Phishing e social engineering

Cos'è il phishing

Definizione

• Tecnica fraudolenta che cerca di ottenere informazioni o azioni;
• Tramite comunicazioni ingannevoli;
• Usa aspetti psicologici (urgenza, paura, autorità, curiosità).

Origine del nome

• "Phishing" = pesca con esca;
• L'esca è la comunicazione ingannevole;
• Il pesce è la vittima.

Tipologie

1. Email phishing

• Forma più diffusa;
• Email che impersona soggetto legittimo (banca, PA, fornitore);
• Obiettivo: credenziali, dati, azione.

2. Spear phishing

• Mirato a una persona specifica;
• Personalizzato con info raccolte;
• Più efficace ma più complesso.

3. Whaling (CEO fraud)

• Mirato a dirigenti o figure autorevoli;
• Spesso impersona il CEO o l'amministratore delegato;
• Richiede trasferimenti urgenti, dati riservati.

4. Smishing (SMS phishing)

• Via SMS o messaggi WhatsApp;
• Link o richieste urgenti;
• Tipico: "il tuo pacco è in attesa, paga questa tassa".

5. Vishing (voice phishing)

• Via telefono;
• Operatore finto che chiede dati;
• Es.: finto operatore banca o PA.

6. Quishing (QR phishing)

• QR code ingannevoli;
• Su volantini, in luoghi pubblici;
• Indirizza a siti malevoli.

Indicatori di phishing

Mittente

• Indirizzo sospetto (es. "support@amaz0n.com" invece di amazon.com);
• Spoofato: sembra legittimo ma proviene da fonte falsa;
• Verifica: hover sul mittente, ispezione header email.

Contenuto

• Errori di ortografia o grammatica;
• Tono urgente: "scade tra 1 ora!", "il tuo conto sarà bloccato";
• Minacce o conseguenze;
• Promesse troppo belle (vincite, rimborsi);
• Richieste di credenziali o pagamenti.

Link

• URL sospetti: hover senza cliccare per vedere destinazione;
• Domini ingannevoli: "comune-roma.com" vs "comune.roma.it";
• HTTPS: presente ma non garanzia (anche siti malevoli usano HTTPS);
• Shortlink (bit.ly, ecc.): nascondono destinazione.

Allegati

• File non attesi;
• Estensioni sospette: .exe, .scr, .bat, .vbs;
• File Office con macro (alert al apertura);
• PDF con contenuto interattivo sospetto.

Layout

• Logo della PA o azienda (potrebbe essere copiato);
• Formattazione anomala;
• Indirizzo email non istituzionale (es. Gmail invece di pec.it).

Esempi tipici per la PL

Finto Comandante

• Email che sembra del Comandante;
• Richiede: trasferimento urgente di fondi, comunicazione di dati riservati;
• Pattern: "sono in riunione, fai questa cosa subito";
• Verifica: telefonata diretta al Comandante.

Finto fornitore

• Email che sembra del fornitore IT;
• Allegato: "fattura urgente";
• Apertura del PDF con macro che installa malware.

Finto bando

• Email "concorso PL straordinario";
• Link a finto portale;
• Richiede: credenziali SPID;
• Furto di identità digitale.

Finta convocazione

• Email "convocazione urgente Procura";
• Allegato: malware;
• Pattern: usa autorità per generare paura.

Cosa fare in caso di sospetto

NON fare

• NON cliccare link sospetti;
• NON aprire allegati non attesi;
• NON rispondere all'email;
• NON fornire credenziali via email;
• NON installare software richiesto.

DA fare

1. Verificare con il presunto mittente:
   • Telefonata diretta (non al numero indicato nell'email);
   • Email a indirizzo verificato (cercato indipendentemente);
2. Ispezionare l'email:
   • Header, mittente reale;
   • URL dei link (hover);
3. Segnalare all'IT del Comune;
4. Cancellare dopo segnalazione (non immediatamente);
5. Eventualmente: bloccare il mittente.

Misure preventive

Tecniche

• Filtri antispam + antiphishing del server email;
• Sandbox per allegati;
• Avvisi del sistema su email esterne sospette;
• Antivirus aggiornato;
• Firewall.

Organizzative

• Formazione del personale;
• Simulazioni di phishing (test interni);
• Procedure chiare per casi sospetti;
• Segnalazione facile (es. pulsante "Phishing" nel client email).

Comportamentali

• Verifica sempre (callback principle);
• Lentezza: l'urgenza è sospetta;
• Diffidenza: meglio dubbi non risolti che azione affrettata.

Conseguenze del phishing riuscito

Per il singolo

• Furto credenziali → accesso a sistemi/conto;
• Furto identità;
• Furto dati personali;
• Perdite finanziarie.

Per la PA

• Data breach (notifica Garante);
• Compromissione sistemi;
• Ransomware (vedi lezione successiva);
• Danno reputazionale.

Responsabilità del dipendente

• Disciplinare se ha mostrato negligenza grave;
• Civile: rivalsa per danni;
• Eventualmente penale in casi gravi.

Casi pratici

Caso 1 — Email da "banca"

• Email che sembra dalla banca;
• Richiede: aggiornare credenziali via link;
• Operatore: hover sul link → URL sospetta;
• Cancella + segnala all'IT;
• Successo della prevenzione.

Caso 2 — Allegato malevolo aperto

• Operatore apre PDF da finto fornitore;
• Macro installa malware;
• Accesso abusivo al sistema;
• Procedura emergenza:
  • Disconnettere PC dalla rete;
  • Avvisare IT immediatamente;
  • Notifica data breach;
  • Cambio credenziali.

Caso 3 — Finto Sindaco

• Email "Sindaco" chiede trasferimento € 50.000;
• Operatore amministrativo: verifica con telefonata diretta;
• Smentita del Sindaco;
• Phishing sventato.

Per il concorso

Domanda tipica

"Cos'è il phishing e come riconoscerlo?"

Risposta:

• Phishing: tecnica fraudolenta per ottenere credenziali, dati o azioni tramite comunicazioni ingannevoli (email, SMS, telefonate);
• Social engineering: ingannare le persone usando aspetti psicologici (urgenza, paura, autorità);
• Tipologie: email phishing, spear phishing (mirato), whaling (CEO fraud), smishing (SMS), vishing (telefono), quishing (QR);
• Indicatori:
  • Mittente sospetto;
  • Errori ortografia;
  • Tono urgente/minaccioso;
  • Link sospetti (hover per verificare);
  • Allegati non attesi;
• Cosa fare:
  • NON cliccare/aprire/rispondere;
  • Verificare con il mittente via altro canale;
  • Segnalare all'IT;
• Per la PL: target frequente, cura nel riconoscimento, formazione, simulazioni.