Telelavoro e phishing: adottate le buone pratiche

Il telelavoro sta diventando un ulteriore canale per gli attacchi di phishing?

Mentre, per molte ragioni, la maggior parte dei dipendenti vive il telelavoro come un'esperienza positiva, la maggior parte dei responsabili IT teme gli attacchi informatici che minacciano la propria organizzazione. Infatti, il telelavoro implica che gli utenti lavorino in un ambiente informatico di cui i loro team non possono controllare il livello di sicurezza (ammesso che esista!). Ciò è, giustamente, motivo di preoccupazione. Tanto più che garantire la sicurezza del sistema informativo rimane una delle missioni essenziali del responsabile IT.

Come ben sappiamo, infatti, un’implementazione del telelavoro mal gestita può rivelarsi una vera e propria opportunità per i criminali informatici. Secondo il CESIN,il phishing è il principale vettore degli attacchi informatici più gravi. La recente crisi del COVID-19 ce lo ha dimostrato: il numero di attacchi di phishing è aumentato in modo esponenziale durante questo periodo. Senza scrupoli, i criminali informatici hanno approfittato di questa “opportunità” per sfruttare le falle nella sicurezza e le debolezze umane.

Un aumento del 667% delle e-mail di phishing

Il fornitore di soluzioni di sicurezza Barracuda Networks ha così registrato a marzo
«un aumento del 667% … delle e-mail di phishing mirato
che sfruttano il tema del Covid-19 per cercare di approfittare della paura degli utenti».
(fonte:Le Monde Informatique)

Queste e-mail di phishing sono piene di allegati o link fraudolenti. Quando l’utente clicca su di essi, anche inavvertitamente, un software dannoso (ransomware,trojan) si introduce nel sistema informatico dell’organizzazione. Questi “ransomware” possono anche sottrarre dati riservati quali:

• la tua password;
• le vostre credenziali;
• i vostri dati;
• dati riservati…

I criminali informatici possono anche avanzare richieste di denaro insolite. Ad esempio, la tecnicadi phishing mirato nota come «frode del presidente», perpetrata usurpando l’identità di una terza parte di fiducia (un collega, un superiore…) o spacciandosi per una fonte «affidabile» (fornitori, enti pubblici, banche, ecc.).

Ad esempio, in:

• offrendovi un rimborso per l'importo pagato in eccesso;
• avvertendovi di un presunto «problema tecnico di sicurezza»;
• in cui si richiede un “aggiornamento dei propri dati”.

Come evitare le insidie del phishing quando si lavora da casa?

Tuttavia, adottando le giuste precauzioni per evitare le insidie del phishing, è possibile lavorare da casa in tutta sicurezza. A tal fine, l'utente deve attenersi ad alcune regole fondamentali, ben note a ogni responsabile IT esperto:

• Distinguere gli usi professionali da quelli personali, in particolare la posta elettronica aziendale da quella personale;
• Diffidate delle e-mail sorprendenti, inaspettate, allarmanti, urgenti…
• Evitare di basarsi esclusivamente sull'indirizzo e-mail del mittente: in caso di dubbio, contattare personalmente, per telefono, il mittente in questione;
• Non cliccare sui link presenti in questo tipo di e-mail;
• Evitare di aprire gli allegati senza aver prima verificato verbalmente con il mittente che si tratti effettivamente di file affidabili;
• Controllare l'URL dei link passandoci sopra con il mouse senza però cliccarci sopra;
• Mantenere viva la curiosità conducendo le proprie ricerche;
• Non fornire mai dati che un mittente non dovrebbe richiedere all'utente;
• Cambiare le password delle caselle di posta elettronica (e di altri account) non appena si sospetta di essere stati vittime di un attacco hacker;
• Utilizzare una password diversa per ogni account;
• Non connettersi a una rete Wi-Fi pubblica, che raramente è protetta;
• Utilizzare una rete Wi-Fi protetta;
• Non fare in telelavoro ciò che non faresti in ufficio.

Garantire la sicurezza del telelavoro per i responsabili IT

Definire e diffondere una politica di sicurezza informatica che includa le seguenti raccomandazioni relative alla gestione della posta elettronica:

• Vietare l'invio di e-mail di lavoro tramite l'account di posta elettronica personale e viceversa;
• Sensibilizzate i vostri utenti alla sicurezza informatica, in particolare alle buone pratiche da adottare nell'uso della posta elettronica. Infatti, le misure tecniche di protezione da sole non sono mai efficaci al 100% se gli utenti non adottano i giusti comportamenti in materia di sicurezza informatica;