Recentemente abbiamo visto cosa sia il whaling ma cosa avrà a che fare con come farsi rubare lo stipendio da un hacker?
Sappiamo che il phishing è l’atto di mandare un’email a qualcuno “travestendosi” in modo che il destinatario pensi che l’email arrivi da altre persone, solitamente un istituto di credito o una finanziaria.
Il whaling è una variante del phishing ed è sostanzialmente un’email che pare mandata da un alto dirigente di un’azienda a un’altro alto dirigente per fargli compiere qualcosa di particolare.
Cosa avrà mai a che fare con il fatto di rubare lo stipendio?
Pensaci un attimo e vedrai che la cosa è semplicissima.
Come funziona il furto dello stipendio
Facciamo un esempio banale.
Al direttore amministrativo arriva un’email dal direttore del personale che chiede di modificare l’iban su cui accreditare lo stipendio del dipendente Mario Rossi.
Ovviamente i due si conosceranno, almeno di nome, il direttore amministrativo vedrà che l’email arriva dal direttore del personale e non solleverà obiezioni procedendo alle modifiche richieste.
In questo modo il prossimo stipendio verrà versato direttamente nelle tasche del criminale di turno a completa insaputa del dipendente che sicuramente se ne accorgerà in un secondo momento ma sarà troppo tardi. È chiaro che per lui non ci saranno conseguenze perché l’errore è stato commesso dai due dirigenti, ma l’azienda ne avrà comunque un danno proporzionale all’ammontare dello stipendio in questione.
Questo è un classico esempio di whaling ma il risultato finale è sempre che la vittima, direttamente o indirettamente, perde dei soldi in qualche modo.
Nell’altro esempio reale che avevo raccontato, il criminale si era spacciato per il presidente di un’azienda e aveva inviato un’email all’amministrazione chiedendo di fare un bonifico di 4000 euro a una persona, e questo era stato fatto!
Come difendersi dal whaling
Al di là di educare le persone per capire quando un’email è phishing, occorrono anche delle procedure interne di controllo e convalida in modo che certe email “delicate” non siano possibili e determinate richieste siano soggette a una procedura particolare che tiene conto anche della sicurezza.
Le aziende più grosse magari sono anche strutturate in tal senso ma le aziende medio piccole no, e quindi sono più soggette a problematiche del genere.
Approfondimenti
- cos’è il phishing
- cos’è il whaling
- un esempio di whaling realmente successo
- checklist per difendersi dal phishing