Spam vs Phishing: Qual è la differenza tra loro?

Lo scopo di uno spam è di inondare quante più persone possibili con messaggi che commercializzano e pubblicizzano prodotti e servizi. È fondamentalmente l’equivalente digitale di tutte quelle buste di posta spazzatura e cartoline che il postino consegna nella cassetta della posta di casa tua. Il rapporto X-Force Threat Intelligence Index 2020 di IBM descrive lo spam come un gioco di numeri: “con un volume sufficiente, anche una piccola percentuale di successo è sufficiente a generare valore per gli attori delle minacce”

In pratica, se si inviano abbastanza email, qualcuno, da qualche parte alla fine comprerà le truffe. Questo è il motivo per cui i messaggi di spam non sono mirati e raggiungono le masse. Ci sono tre modi comuni in cui i truffatori usano lo spam:

• Messaggi e-mail,
• chiamate telefoniche (telemarketing e robochiamate), e
• messaggi SMS di phishing (messaggi di testo).

Anche se lo spam non è necessariamente pericoloso come il phishing, gli utenti devono comunque stare attenti quando si tratta di questi messaggi. Spesso cercano di farti fornire informazioni personali che possono utilizzare in futuri tentativi di spam. E, a volte, possono essere di natura malevola (anche se è meno frequente delle email di phishing).

Che cos’è il phishing?

Il phishing è un modo per i truffatori e i criminali informatici di impersonare un’entità legale o di usare altri metodi per frodare i loro obiettivi. I messaggi di phishing sono in genere più pericolosi dello spam perché sono progettati per sembrare legittimi, ma hanno l’intenzione di ferire, manipolare o ingannare le persone a fare qualcosa che normalmente non farebbero o non dovrebbero. Quindi, quando si parla di spam vs. phishing, la differenza sta tra le intenzioni del mittente e il contenuto dei messaggi.

L’obiettivo delle email di phishing è quello di indurre gli utenti a condividere informazioni, cliccare su link, o impegnarsi con allegati dannosi. Con i link, cercheranno di rubare le vostre credenziali o di farvi scaricare software dannoso inavvertitamente. Con gli allegati, cercheranno anche di farti installare malware. In entrambi i casi, sono cattive notizie per voi.

I tipi più comuni di phishing includono

• Mail di phishing (incluso whale phishing, spear phishing),
• Telefonate (vishing),
• SMS (smishing),
• Wi-Fi port phishing (evil twin),
• HTTPS Phishing e
• Angler phishing (clonazione di post e profili di social media).

Spam vs Phishing nelle e-mail

Le e-mail sono le tecniche di spamming e phishing più popolari. Ed è per questo che parleremo di come è possibile differenziare le email di spam da quelle di phishing.

Cos’è lo spam nel contesto delle e-mail?

Tutti i messaggi elettronici inviati per la pubblicità commerciale o la promozione del prodotto, servizio o contenuto del sito web sono considerati spam. Lo spamming via e-mail è un’attività legale sotto il Controlling the Assault of Non-Solicited Pornography And Marketing Act del 2003, noto come CAN-SPAM act.

Queste sono alcune regole chiave CAN-SPAM che il mittente deve rispettare:

• L’e-mail deve avere un link o un pulsante di cancellazione attivo e visibile. Il mittente ha 10 giorni per agire sulla richiesta di unfollow e cessare di inviare email al destinatario.
• L’indirizzo email del mittente deve essere accurato. La linea “da” non deve essere fuorviante e l’oggetto del messaggio deve essere pertinente al corpo del messaggio.
• L’indirizzo fisico del mittente deve essere menzionato. Un indirizzo fisico (o numero di casella postale) del mittente (azienda, mittente individuale, inserzionista o agenzia di marketing di terze parti) deve essere presente nell’e-mail.
• I destinatari devono essere avvertiti se l’e-mail ha contenuti per adulti. Se il contenuto è di natura adulta, deve essere etichettato come “SEXUALLY EXPLICIT.”
• Il mittente dovrebbe inviare e-mail da più indirizzi e-mail. Il mittente non deve inviare messaggi di spam allo stesso destinatario da diversi indirizzi email.
• Le email non devono contenere malware: I messaggi di spam non devono contenere malware (virus, worm, cavalli di troia, ecc.) o reindirizzare gli utenti a siti web dannosi.

Quando le aziende inviano e-mail ai clienti attuali o ai lead commerciali (persone che si sono informate su prodotti/servizi) per follow up, feedback, suggerimenti, o qualsiasi altro tipo di comunicazione, tali messaggi non sono considerati spam. Questi messaggi sono classificati come messaggi di relazione sotto CAN-SPAM. Anche le email politiche e religiose sono escluse dalla definizione dello SMAP nel CAN-SPAM.

Le email di spam non sono dannose in natura. Sono solo indesiderate e occupano spazio inutile nella tua casella di posta. Ma le email di SPAM sono note per capitalizzare le vulnerabilità di sicurezza; gli hacker possono sfruttare per entrare nel client di posta elettronica del destinatario e diffondere il malware o le email di phishing. Ad esempio, secondo il rapporto X-Force Threat Intelligence Index 2020 di IBM, le vulnerabilità di sicurezza denominate CVE 2017-0199 e 2017-11882 hanno rappresentato “quasi il 90% delle vulnerabilità che gli hacker hanno tentato di sfruttare tramite campagne di spam”. Quando colpisci abbastanza persone con i tuoi messaggi di spam, anche le percentuali minime di successo pagano nel lungo periodo.

La maggior parte dei client di posta elettronica rileva automaticamente le e-mail di spam e le scarica nella cartella spam/junk. Anche tutti gli allegati e le immagini sono bloccati in una tale email. Ma se stai ancora ricevendo email indesiderate di spam nella tua casella di posta, puoi cancellarti da esse. (Fai solo attenzione a controllare prima il link di cancellazione per assicurarti che non sia un link di phishing o dannoso). Inoltre, puoi cliccare con il tasto destro del mouse sull’email nella tua casella di posta per spostarla nella cartella spam. Puoi anche bloccare il mittente.

Ecco un esempio di una tipica email di spam:

Questa è un’email di spam che ho ricevuto da un sito di design di logo. Il contenuto della riga dell’oggetto corrisponde al contenuto dell’email. Puoi anche vedere che l’email ha una scheda di disiscrizione e l’indirizzo fisico dell’azienda. Questo significa che si tratta di un’email di spam che sta seguendo tutte le linee guida dello SPAM-CAN.

Cos’è il Phishing nel contesto delle email?

I truffatori inviano email di phishing fingendosi un’azienda o una persona di cui i destinatari si fidano. Queste e-mail sono di natura ingannevole. Le email di phishing sono costruite in modo da sembrare provenire dalla tua banca, sito di e-commerce, università, governo, datore di lavoro, parenti o colleghi. Il 96% degli attacchi di phishing avviene via e-mail, come mostra il Data Breach Investigations Report (DBIR) 2020 di Verizon.

Queste e-mail potrebbero contenere allegati carichi di malware, link dannosi o reindirizzamenti a siti web spam. A volte gli aggressori cercano di innescare una risposta emotiva da parte dei destinatari e indulgere nella condivisione delle loro informazioni riservate come:

• Numeri di carte di pagamento,
• Numeri di telefono,
• Indirizzo fisico,
• Numero di previdenza sociale (SSN),
• Informazioni relative alle tasse, e
• Informazioni sulla salute

I motivi generali dietro le e-mail di phishing includono:

• Frode finanziaria,
• Furto di identità,
• Furto di credenziali di accesso,
• Diffusione di malware (worms, virus, trojans, rootkits, adware, ecc.), e
• Reindirizzare i destinatari a siti web dannosi.

Di seguito un esempio di una tipica e-mail di phishing. L’email sembra provenire da PayPal, ma se controlli attentamente l’indirizzo email del mittente, vedrai che proviene da un artista della truffa, e l’allegato PDF dall’aspetto benigno potrebbe contenere pericolosi malware.

Molti stati americani hanno leggi diverse per il phishing. Non c’è una legge federale che criminalizza direttamente il phishing, ma le leggi penali federali si applicano alle frodi finanziarie e ai crimini di furto d’identità commessi tramite phishing.

Se sei diventato vittima di un’email di phishing, puoi registrare il tuo reclamo al www.ic3.gov, ftc.gov/complaint o [email protected].

La differenza tra spam e phishing

Per aiutarvi a capire meglio la differenza tra spam e phishing, abbiamo pensato che potrebbe essere utile vederli affiancati in una tabella.

	Spam	Phishing
Scopo	Promuovere e commercializzare prodotti e servizi	Fraudere i destinatari
Natura	Email commerciali indesiderate che sono tipicamente di natura benigna ma a volte possono essere maligne	Messaggi ingannevoli che sembrano provenire da entità legittime ma sono progettati per essere di natura maligna.
Contiene	Pubblicità di prodotti/servizi, codici di coupon, offerte, sconti, moduli di richiesta o sondaggi	Allegati carichi di malware, link infetti, link che reindirizzano a siti web spam, messaggi ingannevoli che fanno condividere ai destinatari le loro informazioni PII/finanziarie
Legislazione	Lo U.S. Non-Solicited Pornography and Marketing Act del 2003 Per altri paesi: Leggi Anti-Spam	Varie leggi statali, la legge penale federale degli Stati Uniti

Spam vs Phishing: Messaggi vocali e telefonate

I perpetratori usano le telefonate per fare spam e phishing.

Chiamate di spam

Se ricevi una telefonata non richiesta a scopo di marketing, specialmente da una compagnia con cui non hai mai avuto a che fare prima, può essere classificata come una chiamata di spam. La definizione di chiamate di marketing e spam può essere confusa.

Per esempio, se improvvisamente ricevi una telefonata per richiedere una carta di credito da una società di carte di credito con cui non hai mai avuto a che fare prima, è considerata una chiamata spam. Ma se qualcuno vi chiama per vendere la nuova carta o le polizze assicurative della banca con cui avete già un conto, è considerata una semplice chiamata di marketing per vendere prodotti aggiuntivi. Negli Stati Uniti, il Telephone Consumer Protection Act (TCPA) e la Federal Communications Commission (FCC) pongono delle restrizioni alle chiamate di spam e ai messaggi di telemarketing.

Voice Phishing (Vishing)

Quando gli autori fanno delle telefonate impersonando qualcun altro con lo scopo di frodarti, si parla di voice phishing o vishing. Per esempio, un truffatore ti chiama fingendosi un direttore di banca e chiedendoti di fornire le ultime quattro cifre del tuo numero di previdenza sociale e alcuni altri dettagli personali per inviarti una nuova carta di credito.

A volte, gli aggressori usano un database trapelato o utilizzano le loro abilità di ingegneria sociale per fare una piccola ricerca sulle potenziali vittime prima di chiamare. Per esempio, chiamano gli studenti universitari spacciandosi per un impiegato della banca che gestisce i prestiti agli studenti o un rappresentante del dipartimento statale/federale per gli aiuti agli studenti che vuole maggiori informazioni sulla loro domanda di borsa di studio. In breve, invece di chiamare a freddo numeri casuali, i truffatori fanno una telefonata comprendendo il loro pubblico di riferimento in modo da sembrare legittimi alle potenziali vittime.

Spam vs Phishing: messaggi di testo

Oggi ci sono siti web e strumenti disponibili che possono inviare messaggi di testo di massa a costi incredibilmente bassi. Ecco perché gli spammer e i truffatori di phishing amano inviare i loro messaggi via SMS! Sei in grado di raggiungere gli utenti sui loro telefoni cellulari ovunque essi siano.

Messaggi di testo spam

Quando le aziende inviano messaggi di testo non richiesti per scopi commerciali e non maliziosi, sono conosciuti come messaggi di testo spam o messaggi SMS spam. Questi messaggi possono contenere informazioni sui prodotti, dettagli su offerte speciali/sconti, offerte, schemi, codici coupon, ecc. Potrebbero anche avere link al sito web del prodotto/servizio.

Alcuni SMS di spam vengono inviati come un sondaggio per ottenere maggiori informazioni sui potenziali clienti. Lo scopo di tali messaggi di testo può essere la vendita di un prodotto o servizio, il branding, la raccolta di ulteriori informazioni (come i dati demografici, le abitudini di acquisto, il potere d’acquisto, i gusti/preferenze, ecc) dei destinatari. Lo spamming di testo è anche coperto dal Telephone Consumer Protection Act (TCPA).

SMS Phishing (Smishing)

Qui, i truffatori inviano messaggi di testo spacciandosi per organizzazioni legittime. La natura e lo scopo di tali messaggi SMS di phishing sono gli stessi delle e-mail di phishing – cioè, per frodare i destinatari. Gli aggressori cercano di ingannare o manipolare l’utente per indurlo a:

• condividere informazioni personali o finanziarie,
• completare transazioni finanziarie,
• scaricare allegati carichi di malware, o
• cliccare sui link nei testi SMS che portano a siti web dannosi.

Concludendo su Spam vs Phishing

L’argomento spam vs phishing, o più specificamente la differenza tra spam e phishing, può confondere. Ma a questo punto, possiamo tranquillamente supporre che tu sappia che lo spam è il tipo di messaggio fastidioso ma più benigno, mentre il phishing facilita il crimine informatico. Ma la linea sottile tra phishing e spam diventa confusa quando lo spammer viola alcune delle linee guida del CAN-SPAM (o le leggi del tuo paese relative allo SPAM). Per esempio, il contenuto dell’email o l’indirizzo email del mittente è di natura ingannevole, o l’email/messaggi di testo contengono malware (o link a siti web dannosi).

Lo spamming a volte può essere così fastidioso che ti viene voglia di cambiare numero di telefono o indirizzo email! D’altra parte, il phishing può portarti a diventare una vittima del crimine informatico. Quindi, istruisci ulteriormente te stesso e i tuoi dipendenti sulle truffe di phishing e su come riconoscerle con successo.