Il rilevamento del phishing si è tradizionalmente basato sull'individuazione di una destinazione dannosa. Ma cosa succede quando la pagina di phishing non esiste affatto sul web? Recenti ricerche hanno scoperto una campagna di attacco che utilizza un URL blob per creare una pagina di furto di credenziali interamente all'interno del browser della vittima.
Cos'è un URL blob?
Un URL blob è un indirizzo temporaneo creato da un browser che punta a dati memorizzati nella sua memoria. In questo attacco, la pagina di phishing non risiede mai su un server web tradizionale. Invece, esiste solo all'interno del browser della vittima durante quella sessione. Questo rende estremamente difficile per gli strumenti di sicurezza tradizionali rilevarlo perché non c'è un URL esterno o un dominio da inserire nella lista nera.
Come funziona l'attacco
L'attaccante invia un'email di phishing che include un link. Il link non punta direttamente a una pagina di phishing. Invece, conduce a un servizio web legittimo che l'attaccante ha compromesso o abusato. Una volta che la vittima clicca sul link, l'attaccante utilizza funzionalità del browser come URL blob, service worker e iframe isolati per creare dinamicamente la pagina di phishing all'interno del browser.
La pagina raccoglie le credenziali e le invia all'attaccante senza mai esistere come sito web autonomo. Questo approccio nasconde l'infrastruttura di phishing e rende più difficile l'indagine.
Cosa osservare
Controllare URL con errori di ortografia non è più sufficiente. I team di sicurezza devono monitorare attività insolite nei flussi OAuth e nelle catene di reindirizzamento. Controlli di identità forti come le chiavi di sicurezza FIDO2 e le passkey possono aiutare a prevenire accessi non autorizzati, anche se le credenziali vengono rubate. I dipendenti dovrebbero essere cauti riguardo a qualsiasi richiesta inaspettata, anche se sembra provenire da un servizio familiare.
I rivenditori affrontano sfide uniche
I rivenditori stanno affrontando una sfida unica a causa dell'uso del text salting. Secondo il Targeting Scams Report 2025 del National Anti-Scam Centre, gli australiani hanno segnalato 481.523 truffe e perdite per 2,18 miliardi di dollari l'anno scorso. Il settore retail è un obiettivo primario per questi attacchi, poiché spesso sfruttano la fiducia che i consumatori ripongono in marchi noti.
Il text salting è una tecnica di phishing in cui gli attaccanti prendono di mira i sistemi di intelligenza artificiale progettati per rilevare email dannose. Alterando leggermente il testo nelle email di phishing, possono bypassare il rilevamento e raggiungere i loro obiettivi. Questo metodo è particolarmente efficace contro i rivenditori, poiché può sfruttare la grande quantità di dati dei clienti che gestiscono, inclusi informazioni di pagamento, dettagli personali e credenziali di account.
I contenuti generati dall'IA alimentano la crescita del phishing
I contenuti generati dall'IA hanno reso più facile per i criminali informatici creare campagne di phishing sofisticate e convincenti. Questi strumenti possono produrre rapidamente email e siti web personalizzati che appaiono legittimi, aumentando le probabilità di successo. I rivenditori devono rimanere vigili e investire in misure avanzate di cybersecurity per proteggere i loro clienti e la reputazione del marchio. Secondo i ricercatori di Barracuda, sono stati osservati oltre un milione di attacchi di phishing a tema retail.
Perché è importante
Man mano che le tecniche di phishing evolvono, le strategie di sicurezza devono adattarsi. Il passaggio dall'identificazione di URL sospetti alla comprensione di come gli attaccanti abusano dei servizi legittimi evidenzia la necessità di metodi di rilevamento più sofisticati. Le organizzazioni dovrebbero dare priorità all'analisi del contesto più ampio e a controlli di identità più forti per proteggersi da queste minacce emergenti.