Il phishing è una tecnica in cui i malintenzionati si spacciano per marchi affidabili, incluso il tuo, per indurre le persone a condividere informazioni sensibili come password, dettagli di pagamento o credenziali di account.
Poiché i clienti Duda creano e gestiscono siti Web per i propri clienti, gli attacchi di phishing nell'ecosistema Duda possono colpire più livelli: direttamente tu o i tuoi clienti attraverso l'impersonificazione della tua azienda. Questa guida fornisce misure pratiche per proteggere sia il tuo account Duda che i tuoi clienti
sistemi di Duda non sono stati compromessi. Queste campagne di phishing sono condotte da attori esterni che utilizzano informazioni commerciali disponibili al pubblico per spacciarsi per clienti Duda. Questa guida è fornita solo a scopo informativo e non costituisce un'assunzione di alcuna responsabilità da parte di Duda
-
Duda non chiederà mai la password del tuo account tramite email, telefono o chat.
-
Duda non richiederà mai informazioni di pagamento tramite link e-mail.
-
Duda non contatterà mai te o i tuoi clienti tramite i moduli o gli strumenti CRM del tuo sito.
Se ricevi un messaggio con una delle seguenti caratteristiche, non proviene da Duda.
-
Controlla l'indirizzo email del mittente. Cerca errori di ortografia, caratteri aggiuntivi o domini che imitano
support@dudda.coinvece di@duda.co). -
Fai attenzione all'urgenza o alle minacce. I messaggi che ti spingono ad «agire immediatamente» o che avvisano della sospensione dell'account sono
-
Passa il mouse prima di fare clic. Visualizza l'anteprima delle destinazioni dei link senza fare clic: se l'URL non rimanda a un dominio che riconosci, non fare clic su di esso
-
Verifica in modo indipendente. Se un messaggio afferma di provenire da Duda, accedi direttamente al tuo account Duda (non tramite e-mail) per confermare
-
Utilizza l'SSO, se disponibile, per centralizzare la gestione degli accessi e applicare le politiche di sicurezza della tua organizzazione.
-
Come minimo, abilita autenticazione a due fattori (2FA) sul tuo account Duda e su tutti i servizi associati: email, registrar di domini, hosting e provider di pagamento.
-
Usa password sicure e univoche per ogni servizio. Modificale immediatamente se sospetti che possano essere compromesse
-
Controlla regolarmente le autorizzazioni degli utenti e rimuovi l'accesso a chiunque non ne abbia più bisogno.
L'autenticazione e-mail correttamente configurata è uno dei modi più efficaci per impedire agli aggressori di inviare email che sembrano provenire dal tuo dominio:
-
SPF (Sender Policy Framework): specifica quali server di posta sono autorizzati a inviare e-mail per il tuo dominio.
-
DKIM (DomainKeys Identified Mail): firma crittograficamente le email in uscita in modo che i destinatari possano verificare che provengano effettivamente dal tuo dominio.
-
DMARC (Domain-based Message Authentication, Reporting & Conformance): istruisce i server di posta riceventi su come gestire i messaggi che non superano i controlli SPF/DKIM e offre visibilità sui mittenti non autorizzati.
Rivedi regolarmente i tuoi report DMARC per rilevare l'uso non autorizzato del tuo dominio.
-
Mantieni aggiornati i sistemi operativi, i browser e i plug-in.
-
Utilizza un affidabile software antivirus/protezione degli endpoint.
-
Abilita la crittografia del disco su tutti i dispositivi utilizzati per gestire i siti dei clienti.
-
Limita le estensioni del browser a quelle affidabili e necessarie: le estensioni dannose sono un vettore comune per il furto di credenziali.
Poiché gli attacchi di phishing possono colpire i tuoi clienti spacciandosi per la tua azienda, ti consigliamo di:
-
Dì ai tuoi clienti cosa farai e cosa non farai. Fai sapere loro che non chiederai mai password o informazioni di pagamento via e-mail.
-
Incoraggia i clienti a verificare prima di agire. Se ricevono un'email inaspettata che sembra provenire dalla tua attività, devono contattarti direttamente utilizzando un numero di telefono o un'e-mail noti, non tramite i link contenuti nel messaggio sospetto
-
Chiedi ai clienti di inoltrarti email sospette in modo da poter valutare, segnalare e avvisare altri clienti, se necessario.
-
Cambia immediatamente tutte le password degli account interessati.
-
Contatta il tuo registrar di domini per proteggere l'accesso al dominio e abilitare i blocchi a livello di registrar.
-
Esegui una scansione completa di malware/antivirus su qualsiasi dispositivo che potrebbe aver interagito con il contenuto del phishing.
-
Informa i clienti interessati e consiglia loro di monitorare i conti e contattare i loro istituti finanziari.
-
Segnala a Duda all'indirizzo [email/modulo dedicato al phishing] in modo da poter tracciare la campagna e fornire assistenza.
-
Invia una segnalazione alle autorità competenti (ad esempio, FBI IC3 su ic3.gov, FTC su reportfraud.ftc.gov o il tuo equivalente locale).
Questa guida viene fornita solo a scopo informativo come risorsa per i clienti Duda. Non costituisce una consulenza legale, di sicurezza informatica o professionale. Duda non rilascia dichiarazioni o garanzie in merito alla completezza o all'efficacia di queste raccomandazioni e non si assume alcuna responsabilità per le azioni di attori di minacce di terze parti o per eventuali perdite derivanti da campagne di phishing, accessi non