Il voice phishing, o vishing, è l'utilizzo della telefonia (spesso basata su tecnologia Voice over IP) per condurre attacchi di phishing.
I servizi di telefonia fissa sono tradizionalmente ritenuti affidabili, in quanto legati a sedi fisiche noti alla compagnia telefonica e sono associati a un intestatario della linea. Oggi, tuttavia, i truffatori che praticano il vishing sfruttano spesso funzionalità moderne della telefonia Voice over IP (VoIP), come lo spoofing dell'ID del chiamante e i sistemi a risposta vocale interattiva (IVR), per ostacolare la rilevazione da parte delle forze dell'ordine. Il vishing è generalmente utilizzato per rubare numeri di carte di credito o altre informazioni utili per furti di identità ai danni di singoli individui.
Di solito, gli attacchi di vishing vengono condotti utilizzando sistemi automatizzati di sintesi vocale che invitano la vittima a chiamare un numero controllato dall'attaccante, sebbene in alcuni casi intervengano operatori umani. Fingendosi dipendente di un ente legittimo, come una banca, forze dell'ordine, operatori telefonici o fornitori di servizi internet, il truffatore tenta di ottenere dati personali e informazioni finanziarie relative a carte di credito, conti bancari (ad esempio il PIN) e altri dati sensibili della vittima.
Grazie alle informazioni ricevute, il truffatore può accedere ai conti per svuotarli o commettere un furto di identità. Alcuni truffatori inducono la vittima a trasferire denaro su un altro conto bancario o a prelevare contanti da consegnare direttamente a loro.
Spesso chi chiama si spaccia per agenti delle forze dell'ordine o per dipendente dell'Internal Revenue Service. I truffatori spesso prendono di mira gli immigrati e gli anziani, che vengono persuasi a inviare bonifici di centinaia o migliaia di dollari sotto la minaccia di arresto o deportazione.
I dati dei conti bancari non sono le uniche informazioni sensibili prese di mira. A volte i truffatori tentano di ottenere le credenziali di accesso da utenti di prodotti Microsoft o Apple falsificando l'ID del chiamante per far apparire la chiamata come proveniente da Microsoft o Apple.
Gli audio deepfake sono stati utilizzati per commettere frodi, inducendo le persone a credere di ricevere istruzioni da parte di persone di fiducia.
Terminologia Ingegneria sociale - L'uso di tecniche di manipolazione psicologica, in contrapposizione ai metodi di hacking convenzionali, per ottenere l'accesso a informazioni riservate. Falsificazione dell'ID chiamante: metodo mediante il quale chi chiama altera il proprio Caller ID in modo che il nome o il numero visualizzato sul dispositivo del destinatario della chiamata sia diverso da quello effettivo. I phisher spesso scelgono numeri che risultino familiari o autorevoli per la vittima. Le tecniche più diffuse includono la falsificazione di un numero nel prefisso del destinatario della chiamata o di un numero istituzionale, con l'obiettivo di aumentare la credibilità della chiamata e la probabilità che la vittima risponda. Voice over Internet Protocol (VoIP) - Noto anche come telefonia IP, VoIP è una tecnologia che consente di effettuare chiamate vocali tramite Internet. Il VoIP è spesso utilizzato negli attacchi di vishing perché consente ai truffatori di falsificare il proprio ID chiamante.
Motivazioni Tra i motivi più comuni vi sono il profitto, l'anonimato e la fama. Le informazioni bancarie riservate possono essere sfruttate per accedere ai beni delle vittime. I dati personali di accesso possono essere vendute a soggetti intenzionati a nascondere la propria identità per svolgere determinate attività, come l'acquisto di armi. Questo anonimato può rivelarsi pericoloso e risultare difficile da rintracciare per le forze dell'ordine. Un ulteriore motivo è rappresentato dal desiderio di fama nella comunità degli esperti di attacchi informatici.
Funzionamento Il vishing si presenta in diverse forme, con metodi e modalità operative a seconda del tipo di attacco. Solitamente, i truffatori utilizzano l'ingegneria sociale per convincere le vittime del ruolo che stanno interpretando e per creare un senso di urgenza da sfruttare a proprio vantaggio.
Il vishing presenta caratteristiche uniche che distinguono questo metodo di attacco da alternative simili, come il phishing via email. Con la diffusione sempre maggiore dei telefoni cellulari, il vishing consente di prendere di mira anche persone che non hanno dimestichezza con la posta elettronica ma in possesso di un telefono, come gli anziani.
L'ampia diffusione dei call center che richiedono informazioni personali e riservate facilita l'ottenimento di dati sensibili dalle vittime, grazie alla fiducia che molti utenti ripongono quando parlano al telefono con qualcuno. Attraverso la comunicazione vocale, gli attacchi di vishing possono essere personalizzati e quindi più efficaci rispetto ad alternative simili come quelli via email.
Un altro aspetto distintivo è il tempo di risposta più rapido a un tentativo di truffa, dovuto alla maggiore accessibilità al telefono, rispetto a un'email in cui la vittima potrebbe impiegare più tempo per rispondere. È difficile bloccare un numero di telefono e spesso i truffatori riescono semplicemente a cambiarlo se un numero specifico viene segnalato o bloccato, trovando modi per aggirare norme e regolamenti.
Compagnie telefoniche e autorità governative sono costantemente alla ricerca di nuove strategie per contrastare le chiamate truffa.
Fasi iniziali Un attacco di vishing può essere eseguito con diverse modalità di attacco. Un truffatore può chiamare direttamente una vittima fingendosi una persona fidata, falsificando il numero che chiama in modo da farlo apparire come quello di un ente ufficiale o di una persona conosciuta dalla vittima.
I truffatori possono anche lasciare in segreteria telefonica messaggi preregistrati e minacciosi per spingere ad agire sotto pressione. Le vittime possono anche ricevere un SMS che la invita a richiamare un numero specifico, col quale viene fatta pagare una tariffa extra per la chiamata.
Infine, può arrivare una email che imita l'aspetto di una comunicazione bancaria; in questo caso, la vittima viene convinta a chiamare e fornire informazioni riservare, come PIN, numero di conto o altre credenziali di accesso.
Metodi e truffe comuni Chi fa vishing spesso utilizza l'ingegneria sociale per convincere le vittime a fornire denaro e/o accesso ai dati personali. In genere, i truffatori cercano di creare un senso di urgenza e/o timore nei confronti delle autorità da usare come leva per influenzare le vittime.
Truffatori che si spacciano per una persona o un'agenzia importante legata alla vittima e sfruttano il rapporto tra la vittima e questa persona o agenzia per ottenere denaro con l'inganno. Truffa IRS: il truffatore si spaccia per un funzionario dell’IRS o per un ispettore dell'immigrazione. Minaccia la vittima di deportazione o arresto se non paga debiti, anche quando in realtà la vittima non ha alcun debito. Truffa romantica: il truffatore si finge un potenziale interesse amoroso attraverso app di incontri oppure con telefonate per riavvicinarsi con la vittima come un ex amante, sostenendo di aver bisogno urgentemente di denaro per motivi come viaggi o il pagamento di debiti. Viene impiegata l’ingegneria sociale per convincere la vittima che il truffatore abbia davvero un interesse sentimentale. Nei casi più estremi, il truffatore può incontrare di persona la vittima e scattare foto di attività sessuali da usare poi come ricatto contro di lei. Truffa dell’assistenza informatica: il truffatore si spaccia per un tecnico dell’assistenza e sostiene che sul computer della vittima sia presente un virus o un grave problema tecnico. Il truffatore può quindi sfruttare il senso di urgenza per ottenere il controllo remoto del computer della vittima, facendole scaricare un software apposito per analizzare il presunto problema. Una volta ottenuto l’accesso remoto, il truffatore può accedere a file o informazioni personali presenti sul computer oppure installare malware. Un’altra possibilità è che il truffatore chieda alla vittima un pagamento per risolvere il presunto problema tecnico. Truffe su debiti e riparazione del credito Il truffatore si spaccia per un’azienda che promette di aiutare a ridurre i debiti o migliorare la situazione creditizia. Chiede una somma di denaro come pagamento per il servizio, ma in realtà questa operazione spesso peggiora la reputazione presso le banche. Truffe aziendali e sugli investimenti I truffatori si fingono esperti finanziari per convincere le vittime a investire denaro. Truffe legate a beneficenza I truffatori si fingono membri di enti di beneficenza per convincere le vittime a donare. Queste organizzazioni false non svolgono alcuna attività di beneficenza e tutto il denaro donato finisce direttamente nelle mani dei truffatori. Truffe sulla garanzia dell'auto I truffatori effettuano chiamate false riguardanti la garanzia dell’auto della vittima e offrono la possibilità di rinnovarla. Chi chiama potrebbe avere informazioni sull’auto della vittima, rendendo l’offerta più credibile. Questi truffatori utilizzano queste chiamate per raccogliere dati personali delle vittime o per ottenere denaro se la vittima decide di acquistare la garanzia proposta. Truffe legate a pacchi e spedizioni I truffatori, prendendo di mira le comunità di immigrati, affermano che la vittima ha un pacco da ritirare. Inizialmente, il truffatore si spaccia per un corriere. Il pacco inesistente è collegato a un caso di criminalità finanziaria. Successivamente, il truffatore, fingendosi corriere, mette in contatto la vittima con un altro truffatore che si presenta come un agente di polizia di un paese straniero. Questo falso agente afferma che la vittima è sospettata e deve essere sottoposta a un’indagine fittizia per riciclaggio di denaro. Per convincere la vittima, sostiene che la sua identità è stata rubata. Il truffatore convince così la vittima a inviare denaro alla “polizia” per avviare l’indagine sui soldi presenti nel conto bancario. Durante tutto il processo, il truffatore cerca di sembrare credibile ribadendo che la polizia non chiederà mai dati personali o informazioni sul conto corrente. Truffe di presunti rapimenti I truffatori chiamano la vittima affermando di aver rapito un parente stretto o una persona cara. Questo avviene grazie a ricerche preliminari o all’uso di tattiche di ingegneria sociale e ipotesi per ottenere informazioni sul parente dalla vittima stessa. Ad esempio, poiché gli anziani sono più vulnerabili alle truffe rispetto alla popolazione generale, i truffatori presumono che probabilmente abbiano figli o nipoti. Il truffatore minaccia di far del male al parente se la vittima riaggancia. In alcuni casi, il truffatore permette alla vittima di parlare con il “parente rapito”, ma a causa della paura, della confusione e delle modifiche naturali della voce al telefono, la vittima potrebbe non accorgersi che chi parla non è il vero parente.
Rilevamento e prevenzione Gli attacchi di vishing possono essere difficili da riconoscere per le vittime perché istituzioni legittime come le banche a volte chiedono informazioni personali sensibili via telefono. I truffatori possono utilizzare messaggi preregistrati di importanti banche regionali per renderli indistinguibili dalle chiamate autentiche. Inoltre, le vittime, in particolare gli anziani, potrebbero dimenticare o non essere a conoscenza della capacità dei truffatori di modificare l'ID del chiamante, rendendoli più vulnerabili agli attacchi di vishing.