Proofpoint ha pubblicato una nuova ricerca secondo la quale il 97% delle università statali italiane è in ritardo sulle misure di cybersecurity di base, sottoponendo studenti, personale e partner a un rischio maggiore di frodi basate su email contraffatte.
Questi risultati si basano su un’analisi dell’adozione del protocollo DMARC (Domain-based Message Authentication, Reporting and Conformance) da parte delle università statali italiane. DMARC è un protocollo di convalida delle email progettato per proteggere i nomi di dominio dall’abuso da parte dei criminali informatici, autenticando l’identità del mittente e prevede tre livelli di protezione: monitoraggio, quarantena e reject (rifiuto); quest’ultimo è il più sicuro per evitare che le email sospette raggiungano la casella di posta.
L’analisi di Proofpoint ha rilevato che solo il 3% delle università statali italiane ha implementato il livello di protezione più rigoroso e raccomandato (reject) e il 52% non dispone di alcuna protezione DMARC, ed è quindi a rischio di attività truffaldine da parte di criminali informatici, che potrebbero impersonare i loro domini per colpire gli utenti con frodi via email. Quasi la metà (48%) ha adottato invece misure di protezione iniziali, pubblicando un record DMARC di base.
Si tratta di dati che mostrano come numerose università italiane siano in ritardo rispetto anche a quelle europee, in cui il livello di protezione DMARC più rigoroso è stato implementato dal 10% degli istituti, mentre quelli che hanno adottato le misure iniziali per proteggere studenti e personale dalle frodi via email con un record DMARC di base sono il 69%, con il 31% quindi che non dispone di alcuna protezione DMARC.
“La nostra ricerca ha dimostrato che la grandissima parte delle università statali italiane continua a esporre le persone a rischi provenienti da criminali informatici a caccia di dati personali e finanziari, non implementando semplici ma efficaci best practice per l’autenticazione delle email”, afferma Luca Maiocchi, country manager di Proofpoint Italia. “L’email continua a essere il vettore preferito dagli attaccanti e il settore dell’istruzione rimane un obiettivo chiave. Scuole e università custodiscono dati preziosi di migliaia di studenti, ricercatori e personale e sono per questo un obiettivo ambito da parte dei cybercriminali: se non sfruttano le tecnologie a loro disposizione resteranno anche un obiettivo vulnerabili agli attacchi.”
Anche gli attacchi BEC (Business email compromise) dovrebbero essere all’attenzione delle aziende quando si parla di sicurezza delle email. Consistono nell’assumere l’identità di contatti di business per inviare email fraudolente che sembrano essere legittime e provenienti da organizzazioni affidabili al fine di ingannare gli utenti Secondo il report State of the Phish 2023 di Proofpoint, nel corso dello scorso anno, il 51% delle organizzazioni italiane ha segnalato un tentativo di attacco BEC.
“I criminali informatici utilizzano regolarmente il metodo del domain spoofing per spacciarsi per organizzazioni e aziende note, inviando un’email da un indirizzo apparentemente legittimo. Questi messaggi sono pensati per indurre le persone a cliccare su un link o condividere dettagli personali che possono poi essere utilizzati per rubare denaro o identità,”, continua Luca Maiocchi. “Per un normale utente di Internet può essere quasi impossibile identificare un mittente fittizio. Implementando il livello più rigoroso di DMARC, le università possono bloccare attivamente email fraudolente, e criminali informatici che cercano di impersonare il loro istituto”.
I suggerimenti di Proofpoint ad università e studenti
- Usare password forti: Non riutilizzare due volte la stessa password. Prendere in considerazione l’utilizzo di un gestore di password per rendere la propria esperienza online semplice e al tempo stesso sicura. Usare l’autenticazione a più fattori per un ulteriore livello di sicurezza.
- Fare attenzione ai siti “sosia”: Gli aggressori creano questi siti per imitare marchi e istituzioni familiari, con l’obiettivo di fingersi un’azienda credibile, distribuire malware o rubare denaro o credenziali.
- Abituarsi a individuare i potenziali attacchi di phishing e smishing: Le email di phishing portano a siti web non sicuri che raccolgono dati personali, come le credenziali e i dati della carta di credito. Fare attenzione anche al phishing via SMS – il cosiddetto “smishing” – o ai messaggi inviati attraverso i social media.
- Non cliccare sui link: Nel caso si ricevano email da un’università, Proofpoint consiglia agli studenti di andare direttamente al sito web dell’istituto, digitando l’indirizzo nel proprio browser.
