Le truffe di phishing fiscale sono incredibilmente comuni nel Regno Unito, tanto che HMRC pubblica una guida ai tipi più comuni. Sebbene compaiano più spesso nelle date di scadenza fiscale chiave (ad es. Autovalutazione a gennaio, relazioni aziendali a marzo), possono verificarsi durante tutto l'anno. Informazioni sull'autore Richard Meeus è Director of Technology and Security Strategy presso Akamai. Gli attacchi di phishing possono essere molto gratificanti per i criminali, non solo dal punto di vista finanziario, ma anche quando si tratta di compromettere dati sensibili, con conseguente frode o furto di identità, e chiunque può esserne una vittima: da uno specialista IT freelance a una piccola azienda con milioni di sterline . nel reddito. Il phishing è spesso visto come un tipo di attacco informatico di "ingegneria sociale", che consiste nell'indurre un utente finale a divulgare informazioni sensibili facendo sembrare che provengano da una fonte attendibile. Gli aggressori informatici utilizzano spesso anche "toolkit" tecnici per aiutarli a portare a termine le loro truffe. Gli aggressori non devono essere hacker esperti per avere successo con un attacco di phishing, poiché esiste un enorme ecosistema criminale di toolkit pronti all'uso disponibili per l'acquisto sul dark web. Monitorare l'evoluzione dell'uso di questi toolkit può dirci molto sulle tendenze alla base della sicurezza informatica. Per comprendere meglio la natura di queste truffe ricorrenti, abbiamo rintracciato cinque dei più grandi set di strumenti di phishing riciclati e ridistribuiti negli ultimi due anni. Qui condividiamo le nostre lezioni chiave dai dati per aiutare a proteggere, informare e responsabilizzare meglio i consumatori.
I truffatori sfruttano l'incertezza e la paura
Negli ultimi 18 mesi, abbiamo assistito a un'ondata di truffe di phishing fiscale che sono state personalizzate per fare riferimento a Covid-19, con messaggi relativi alla pandemia inclusi in quasi tutte. Questo non è un fenomeno nuovo, poiché le campagne sono progettate per affrontare le priorità e le preoccupazioni dei consumatori, ma questa tecnica di ingegneria sociale è stata particolarmente prolifica fino al 2020/21. Molte truffe menzionano programmi di assistenza governativa e cambiamenti negli orari di archiviazione, imitando siti Web legittimi. Ad esempio, due ben note truffe hanno imitato l'HMRC, presumibilmente offrendo programmi di soccorso Covid-19, tra cui uno "schema di supporto per il blocco" e un "rimborso Covid-19". Secondo la nostra ricerca, c'è stato un aumento del volume delle truffe subito dopo l'inizio della pandemia nell'aprile 2020. Sfruttando i timori e le preoccupazioni esistenti sull'insicurezza finanziaria, i truffatori stanno aumentando il volume di questo tipo di campagne per divertirsi.
Le truffe fiscali continuano a spuntare
Abbiamo rintracciato tre truffe nel Regno Unito che in totale hanno creato oltre 1000 domini di phishing, con una truffa specifica che utilizzava 650 domini. Abbiamo riscontrato che i toolkit sono apparsi in momenti diversi, utilizzando centinaia di domini e avendo un impatto su più organizzazioni. Mentre alcuni erano presenti durante il nostro monitoraggio, probabilmente prima del 2019, una truffa è stata identificata per la prima volta nel luglio 2020. Quando si tratta di espandere le truffe esistenti, abbiamo scoperto che i criminali spesso assumono un particolare vettore di attacco e lo modificano e lo perfezionano nel tempo ; a volte queste modifiche vengono apportate all'apparato tecnico e altre alla scrittura. I criminali di phishing approfittano delle notizie, sfruttano e instillano paura e utilizzano scadenze rigorose per massimizzare l'efficacia degli attacchi di phishing e creare un senso di urgenza. Ad esempio, nel dicembre 2020, il giorno dopo che Boris Johnson aveva annunciato il programma di lancio del vaccino, erano già state distribuite e-mail di phishing che offrivano il vaccino. Questo attacco era pronto per partire ed è stato schierato non appena il programma attuale lo ha reso fattibile. Una volta che un kit di phishing è obsoleto, viene ripristinato o rimosso, lasciando il posto a toolkit nuovi e migliorati che hanno imparato dai successi e dai fallimenti dei loro predecessori. In questo modo, i toolkit degli evasori fiscali seguono un ciclo di vita simile a quello di un normale prodotto, il che significa che due anni di monitoraggio delle truffe non sono uguali.
Preparati per il prossimo passo
Come abbiamo visto, le truffe fiscali sono intrinsecamente insidiose, manipolative e incredibilmente dannose. Approfittano delle nostre paure e delle nostre priorità per sfruttare, rubare e imitare le loro vittime. I criminali continueranno a colpirci quando saremo più vulnerabili e faranno tutto il possibile per farci partecipare alle loro truffe sfruttando l'ingegneria sociale e sfruttando i sentimenti associati a eventi globali come il Covid-19. Un'area chiave in cui prevediamo un aumento degli attacchi è attraverso i dispositivi mobili. Le vittime sono particolarmente vulnerabili qui e i criminali prenderanno sempre più di mira questo mezzo. Ciò avverrà probabilmente sia attraverso l'esecuzione esplicita di campagne rivolte agli utenti mobili sia, più implicitamente, attraverso il modo in cui consumiamo e utilizziamo sempre più i servizi Internet sui nostri smartphone. Il movimento di un gran numero di lavoratori rende anche più attraenti gli attacchi da dispositivi mobili, poiché da questi dispositivi è possibile accedere a un maggior numero di applicazioni e servizi correlati al lavoro. Ciò crea una superficie di attacco sostenuta di cui i criminali trarranno indubbiamente vantaggio e continuerà a rappresentare una sfida mentre esploriamo nuovi modi di lavorare ibridi.