Vishing

Il voice phishing, o vishing, è l'utilizzo della telefonia (spesso basata su tecnologia Voice over IP) per condurre attacchi di phishing.

I servizi di telefonia fissa sono tradizionalmente ritenuti affidabili, in quanto legati a sedi fisiche noti alla compagnia telefonica e sono associati a un intestatario della linea. Oggi, tuttavia, i truffatori che praticano il vishing sfruttano spesso funzionalità moderne della telefonia Voice over IP (VoIP), come lo spoofing dell'ID del chiamante e i sistemi a risposta vocale interattiva (IVR), per ostacolare la rilevazione da parte delle forze dell'ordine. Il vishing è generalmente utilizzato per rubare numeri di carte di credito o altre informazioni utili per furti di identità ai danni di singoli individui.

Di solito, gli attacchi di vishing vengono condotti utilizzando sistemi automatizzati di sintesi vocale che invitano la vittima a chiamare un numero controllato dall'attaccante, sebbene in alcuni casi intervengano operatori umani. Fingendosi dipendente di un ente legittimo, come una banca, forze dell'ordine, operatori telefonici o fornitori di servizi internet, il truffatore tenta di ottenere dati personali e informazioni finanziarie relative a carte di credito, conti bancari (ad esempio il PIN) e altri dati sensibili della vittima.

Grazie alle informazioni ricevute, il truffatore può accedere ai conti per svuotarli o commettere un furto di identità. Alcuni truffatori inducono la vittima a trasferire denaro su un altro conto bancario o a prelevare contanti da consegnare direttamente a loro.

Spesso chi chiama si spaccia per agenti delle forze dell'ordine o per dipendente dell'Internal Revenue Service. I truffatori spesso prendono di mira gli immigrati e gli anziani, che vengono persuasi a inviare bonifici di centinaia o migliaia di dollari sotto la minaccia di arresto o deportazione.

I dati dei conti bancari non sono le uniche informazioni sensibili prese di mira. A volte i truffatori tentano di ottenere le credenziali di accesso da utenti di prodotti Microsoft o Apple falsificando l'ID del chiamante per far apparire la chiamata come proveniente da Microsoft o Apple.

Gli audio deepfake sono stati utilizzati per commettere frodi, inducendo le persone a credere di ricevere istruzioni da parte di persone di fiducia.

Terminologia

Ingegneria sociale - L'uso di tecniche di manipolazione psicologica, in contrapposizione ai metodi di hacking convenzionali, per ottenere l'accesso a informazioni riservate.

Falsificazione dell'ID chiamante: metodo mediante il quale chi chiama altera il proprio Caller ID in modo che il nome o il numero visualizzato sul dispositivo del destinatario della chiamata sia diverso da quello effettivo. I phisher spesso scelgono numeri che risultino familiari o autorevoli per la vittima. Le tecniche più diffuse includono la falsificazione di un numero nel prefisso del destinatario della chiamata o di un numero istituzionale, con l'obiettivo di aumentare la credibilità della chiamata e la probabilità che la vittima risponda.

Voice over Internet Protocol (VoIP) - Noto anche come telefonia IP, VoIP è una tecnologia che consente di effettuare chiamate vocali tramite Internet. Il VoIP è spesso utilizzato negli attacchi di vishing perché consente ai truffatori di falsificare il proprio ID chiamante.

Motivazioni

Tra i motivi più comuni vi sono il profitto, l'anonimato e la fama. Le informazioni bancarie riservate possono essere sfruttate per accedere ai beni delle vittime. I dati personali di accesso possono essere vendute a soggetti intenzionati a nascondere la propria identità per svolgere determinate attività, come l'acquisto di armi. Questo anonimato può rivelarsi pericoloso e risultare difficile da rintracciare per le forze dell'ordine. Un ulteriore motivo è rappresentato dal desiderio di fama nella comunità degli esperti di attacchi informatici.

Funzionamento

Il vishing si presenta in diverse forme, con metodi e modalità operative a seconda del tipo di attacco. Solitamente, i truffatori utilizzano l'ingegneria sociale per convincere le vittime del ruolo che stanno interpretando e per creare un senso di urgenza da sfruttare a proprio vantaggio.

Il vishing presenta caratteristiche uniche che distinguono questo metodo di attacco da alternative simili, come il phishing via email. Con la diffusione sempre maggiore dei telefoni cellulari, il vishing consente di prendere di mira anche persone che non hanno dimestichezza con la posta elettronica ma in possesso di un telefono, come gli anziani.

L'ampia diffusione dei call center che richiedono informazioni personali e riservate facilita l'ottenimento di dati sensibili dalle vittime, grazie alla fiducia che molti utenti ripongono quando parlano al telefono con qualcuno. Attraverso la comunicazione vocale, gli attacchi di vishing possono essere personalizzati e quindi più efficaci rispetto ad alternative simili come quelli via email.

Un altro aspetto distintivo è il tempo di risposta più rapido a un tentativo di truffa, dovuto alla maggiore accessibilità al telefono, rispetto a un'email in cui la vittima potrebbe impiegare più tempo per rispondere. È difficile bloccare un numero di telefono e spesso i truffatori riescono semplicemente a cambiarlo se un numero specifico viene segnalato o bloccato, trovando modi per aggirare norme e regolamenti.

Compagnie telefoniche e autorità governative sono costantemente alla ricerca di nuove strategie per contrastare le chiamate truffa.