail personale piuttosto che un account aziendale.

Poiché gli attacchi di whaling dipendono dall'ingegneria sociale, gli aggressori possono inviare collegamenti ipertestuali o allegati per infettare le vittime o per sollecitare informazioni sensibili e in generale cercare di mettere sotto pressione la vittima.

Per ulteriori informazioni, leggi la nostra guida sull'ingegneria sociale.

Qual è la differenza tra phishing, spear phishing e caccia alle balene?

Il phishing, lo spear phishing e la caccia alle balene condividono molte somiglianze, principalmente tutti e tre coinvolgono l'impersonificazione per ottenere informazioni o denaro da un bersaglio.

Detto questo, hanno sottili differenze di cui i team di sicurezza dovrebbero essere consapevoli.

Una tipica e-mail di phishing adotta un approccio quantitativo piuttosto che di qualità, inviando migliaia o addirittura milioni di e-mail a potenziali vittime.

Lo spear phishing è più selettivo e prende di mira organizzazioni o dipendenti specifici e richiede più tempo e impegno da parte dell'aggressore.

Infine, il whaling è un tipo specifico di spear phishing che prende di mira obiettivi di alto rango e di alto valore in un'organizzazione specifica che ha un alto livello di autorità e accesso ai dati aziendali critici.

Gli attacchi di caccia alle balene possono richiedere settimane o mesi per essere preparati e, di conseguenza, possono avere un tasso di successo molto elevato.

Esempi di attacchi con caccia alle balene

Nel 2016, Snapchat è stata vittima di un attacco di caccia alle balene quando un dipendente di alto rango è caduto in un'e-mail di frode del CEO e ha rivelato informazioni sulle buste paga dei dipendenti. Snapchat ha segnalato l'incidente all'FBI e ha offerto ai propri dipendenti due anni di assicurazione gratuita contro il furto di identità.

Un altro noto attacco di caccia alle balene ha coinvolto un dirigente di Seagate che ha accidentalmente esposto i moduli W-2 per tutti i dipendenti attuali ed ex. Questa violazione dei dati ha comportato l'esposizione di quasi 10.000 dati fiscali sul reddito di dipendenti attuali ed ex di Seagate, esponendoli a frodi sui rimborsi delle imposte sul reddito e furti di identità.

L'esempio più drammatico è la rimozione nel 2016 dell'amministratore delegato della FACC, Walter Stephan, che è caduto in un attacco di caccia alle balene che ha portato il dipartimento finanziario a trasferire 56 milioni di dollari ai truffatori.

Come prevenire gli attacchi di caccia alle balene

Anche se non puoi impedire a te stesso o ai dirigenti della tua azienda di essere presi di mira negli attacchi di whaling, ci sono misure che puoi adottare per ridurre la probabilità che questi attacchi abbiano successo.

Questi sono i controlli anti-phishing che suggeriamo:

Investire nella formazione sulla consapevolezza della sicurezza per il senior management: il senior management, il personale chiave e i team finanziari dovrebbero essere istruiti su cosa sono gli attacchi di whaling e su come individuarli. Forma i dipendenti a guardare il nome di dominio del mittente, confermare le richieste su un canale separato o di persona ed evitare di aprire allegati non richiesti. Inoltre, conduci finti attacchi di whaling (così come altri attacchi di ingegneria sociale) per testare regolarmente i dipendenti.
Impiegare pratiche OPSEC: la sicurezza operativa è un processo che identifica le azioni amichevoli che un potenziale aggressore potrebbe raggruppare con altri dati per rivelare dati critici o informazioni sensibili. Potrebbe trattarsi di un semplice esempio di un dirigente che ha un profilo Facebook pubblico con i propri dati personali come compleanno, hobby, amici e indirizzo esposti o di un utente malintenzionato che rovista nei bidoni della spazzatura della tua azienda. Per ulteriori informazioni, leggi la nostra guida su OPSEC.
Disporre di un'adeguata sicurezza delle e-mail: Poiché molte e-mail di whaling si basano sullo spoofing delle e-mail, investire nelle corrette impostazioni SPF, DKIM, DMARC e DNSSEC per prevenire lo spoofing delle e-mail. Inoltre, potrebbe essere utile contrassegnare le e-mail esterne. Per ulteriori informazioni, leggete la nostra guida sulla sicurezza delle e-mail.
Stabilire un processo di verifica: assicurarsi che nessun dipendente, nemmeno l'amministratore delegato, possa richiedere fondi o informazioni che di solito non vengono trasferite via e-mail senza verificare la propria richiesta in un altro canale, ad esempio una piattaforma di messaggistica interna. Documenta questo processo e forma i dipendenti su come gestire queste richieste.
Implementare un software per la protezione dei dati: investire in un software in grado di rilevare automaticamente le fughe di dati e le credenziali trapelate, in modo da evitare che i dati finiscano nelle mani sbagliate. Per ulteriori informazioni, leggi la nostra guida sulle fughe di dati.
Monitora tutti i fornitori di terze parti: ricorda che questi attacchi non devono necessariamente provenire dal tuo dominio se i tuoi fornitori gestiscono dati sensibili per tuo conto, devono avere gli stessi controlli in atto della tua organizzazione. Questo è il motivo per cui la gestione del rischio dei fornitori è così importante. Prendi in considerazione l'idea di investire in un fornitore di rating di sicurezza che possa aiutarti a identificare immediatamente i rischi chiave nel tuo portafoglio di fornitori. Per ulteriori informazioni, leggi la nostra guida su come gestire il rischio di terze parti.

UpGuard Vendor Risk può ridurre al minimo la quantità di tempo che l'organizzazione dedica alla valutazione dei controlli di sicurezza delle informazioni correlati e di terze parti, automatizzando i questionari dei fornitori e fornendo modelli di questionari dei fornitori. Possiamo aiutarti a monitorare continuamente i controlli di sicurezza esterni dei tuoi fornitori e fornire una valutazione di sicurezza imparziale.

Per la valutazione dei controlli di sicurezza delle informazioni, UpGuard BreachSight può monitorare la tua organizzazione per 70+ controlli di sicurezza fornendo una valutazione della sicurezza informatica semplice e di facile comprensione e rilevare automaticamente le credenziali perse e le esposizioni dei dati nei bucket S3, nei server Rsync, nei repository GitHub e altro ancora.

Basiamo le nostre valutazioni sull'analisi di 70+ vettori, tra cui: