Vishing: L'attacco che ha compromesso Google

Cos’è il vishing e perché dovrebbe interessare alla tua azienda

Il phishing vocale, noto come vishing, è diventato in fretta una delle tecniche di ingegneria sociale più pericolose per le aziende di ogni dimensione. Quando persino Google, un’azienda con probabilmente l’infrastruttura di sicurezza più sofisticata del pianeta, cade vittima di un attacco di vishing, il messaggio è chiaro: nessuna organizzazione è immune.

L’attacco contro Google ha mostrato come threat actor esperti possano manipolare i dipendenti con telefonate costruite con cura, aggirando del tutto le difese tecniche e sfruttando la psicologia umana. Per le PMI europee, in particolare in Italia dove la trasformazione digitale accelera ma la consapevolezza sulla cybersecurity spesso resta indietro, questo episodio è un campanello d’allarme.

Come si è sviluppato l’attacco di vishing a Google

L’attacco ha seguito uno schema che i ricercatori di sicurezza vedono con frequenza crescente. I threat actor hanno impersonato figure di fiducia (in questo caso fingendosi contatti interni legittimi o partner terzi) e hanno usato telefonate per estorcere informazioni sensibili o convincere i dipendenti a compiere azioni che compromettevano la sicurezza.

A rendere l’attacco particolarmente efficace è stato l’approccio a più livelli. Gli attaccanti hanno combinato le chiamate vocali con altre tecniche di ingegneria sociale, tra cui l’alterazione dell’ID chiamante (spoofing) e dettagli raccolti in anticipo sui dipendenti presi di mira. Questo livello di preparazione ha reso l’inganno quasi indistinguibile da un’interazione autentica.

Secondo il Verizon Data Breach Investigations Report 2024, gli attacchi di ingegneria sociale rappresentano circa il 17% di tutte le violazioni dei dati, con incidenti di vishing e pretexting in aumento di oltre il 60% su base annua. L’Internet Crime Complaint Center dell’FBI ha riportato perdite superiori a 12,5 miliardi di dollari causate da schemi di ingegneria sociale nel solo 2023.

L’anatomia di una chiamata di vishing

Un tipico attacco di vishing aziendale segue una struttura prevedibile che ogni titolare d’azienda dovrebbe conoscere:

• Ricognizione: gli attaccanti raccolgono informazioni pubblicamente disponibili da LinkedIn, siti aziendali e social media per costruire un pretesto credibile.
• Primo contatto: la chiamata arriva da un numero alterato che sembra legittimo, spesso imitando un interno aziendale o un fornitore noto.
• Urgenza e autorità: chi chiama crea pressione, dichiarando di essere dell’assistenza IT, di una banca o di un dirigente che richiede un’azione immediata.
• Estrazione: alla vittima viene chiesto di condividere credenziali, approvare una transazione, installare software di accesso remoto o saltare le normali procedure di sicurezza.

L’intera interazione può durare appena tre minuti. È tutto ciò che serve per compromettere un’organizzazione.

Perché le PMI europee sono particolarmente vulnerabili

Grandi aziende come Google hanno security operations center dedicati, esercitazioni di red team e budget di cybersecurity da molti milioni di euro. La maggior parte delle PMI europee no. Questo divario crea un rischio sproporzionato.

In Italia, i dati ISTAT mostrano che oltre il 95% delle imprese è classificato come piccola o microimpresa, e molte non hanno una funzione dedicata alla sicurezza IT. Il Rapporto Clusit 2024 sulla sicurezza ICT in Italia ha registrato un aumento del 65% degli attacchi informatici contro le organizzazioni italiane rispetto alla media globale, con l’ingegneria sociale che resta uno dei principali vettori di attacco.

La pressione normativa alza la posta

Le PMI europee operano anche sotto il Regolamento generale sulla protezione dei dati (GDPR), che impone obblighi significativi in materia di protezione dei dati. Un attacco di vishing riuscito che porta all’accesso non autorizzato a dati personali può far scattare la notifica obbligatoria della violazione al Garante per la Protezione dei Dati Personali e comportare potenzialmente sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale.

La direttiva NIS2, che gli Stati membri dell’UE dovevano recepire nel diritto nazionale entro ottobre 2024, estende ulteriormente gli obblighi di cybersecurity a una gamma più ampia di imprese, comprese molte aziende di medie dimensioni nei settori critici. Il mancato rispetto non è solo un rischio tecnico: è anche legale ed economico.

Difese pratiche contro gli attacchi di vishing

La buona notizia è che difendersi dal vishing non richiede budget da Google. Richiede consapevolezza, processi e coerenza.

Costruisci un firewall umano

I controlli tecnici non possono proteggere del tutto da attacchi che prendono di mira direttamente le persone. Una formazione regolare sulla consapevolezza della sicurezza, con simulazioni realistiche di vishing, è la singola contromisura più efficace. I dipendenti devono imparare a riconoscere i segnali tipici di un tentativo di vishing: urgenza inattesa, richieste di saltare le procedure normali e pressione ad agire senza verificare.

La formazione non deve essere un evento isolato. Esercitazioni trimestrali, affiancate da brevi sessioni di richiamo dopo che gli incidenti reali finiscono sui giornali, mantengono alta la consapevolezza. Studi del SANS Institute mostrano che le organizzazioni che svolgono regolarmente simulazioni di phishing e vishing registrano una riduzione del 70% degli attacchi di ingegneria sociale riusciti già nel primo anno.

Introduci procedure di verifica

Stabilisci policy chiare per cui nessuna azione sensibile (trasferire fondi, condividere credenziali, concedere accessi ai sistemi) venga mai completata sulla base della sola telefonata. Ogni richiesta va verificata attraverso un canale separato e affidabile.

Per esempio, se qualcuno chiama dicendo di essere della tua banca, riaggancia e chiama direttamente il numero ufficiale della banca. Se un “tecnico IT” chiede un accesso remoto, conferma attraverso il sistema interno di ticketing dell’azienda. Questi semplici passaggi spezzano il copione dell’attaccante.

Rafforza le protezioni tecniche

Anche se il vishing è fondamentalmente un attacco rivolto alle persone, le misure tecniche offrono preziosi livelli di difesa:

• L’autenticazione a più fattori (MFA) fa sì che le sole credenziali rubate non bastino per ottenere l’accesso.
• I protocolli di autenticazione delle chiamate come STIR/SHAKEN aiutano a verificare l’identità di chi chiama, anche se la loro adozione presso gli operatori europei è ancora in evoluzione.
• Gli strumenti di endpoint detection and response (EDR) possono intercettare il software malevolo installato durante un attacco di vishing.
• La gestione degli accessi privilegiati limita i danni che un attaccante può fare anche se compromette un singolo account.

Le lezioni dall’esperienza di Google

Se c’è una cosa da portare a casa dall’incidente di vishing a Google, è questa: la sicurezza non è mai un problema puramente tecnologico. I firewall più avanzati, i sistemi di rilevamento delle intrusioni e gli strumenti di monitoraggio delle minacce basati sull’AI non possono impedire che un dipendente venga ingannato da una voce convincente al telefono.

Per le PMI italiane ed europee la priorità dovrebbe essere chiara. Investi prima di tutto nelle persone. Crea una cultura in cui i dipendenti si sentano liberi di mettere in discussione richieste insolite senza timore di rimproveri. Documenta e fai rispettare procedure di verifica per ogni operazione sensibile. E resta informato: i threat actor affinano di continuo le proprie tecniche e le tue difese devono evolvere con loro.

L’attacco a Google non è stato un episodio isolato. È stato il segnale che il vishing è maturato in una minaccia professionale e scalabile. La domanda per ogni azienda non è se verrà presa di mira, ma se sarà pronta quando arriverà la chiamata.