Anche se di solito sei un esperto di sicurezza informatica, chiunque può avere un momento vulnerabile (nel caso del nostro scrittore, è stato il funerale di sua madre).
La sera prima di fare un elogio al servizio funebre di mia madre, fui colpito.
Intermezzo promozionale ... continua la lettura dopo il box:
Usufruisci di uno sconto per fare un CONTROLLO DELLA REPUTAZIONE PERSONALE o AZIENDALE [ click qui ]
Come qualcuno che scrive regolarmente sulla sicurezza informatica, di solito non sono ingannato dai trucchi di un criminale informatico. Ma ero in uno stato altamente emotivo e non pensavo chiaramente quando è arrivato il testo, apparentemente dalla mia banca. “Qualcuno ha tentato di accedere al tuo account”, ha avvertito il messaggio e mi ha fornito un link per fare clic e verificare la mia identità. Ho cliccato sul link.
7 minacce alla sicurezza mobile che potrebbero sorprenderti in un momento in cui sei distratto o di fretta
I criminali sanno che non stai prestando lo stesso tipo di attenzione alla sicurezza di un desktop o laptop. Sanno che potrebbero prenderti in un momento in cui sei distratto o di fretta.
È stata visualizzata una pagina Web dall’aspetto ottimizzato per dispositivi mobili, che mi chiedeva di inserire il PIN della mia carta di debito come forma di verifica. Continuando a non pensare chiaramente, ho inserito il mio PIN. Quando non ho ricevuto un SMS in cambio, che mi informava che la mia identità era stata verificata, ho finalmente capito che ero stato truffato.
Nei successivi minuti da brividi, ho chiamato la mia banca e ho cambiato PIN, ID utente e passcode. Fortunatamente, dopo mesi di attento monitoraggio, non ho trovato nulla di sbagliato nei miei account, anche se ho ricevuto tre messaggi smishing di follow-up, che ho ignorato.Smishing – attacchi di phishing inviati tramite SMS – è una delle minacce alla sicurezza informatica che sta prendendo piede nel nostro mondo sempre più mobile. Nel 2018, il 49 percento degli intervistati nel rapporto State of the Phish di Proofpoint ha dichiarato di aver subito attacchi di smishing o vishing (phishing vocale), in leggera crescita rispetto al 45 percento nel 2017. Nel frattempo, gli incidenti di malware mobile sono aumentati del 550 percento nel 2018, secondo McAfee 2019 Rapporto sulle minacce mobili .
Perché crescono gli attacchi agli utenti mobili? Perché troppo spesso funzionano.
“Oggi la maggior parte di noi controlla la posta elettronica sul proprio smartphone”, ha affermato Chet Wisniewski, principale ricercatore dello sviluppatore di software di sicurezza Sophos . “I criminali lo sanno e sperano che tu non stia prestando lo stesso tipo di attenzione alla sicurezza di un desktop o laptop. Sanno che potrebbero prenderti in un momento in cui sei distratto o di fretta. ”
Allo stesso tempo, i browser mobili e le app di posta elettronica spesso non consentono di verificare facilmente un collegamento prima di fare clic su di esso. Inoltre, gli utenti si affidano maggiormente ai dispositivi mobili per lavoro perché i dispositivi stanno diventando più potenti e sofisticati e sfoggiano schermi più grandi. I dispositivi mobili archiviano anche un’enorme quantità di informazioni su di noi – e sulle aziende per cui lavoriamo – che gli aggressori cercano di sfruttare.
Intermezzo promozionale ... continua la lettura dopo il box:
7 minacce alla sicurezza mobile che potresti non conoscere – con suggerimenti per combatterle
1. Smishing
Gli attacchi di smishing sono di particolare e crescente preoccupazione perché sono indipendenti dalla piattaforma e hanno un impatto uguale sugli utenti iOS e Android, ha affermato Wisniewski. “Agli attacchi di ingegneria sociale non importa quale marca di telefono usi.”
Sebbene i professionisti della cibersicurezza siano di solito a conoscenza di attacchi violenti, molti utenti di smartphone no. E qui sta una sfida per i CISO e i professionisti della sicurezza informatica, dato l’aumento degli attacchi. Secondo il Mobile Security Index del Verizon 2019 , l’85 percento degli attacchi di phishing sui dispositivi mobili si verificano al di fuori della posta elettronica, ad esempio tramite messaggi di testo. “Mentre molte organizzazioni dispongono di filtri per bloccare gli attacchi basati su e-mail, molte meno hanno una protezione simile” per proteggere dagli attacchi di phishing che si verificano al di fuori della posta elettronica, osserva il rapporto.
Questo sta iniziando a cambiare, tuttavia. Nell’ultimo anno, i venditori di Mobile Threat Defense (MTD) hanno aggiunto al loro software protezioni contro il phishing mobile, osserva Patrick Hevesi, Senior Research Analyst sul team di sicurezza, identità e rischio di Gartner . I fornitori di MTD con protezioni da smishing includono Lookout , Symantec , Zimperium , Wandera e McAfee .
Addestrare i dipendenti a riconoscere e denunciare attacchi violenti è fondamentale ma non comune, afferma Hevesi. “La maggior parte delle organizzazioni offre ai propri dipendenti un certo livello di formazione sul phishing delle e-mail, ma la maggior parte non offre molto in termini di formazione sulla sicurezza mobile”, aggiunge.
Condurre periodicamente attacchi simulati di smishing con i dipendenti può aiutare, così come l’invio di e-mail di phishing contraffatte agli utenti può aiutarli a imparare a individuare le truffe, osserva l’organizzazione di educazione alla sicurezza Social Engineer, Inc.
2. Messaggi SMS progettati per farti scaricare app truffe
Probabilmente sai che le app disponibili al di fuori degli store di Google e Apple possono essere di poco valore. Quello che potresti non capire è che i criminali potrebbero tentare di indurti a scaricare le loro app di malware in modi intelligenti, come l’invio di un messaggio di testo.
Ad esempio, il malware basato su Android TimpDoor è diventato una delle migliori famiglie di malware backdoor mobile nel 2018, secondo il Rapporto sulle minacce mobili del 2019 di McAfee. La minaccia inizia “con messaggi di testo che informano gli utenti che devono controllare i messaggi vocali”, spiega il rapporto. “Il collegamento incluso a un’app per riproduttore vocale fornisce istruzioni dettagliate per abilitare app da fonti sconosciute. Facendo clic sul collegamento si installa un’applicazione di messaggistica vocale falsa che visualizza due messaggi. Nessuno dei pulsanti o delle icone funziona tranne quelli che riproducono i file audio inclusi. ”
TimpDoor funziona in background e utilizza il dispositivo come punto di accesso alle reti interne, riporta McAfee. È probabile che la minaccia si evolva in “truffa sui clic sugli annunci, attacchi denial-of-service distribuiti e invio di e-mail di spam e phishing”.
Come per smishing, la formazione degli utenti per individuare e segnalare messaggi di testo truffa è la prima linea di difesa, insieme alle app di sicurezza mobili in grado di scansionare dispositivi e configurazioni per connessioni anomale.
3. App per torcia (e altre app per il furto di dati)
Le app dannose che tentano di accedere ai dati sul telefono rappresentano una minaccia significativa, in particolare nel Google Play Store. Le app di torcia di terze parti sono un esempio citato di frequente. Anche se iPhone e telefoni Android sono dotati di funzioni di torcia, le app gratuite di terze parti offrono funzionalità aggiuntive come le luci lampeggianti. Il problema è che alcune di queste app nel Google Play Store richiedono un numero assurdo di autorizzazioni.
“Uno sviluppatore di app per torcia Android ha attivato ogni singola autorizzazione possibile in modo che l’app potesse rimanere accesa mentre il telefono era spento, ascoltare le telefonate, registrare la tua posizione e accedere ai tuoi contatti”, ha affermato Hevesi. “Un’app torcia dovrebbe essere autorizzata ad accedere solo al flash della fotocamera.”
Hevesi consiglia agli utenti di formazione di considerare attentamente le autorizzazioni richieste da qualsiasi app scaricata e di negare quelle che sembrano eccessive o inutili.
Wisniewski consiglia cautela prima di scaricare qualsiasi app gratuita, a meno che non provenga da uno sviluppatore che conosci e di cui ti fidi (come Microsoft, che offre app gratuite come To Do e OneNote) un’app gratuita che offre acquisti in-app legittimi. “Gli sviluppatori hanno bisogno di monetizzare le loro app in qualche modo, quindi spesso creano app gratuite come app torcia che raccolgono segretamente informazioni su di te e le vendono a terze parti”, ha spiegato. “Potresti anche aver dato loro il permesso di farlo se hai accettato il contratto di licenza senza leggerlo, come fanno la maggior parte delle persone.”
4. Fleeceware
Le app Fleeceware , un termine coniato da Sophos, sono app Android gratuite (o economiche) che offrono funzionalità semplici, come la scansione di codici a barre e codici QR. Ma, a tua insaputa, l’app ti addebita regolarmente grandi somme di denaro.
Anche se potresti essere stato indotto a credere che l’app sia gratuita, in realtà un’app fleeceware ti offre solo una breve prova gratuita, sfruttando la funzione di prove gratuite del Google Play Store, ha spiegato Wisniewski. Al termine del periodo di prova, è possibile che ti vengano addebitati centinaia di dollari (o euro). Ad esempio, agli utenti che hanno scaricato una particolare app GIF Maker per Android e che hanno dimenticato di annullare le iscrizioni dopo la prova gratuita sono stati addebitati circa $ 240. “Sull’estratto conto della tua carta di credito, l’addebito sembra provenire da Google”, il che potrebbe indurre alcuni a ritenere che l’addebito sia legittimo.
La maggior parte delle app in fleeceware sono state rimosse dall’app store di Google, mentre alcune che hanno superato i gatekeeper di Apple sono state rapidamente rimosse, ha detto Wisniewski. Tuttavia, il fleeceware è l’ennesimo motivo per cui gli utenti di dispositivi mobili devono essere vigili sulle app che scaricano da sviluppatori che non conoscono. Inoltre, leggi attentamente le recensioni dell’app prima del download e soprattutto prima di dare a uno sviluppatore dell’app la tua carta di credito da addebitare al termine di una prova gratuita.
5. Annunci nascosti
Le app Android che visualizzano annunci nascosti stanno diventando un rischio più diffuso, afferma Armando Orozco, analista di malware per dispositivi mobili di Malwarebytes . “Senza essere apertamente dannoso, i componenti adware nascosti possono essere installati ed eseguiti a tua insaputa fornendo al contempo un flusso costante di entrate agli attori cattivi”, afferma. “In genere vengono raggruppati in app false o riconfezionate per apparire legittime o in copie molto simili di app legittime.”
Anche in questo caso, aiutare gli utenti a esaminare attentamente le app prima di installarle aiuta. Inoltre, molte app di sicurezza per Android e iOS possono individuare e rimuovere adware e malware.
6. Dirottamento della SIM
Conosciuto anche come scambio di SIM o hacking della SIM, il dirottamento della SIM è quando un utente malintenzionato, attraverso il social engineering o altre tattiche, è in grado di passare il tuo numero di cellulare a una carta SIM che possiede. Una volta che l’aggressore controlla il tuo numero di telefono, può intercettare i codici di autenticazione a due fattori inviati tramite SMS, che a sua volta può consentirgli di accedere alla tua posta elettronica, al tuo conto bancario e ad altri account. Lo scambio di SIM viene anche utilizzato per ottenere l’accesso ai conti in valuta digitale di una vittima, avverte l’FBI .
Per ridurre al minimo i rischi, contattare il proprio fornitore di servizi wireless e impostare un PIN, una parola segreta o un’altra forma di verifica aggiuntiva, ha consigliato Alex Heid, responsabile R&D responsabile della piattaforma di sicurezza informatica SecurityScorecard. Approfondisci argomento sim sotto attacco in altro articolo
Per essere più cauti, procurati un numero di telefono privato e separato che usi solo per conti bancari e altri istituti finanziari, afferma Heid. “Il tuo numero di telefono pubblico che viene distribuito ad amici, familiari, soci in affari, social network e servizi per i consumatori sarà la prima cosa che gli aggressori proveranno a utilizzare se sei designato per uno scambio SIM”, spiega. “Se hai un secondo numero di telefono privato noto solo a te e alle tue istituzioni finanziarie, la probabilità che un utente malintenzionato possa accedere ai tuoi account tramite questo metodo si riduce in modo significativo.”
7. Surveillanceware
Il cosiddetto sorveglianzaware è progettato per acquisire e trasmettere informazioni sensibili dell’utente come messaggi SMS, messaggi vocali o registrazioni audio di conversazioni telefoniche. Ad esempio, la società di cibersicurezza Lookout afferma che nel 2019 ha scoperto “Monokle”, un sofisticato set di strumenti di sorveglianza personalizzati per Android sviluppato dalla Special Technology Center, Ltd. con sede in Russia, una società che il governo degli Stati Uniti ha sanzionato in relazione all’interferenza negli Stati Uniti del 2016 Elezioni presidenziali.
Monokle compromette la privacy di un utente rubando i dati personali memorizzati su un dispositivo infetto ed esfiltrando le informazioni, ha affermato Bob Stevens, vice presidente delle Americhe per Lookout. “Monokle è un ottimo esempio della tendenza più ampia degli stati-nazione a sviluppare sofisticati malware mobili”.
Siamo solo umani …
Tu e la tua organizzazione potete ridurre i rischi dei dispositivi mobili rimanendo aggiornati sulle ultime minacce emergenti; formare frequentemente i dipendenti per riconoscere ed evitare app e collegamenti inaffidabili; imporre l’uso delle VPN durante la connessione a reti Wi-Fi pubbliche; richiedere l’uso di un’app / servizio di gestione password; aggiornare regolarmente i dispositivi mobili; e utilizzando gli strumenti di Mobile Threat Defense e Mobile Device Management.
Ma, come ho appreso, anche le persone che sono di solito esperte di sicurezza informatica possono avere un momento vulnerabile e abbassare la guardia. Non c’è modo di sradicare completamente quel rischio: si chiama “essere umani”.
https://www.idginsiderpro.com/article/3449437/7-mobile-security-threats-that-may-catch-you-by-surprise.html
articolo tradotto con google
