Probabilmente hai un'email di phishing nella tua casella di posta in questo momento.

Potrebbe essere una truffa evidente, ma è più probabile che sia una nota insidiosamente amichevole che sembra di un collega o di un amico, chiedendoti di fare clic su questo collegamento o di aprire quell'allegato. Se fate, un hacker potrebbe accedere al tuo nome utente e password, potenzialmente rubare grandi quantità di dati e compromettere l'intera organizzazione

"Le truffe di phishing sono cambiate sostanzialmente negli ultimi tre anni, "ha detto Ryan Wright, il C. Coleman McGehee Professor of Commerce presso la McIntire School of Commerce dell'Università della Virginia. hacker, Egli ha detto, sono passati dall'invio di milioni di e-mail fasulle al targeting spietato di singoli utenti, spesso usando le informazioni dagli account dei social media per fingere di essere colleghi, amici o familiari.

Wright ricerca e insegna sulla sicurezza informatica e lavora con il responsabile della sicurezza delle informazioni dell'UVA, Jason Belford, per migliorare la sicurezza informatica in Ateneo. Sta anche lavorando con il vicepresidente per la tecnologia dell'informazione Ronald R. Hutchins per sviluppare una nuova formazione anti-phishing per tutti i dipendenti statali.

Ecco i suoi consigli per proteggere te stesso e la tua organizzazione.

Comprendi come funzionano davvero le truffe di phishing

Le truffe di phishing via e-mail sono la tecnica più comune utilizzata dagli hacker per accedere a nomi utente e password individuali e quindi infiltrarsi in intere organizzazioni.

Sebbene di solito immaginiamo gli hacker come maghi del computer che costruiscono i propri programmi, Wright ha affermato che la maggior parte semplicemente acquista software di phishing dal dark web e utilizzalo per impostare una truffa di phishing via e-mail.

Se gli utenti fanno clic su un collegamento o un allegato nell'e-mail di phishing, sono indirizzati a una pagina web fasulla, come i siti sostenuti dalla Russia scoperti da Microsoft questa settimana. Il malware codificato nel sito ruba le loro informazioni, in genere il loro nome utente e password.

Gli hacker possono quindi fingere di essere un utente per accedere alle informazioni all'interno di un'organizzazione. Basta un clic, da un utente, ha innescato importanti attacchi informatici alle organizzazioni da Target al governo degli Stati Uniti, nonostante i loro migliori sforzi per proteggere i loro confini tecnici.

Secondo Wright, la pagina web di phishing media dura circa sette giorni, perché i tassi di risposta a qualsiasi e-mail di phishing, proprio come una normale e-mail, diminuiscono drasticamente dopo 24-36 ore.

"Gli hacker sanno che hanno bisogno di un sito attivo solo per pochi giorni, " Wright ha detto. "Hanno creato milioni di loro. Identificarli è un po' come giocare a "Whac-a-Mole":non puoi abbatterli abbastanza velocemente".

Capisci che sei il bersaglio, non il tuo computer

"Tendiamo a pensare alla sicurezza informatica come a un problema tecnico, ma è davvero un problema umano, " Wright ha detto. "Dal 90 al 95 per cento degli attacchi alle organizzazioni sono attacchi a singole persone".

Un recente studio per la sicurezza informatica sul lavoro, uscito questo mese, ha scoperto che i singoli dipendenti sono il più grande fattore di rischio per le organizzazioni. Quasi due intervistati su cinque hanno ammesso di aver fatto clic su un collegamento o un allegato dubbio, circa il 40% della forza lavoro.

Secondo Wright, la truffa di phishing media di oggi prende di mira circa nove persone, utilizzando le informazioni dal loro LinkedIn, Facebook e altri account di social media per personalizzare ogni messaggio e presentarsi come membri della famiglia, amici o colleghi.

"Questi sono molto, campagne molto mirate, " ha detto. "È importante capire che tu sei il bersaglio, non solo il tuo computer."

Pratica la consapevolezza della tecnologia

Probabilmente pensi alla consapevolezza come a qualcosa di più adatto al tuo tappetino da yoga che alla tua casella di posta, ma la ricerca di Wright mostra che l'addestramento alla consapevolezza è il 38% più efficace nel prevenire gli hack rispetto al tradizionale addestramento anti-phishing.

Quel numero deriva da esperimenti sul campo condotti da Wright e dai suoi colleghi presso una grande organizzazione, inviare le proprie e-mail di phishing a un gruppo esperto in tecniche di consapevolezza, uno addestrato nelle tecniche tradizionali basate su segnali (cioè alla ricerca di argomenti sospetti, ortografia e altri segnali) e un gruppo di controllo senza formazione.

"L'allenamento basato sui segnali è sicuramente meglio di niente, ma l'allenamento alla consapevolezza ha migliorato i risultati di circa il 38%, " ha detto Wright. "Quando gli hacker cercano solo un clic, questo è un numero piuttosto significativo."

Mentre la formazione basata su segnali insegna agli utenti a cercare un elenco lungo e mutevole di caratteristiche della posta elettronica, l'addestramento alla consapevolezza si concentra sul convincere gli utenti a "fermarsi, pensa e poi agisci" prima di fare clic su qualcosa, fidandosi del loro istinto se qualcosa sembra sbagliato.

"Anche la più breve pausa avverte il tuo istinto, portando a una decisione migliore per la maggior parte del tempo, " Wright ha detto. "Spesso usiamo la tecnologia in modo abbastanza sconsiderato; se ti fermi e sei più consapevole solo per un secondo, allora hai già vinto."

Affidati ai tuoi collaboratori

Wright lo chiama "il firewall umano", la rete di relazioni e interazioni umane che può rendere molto più difficile per gli hacker violare un'organizzazione. Non consiste solo di personale informatico, ma di colleghi che si affidano l'uno all'altro per individuare attività sospette e comunicare con il gruppo.

"La nostra ricerca ha dimostrato che è molto più probabile che le persone si rivolgano ai colleghi con una domanda di sicurezza prima di rivolgersi all'IT, " ha detto Wright. I reparti IT dovrebbero incoraggiare questo comportamento piuttosto che scoraggiarlo, Egli ha detto, e aiutare gli influencer chiave in diversi dipartimenti a diffondere informazioni corrette.

"Se ricevi un'e-mail strana e ti rivolgi a qualcuno nel cubicolo accanto per chiederglielo, hai già vinto, " Wright ha detto. "Questo tipo di consapevolezza diffonde pratiche di sicurezza positive in tutta l'organizzazione".

Leggi un articolo di notizie sulla sicurezza informatica ogni trimestre

Per aumentare la tua consapevolezza del rischio per la sicurezza, Wright suggerisce di monitorare la stampa popolare per gli articoli di notizie sulla sicurezza informatica e di leggerne almeno uno ogni trimestre. Anche quel poco di lettura ti aiuterà a rimanere informato e informato sulle ultime truffe che potresti vedere nella tua casella di posta, Egli ha detto. E maggiore è la tua consapevolezza, minore è il rischio.

"Più la sicurezza è in primo piano, le decisioni migliori che le persone prendono, " ha detto Wright.

Come punto di partenza, raccomanda Krebs sulla sicurezza, un sito web gestito dal giornalista del Washington Post diventato guru della sicurezza informatica Brian Krebs.