Il voice phishing, o vishing, è l'utilizzo della telefonia (spesso basata su tecnologia Voice over IP) per condurre attacchi di phishing.
I servizi di telefonia fissa sono tradizionalmente ritenuti affidabili, in quanto legati a sedi fisiche noti alla compagnia telefonica e sono associati a un intestatario della linea. Oggi, tuttavia, i truffatori che praticano il vishing sfruttano spesso funzionalità moderne della telefonia Voice over IP (VoIP), come lo spoofing dell'ID del chiamante e i sistemi a risposta vocale interattiva (IVR), per ostacolare la rilevazione da parte delle forze dell'ordine. Il vishing è generalmente utilizzato per rubare numeri di carte di credito o altre informazioni utili per furti di identità ai danni di singoli individui.
Di solito, gli attacchi di vishing vengono condotti utilizzando sistemi automatizzati di sintesi vocale che invitano la vittima a chiamare un numero controllato dall'attaccante, sebbene in alcuni casi intervengano operatori umani. Fingendosi dipendente di un ente legittimo, come una banca, forze dell'ordine, operatori telefonici o fornitori di servizi internet, il truffatore tenta di ottenere dati personali e informazioni finanziarie relative a carte di credito, conti bancari (ad esempio il PIN) e altri dati sensibili della vittima.
Grazie alle informazioni ricevute, il truffatore può accedere ai conti per svuotarli o commettere un furto di identità. Alcuni truffatori inducono la vittima a trasferire denaro su un altro conto bancario o a prelevare contanti da consegnare direttamente a loro.
Spesso chi chiama si spaccia per agenti delle forze dell'ordine o per dipendente dell'Internal Revenue Service. I truffatori spesso prendono di mira gli immigrati e gli anziani, che vengono persuasi a inviare bonifici di centinaia o migliaia di dollari sotto la minaccia di arresto o deportazione.
I dati dei conti bancari non sono le uniche informazioni sensibili prese di mira. A volte i truffatori tentano di ottenere le credenziali di accesso da utenti di prodotti Microsoft o Apple falsificando l'ID del chiamante per far apparire la chiamata come proveniente da Microsoft o Apple.
Gli audio deepfake sono stati utilizzati per commettere frodi, inducendo le persone a credere di ricevere istruzioni da parte di persone di fiducia.
Falsificazione dell'ID chiamante: metodo mediante il quale chi chiama altera il proprio Caller ID in modo che il nome o il numero visualizzato sul dispositivo del destinatario della chiamata sia diverso da quello effettivo. I phisher spesso scelgono numeri che risultino familiari o autorevoli per la vittima. Le tecniche più diffuse includono la falsificazione di un numero nel prefisso del destinatario della chiamata o di un numero istituzionale, con l'obiettivo di aumentare la credibilità della chiamata e la probabilità che la vittima risponda.
Voice over Internet Protocol (VoIP) - Noto anche come telefonia IP, VoIP è una tecnologia che consente di effettuare chiamate vocali tramite Internet. Il VoIP è spesso utilizzato negli attacchi di vishing perché consente ai truffatori di falsificare il proprio ID chiamante.
Motivazioni
Tra i motivi più comuni vi sono il profitto, l'anonimato e la fama. Le informazioni bancarie riservate possono essere sfruttate per accedere ai beni delle vittime. I dati personali di accesso possono essere vendute a soggetti intenzionati a nascondere la propria identità per svolgere determinate attività, come l'acquisto di armi. Questo anonimato può rivelarsi pericoloso e risultare difficile da rintracciare per le forze dell'ordine. Un ulteriore motivo è rappresentato dal desiderio di fama nella comunità degli esperti di attacchi informatici.
Funzionamento
Il vishing si presenta in diverse forme, con metodi e modalità operative a seconda del tipo di attacco. Solitamente, i truffatori utilizzano l'ingegneria sociale per convincere le vittime del ruolo che stanno interpretando e per creare un senso di urgenza da sfruttare a proprio vantaggio.
Il vishing presenta caratteristiche uniche che distinguono questo metodo di attacco da alternative simili, come il phishing via email. Con la diffusione sempre maggiore dei telefoni cellulari, il vishing consente di prendere di mira anche persone che non hanno dimestichezza con la posta elettronica ma in possesso di un telefono, come gli anziani.
L'ampia diffusione dei call center che richiedono informazioni personali e riservate facilita l'ottenimento di dati sensibili dalle vittime, grazie alla fiducia che molti utenti ripongono quando parlano al telefono con qualcuno. Attraverso la comunicazione vocale, gli attacchi di vishing possono essere personalizzati e quindi più efficaci rispetto ad alternative simili come quelli via email.
Un altro aspetto distintivo è il tempo di risposta più rapido a un tentativo di truffa, dovuto alla maggiore accessibilità al telefono, rispetto a un'email in cui la vittima potrebbe impiegare più tempo per rispondere. È difficile bloccare un numero di telefono e spesso i truffatori riescono semplicemente a cambiarlo se un numero specifico viene segnalato o bloccato, trovando modi per aggirare norme e regolamenti.
Compagnie telefoniche e autorità governative sono costantemente alla ricerca di nuove strategie per contrastare le chiamate truffa.
Fasi iniziali
Un attacco di vishing può essere eseguito con diverse modalità di attacco. Un truffatore può chiamare direttamente una vittima fingendosi una persona fidata, falsificando il numero che chiama in modo da farlo apparire come quello di un ente ufficiale o di una persona conosciuta dalla vittima.
I truffatori possono anche lasciare in segreteria telefonica messaggi preregistrati e minacciosi per spingere ad agire sotto pressione. Le vittime possono anche ricevere un SMS che la invita a richiamare un numero specifico, col quale viene fatta pagare una tariffa extra per la chiamata.
Infine, può arrivare una email che imita l'aspetto di una comunicazione bancaria; in questo caso, la vittima viene convinta a chiamare e fornire informazioni riservare, come PIN, numero di conto o altre credenziali di accesso.
Metodi e truffe comuni
Chi fa vishing spesso utilizza l'ingegneria sociale per convincere le vittime a fornire denaro e/o accesso ai dati personali. In genere, i truffatori cercano di creare un senso di urgenza e/o timore nei confronti delle autorità da usare come leva per influenzare le vittime.
Truffatori che si spacciano per una persona o un'agenzia importante legata alla vittima e sfruttano il rapporto tra la vittima e questa persona o agenzia per ottenere denaro con l'inganno.
Truffa IRS: il truffatore si spaccia per un funzionario dell’IRS o per un ispettore dell'immigrazione. Minaccia la vittima di deportazione o arresto se non paga debiti, anche quando in realtà la vittima non ha alcun debito.
Truffa romantica: il truffatore si finge un potenziale interesse amoroso attraverso app di incontri oppure con telefonate per riavvicinarsi con la vittima come un ex amante, sostenendo di aver bisogno urgentemente di denaro per motivi come viaggi o il pagamento di debiti. Viene impiegata l’ingegneria sociale per convincere la vittima che il truffatore abbia davvero un interesse sentimentale. Nei casi più estremi, il truffatore può incontrare di persona la vittima e scattare foto di attività sessuali da usare poi come ricatto contro di lei.
Truffa dell’assistenza informatica: il truffatore si spaccia per un tecnico dell’assistenza e sostiene che sul computer della vittima sia presente un virus o un grave problema tecnico. Il truffatore può quindi sfruttare il senso di urgenza per ottenere il controllo remoto del computer della vittima, facendole scaricare un software apposito per analizzare il presunto problema. Una volta ottenuto l’accesso remoto, il truffatore può accedere a file o informazioni personali presenti sul computer oppure installare malware. Un’altra possibilità è che il truffatore chieda alla vittima un pagamento per risolvere il presunto problema tecnico.
Truffe su debiti e riparazione del credito
Il truffatore si spaccia per un’azienda che promette di aiutare a ridurre i debiti o migliorare la situazione creditizia. Chiede una somma di denaro come pagamento per il servizio, ma in realtà questa operazione spesso peggiora la reputazione presso le banche.
Truffe aziendali e sugli investimenti
I truffatori si fingono esperti finanziari per convincere le vittime a investire denaro.
Truffe legate a beneficenza
I truffatori si fingono membri di enti di beneficenza per convincere le vittime a donare. Queste organizzazioni false non svolgono alcuna attività di beneficenza e tutto il denaro donato finisce direttamente nelle mani dei truffatori.
Truffe sulla garanzia dell'auto
I truffatori effettuano chiamate false riguardanti la garanzia dell’auto della vittima e offrono la possibilità di rinnovarla. Chi chiama potrebbe avere informazioni sull’auto della vittima, rendendo l’offerta più credibile. Questi truffatori utilizzano queste chiamate per raccogliere dati personali delle vittime o per ottenere denaro se la vittima decide di acquistare la garanzia proposta.
Truffe legate a pacchi e spedizioni
I truffatori, prendendo di mira le comunità di immigrati, affermano che la vittima ha un pacco da ritirare. Inizialmente, il truffatore si spaccia per un corriere. Il pacco inesistente è collegato a un caso di criminalità finanziaria. Successivamente, il truffatore, fingendosi corriere, mette in contatto la vittima con un altro truffatore che si presenta come un agente di polizia di un paese straniero. Questo falso agente afferma che la vittima è sospettata e deve essere sottoposta a un’indagine fittizia per riciclaggio di denaro. Per convincere la vittima, sostiene che la sua identità è stata rubata. Il truffatore convince così la vittima a inviare denaro alla “polizia” per avviare l’indagine sui soldi presenti nel conto bancario. Durante tutto il processo, il truffatore cerca di sembrare credibile ribadendo che la polizia non chiederà mai dati personali o informazioni sul conto corrente.
Truffe di presunti rapimenti
I truffatori chiamano la vittima affermando di aver rapito un parente stretto o una persona cara. Questo avviene grazie a ricerche preliminari o all’uso di tattiche di ingegneria sociale e ipotesi per ottenere informazioni sul parente dalla vittima stessa. Ad esempio, poiché gli anziani sono più vulnerabili alle truffe rispetto alla popolazione generale, i truffatori presumono che probabilmente abbiano figli o nipoti. Il truffatore minaccia di far del male al parente se la vittima riaggancia. In alcuni casi, il truffatore permette alla vittima di parlare con il “parente rapito”, ma a causa della paura, della confusione e delle modifiche naturali della voce al telefono, la vittima potrebbe non accorgersi che chi parla non è il vero parente.
Rilevamento e prevenzione
Gli attacchi di vishing possono essere difficili da riconoscere per le vittime perché istituzioni legittime come le banche a volte chiedono informazioni personali sensibili via telefono. I truffatori possono utilizzare messaggi preregistrati di importanti banche regionali per renderli indistinguibili dalle chiamate autentiche.[senzafonte] Inoltre, le vittime, in particolare gli anziani, potrebbero dimenticare o non essere a conoscenza della capacità dei truffatori di modificare l'ID del chiamante, rendendoli più vulnerabili agli attacchi di vishing.[senzafonte]
La Federal Trade Commission (FTC) degli Stati Uniti propone diversi modi per il consumatore medio di individuare le truffe telefoniche. La FTC sconsiglia di effettuare pagamenti in contanti, tramite carte regalo o carte prepagate, ribadendo che le agenzie governative non contattano mai i cittadini per richiedere informazioni personali come il numero di previdenza sociale. Inoltre, le potenziali vittime possono prestare attenzione alle caratteristiche della chiamata, come il tono o l'accento del chiamante o l'urgenza della telefonata per determinare se la chiamata è legittima o meno.
La strategia principale raccomandata dalla FTC è quella di non rispondere alle chiamate da numeri sconosciuti. Tuttavia, qualora un truffatore utilizzi il VoIP per falsificare il proprio ID chiamante, o la vittima risponda comunque alla chiamata, è consigliabile non premere alcun tasto quando richiesto e non rispondere a domande poste da un interlocutore sospetto.
Il 31 marzo 2020, per contrastare gli attacchi di vishing che utilizzano lo spoofing (falsificazione) dell'ID chiamante, la Federal Communications Commission degli Stati Uniti ha adottato una serie di mandati noti come STIR/SHAKEN, un protocollo volto a consentire alle compagnie telefoniche di verificare le informazioni sull'ID del chiamante. Tutti i fornitori di servizi telefonici statunitensi hanno avuto tempo fino al 30 giugno 2021 per adeguarsi e integrare STIR/SHAKEN nella proprie infrastrutture per ridurre l’impatto dello spoofing dell’ID chiamante.
In alcuni paesi, i social media vengono utilizzati per telefonare e comunicare con il pubblico. Su alcune piattaforme di social media, i profili governativi e bancari sono verificati, mentre i profili non verificati che si presentano come governativi o bancari sono considerati falsi.
Contromisure
La strategia di contrasto più diretta ed efficace è di istruire la popolazione a riconoscere i tratti comuni di un attacco di vishing, in modo da individuare i messaggi ingannevoli. Un approccio più tecnico prevede l'utilizzo di strumenti software di rilevamento. In genere, tali meccanismi sono in grado di distinguere il vishing dalle comunicazioni legittime e possono essere implementati a costi più bassi rispetto alla formazione del pubblico.
Rilevamento del phishing
Un metodo semplice per rilevare il phishing è l'utilizzo delle blacklist. Ricerche recenti hanno cercato di distinguere tra chiamate legittime e attacchi di phishing utilizzando l’intelligenza artificiale e l’analisi dei dati. Per far progredire ulteriormente la ricerca nel campo dell'audio manipolato, sono state esplorate diverse tecniche di aumento dei dati e di progettazione delle caratteristiche audio. Analizzando e trasformando le telefonate in testi, i meccanismi di intelligenza artificiale come l'elaborazione del linguaggio naturale possono individuare se si tratti di un attacco di phishing.
Contromisure di sicurezza
Sistemi specializzati, come applicazioni per smartphone, possono inviare dati falsi alle chiamate di phishing. Inoltre, diverse forze dell'ordine stanno continuamente adottando misure per scoraggiare i truffatori dal mettere in atto chiamate di phishing, imponendo pene più severe agli autori di tali reati.
Casi emblematici
Truffa di impersonificazione dell'IRS
Tra il 2012 e il 2016, una rete di truffatori si è spacciata per dipendenti dell'Internal Revenue Service e dell'agenzia per l'immigrazione contattando oltre 50.000 persone e rubando centinaia di milioni di dollari insieme alle informazioni personali delle vittime. I presunti complici, provenienti dagli Stati Uniti e dall'India, minacciavano le vittime più vulnerabili di "arresto, detenzione, multe o deportazione". Nel 2018, 24 imputati sono stati condannati, con la pena detentiva più lunga pari a 20 anni di reclusione.
Truffe legate alla COVID-19
Il 28 marzo 2021, la commissione federale per le comunicazioni ha rilasciato una dichiarazione in cui avvisava i cittadini statunitensi del crescente numero di truffe telefoniche riguardanti prodotti falsi contro la COVID-19. I casi di vishing che cercano di vendere prodotti presentati come capaci di «prevenire, trattare, mitigare, diagnosticare o curare» la COVID-19 sono stati monitorati anche dalla "Food and Drug Administration".
Hollywood Con Queen Scam
A partire dal 2015, un truffatore si è spacciato per truccatori di Hollywood e potenti dirigenti donne per indurre le vittime a recarsi in Indonesia e a versare somme di denaro, con la promessa di un rimborso. Attraverso tecniche di l'ingegneria sociale, il truffatore ha condotto approfondite ricerche sulla vita delle vittime per raccogliere dettagli utili a rendere più credibile l'imitazione. Il truffatore contattava direttamente le vittime, spesso più volte al giorno e per ore, esercitando così una forte pressione.
Attacco informatico Thamar Reservoir
La campagna di attacchi informatici del 2015 contro l'accademica israeliana Thamar Eilam Gindin illustra l'uso di un attacco di vishing come precursore di attacchi futuri più sofisticati, sfruttando le nuove informazioni estorte alla vittima. Dopo che l'esperta di Iran aveva menzionato alcune connessioni con quel paese durante una trasmissione su Israeli Army Radio, Thamar ha ricevuto una telefonata con la richiesta di un'intervista da parte della BBC persiana. Per poter visualizzare in anticipo le domande dell'intervista, le è stato chiesto di accedere a un documento su Google Drive che richiedeva la sua password. Inserendo la propria password per accedere al documento malevolo, l'attaccante può utilizzare le credenziali necessarie per condurre attacchi più avanzati.
Truffa Mobile Bank ID in Svezia
In Svezia, Mobile Bank ID è un'app per telefono (lanciata nel 2011) utilizzata per l'identificazione degli utenti nell'internet banking. L'utente effettua l'accesso alla banca tramite computer, la banca attiva l'app sul telefono, l'utente inserisce una password sul telefono e accede. In questa truffa, i malintenzionati chiamavano le persone fingendosi impiegati bancari, segnalavano un presunto problema di sicurezza e chiedevano alla vittima di utilizzare l'app Mobile Bank ID. I truffatori riuscivano così ad accedere all'account della vittima senza che quest'ultima fornisse la propria password, potendo quindi effettuare trasferimenti di denaro. Se la vittima era cliente della banca svedese Nordea, i truffatori potevano anche utilizzare il conto della vittima direttamente dal suo telefono. Nel 2018 l'app è stata modificata per richiedere all'utente di fotografare un codice QR visualizzato sullo schermo del loro computer, assicurando così che telefono e computer siano nello stesso luogo fisico. Questa modifica ha quasi completamente eliminato questo tipo di frode.
Note
12Slade E. Griffin e Casey C. Rackley, Proceedings of the 5th annual conference on Information security curriculum development - InfoSecCD '08, 2008, p.33, DOI:10.1145/1456625.1456635, ISBN9781605583334.
↑(EN) Anthony Giorgianni, Don't Fall for the Car Warranty Scam, in Consumer Reports. URL consultato il 2 luglio 2025 (archiviato dall'url originale il 1º ottobre 2022).
