Anche se non tutti gli attacchi informatici hanno successo, quelli che vanno a buon fine di solito hanno conseguenze devastanti sia per le aziende che per i loro clienti. Secondo il report State of the Phish 2022 di Proofpoint, a livello globale poco più della metà (54%) degli attacchi di phishing riusciti si conclude con una violazione dei dati di un’azienda e/o dei suoi clienti. Il 48% invece sfocia nella violazione di account/credenziali di accesso. Nel complesso, l'83% delle aziende ammette di avere subito un attacco di phishing andato a buon fine nel 2021.

Inoltre, il 46% degli attacchi di phishing andati a buon fine lo scorso anno ha avuto come conseguenza un’infezione ransomware (gli attacchi ransomware iniziati con email malevole occupano il terzo posto nella lista e hanno colpito il 78% delle imprese).

. Altre conseguenze comuni degli attacchi di phishing sono state la perdita di dati e proprietà intellettuale (44%), una infezione da malware diverso dal ransomware (27%), danni alla reputazione (24%), interruzione della rete diffusa e tempi di inattività (22%), minacce persistenti avanzate (18%), perdite finanziarie (17%), sfruttamento di exploit zero-day (15%) e sanzioni pecuniarie o multe normative (11%).

I dati sono frutto di un sondaggio condotto interpellando 600 professionisti della sicurezza IT di Australia, Francia, Germania, Giappone, Spagna, Regno Unito e Stati Uniti. La stragrande maggioranza (86%) delle aziende in cui gli intervistati erano impiegati è stata coinvolta in attacchi di phishing di massa, in cui i criminali informatici inviano email di phishing generiche a un vasto numero di obiettivi nella speranza che almeno alcuni abbocchino.

Il secondo tipo più comune di attacchi di phishing (79%) che le imprese hanno dovuto affrontare è stato lo spear phishing, ossia un attacco mirato in cui i cyber criminali individuano la propria vittima in anticipo e ne sfruttano le informazioni personali per rendere il messaggio più credibile.

Una tecnica trasversale impiegata nella stragrande maggioranza delle mail di phishing è stato il social engineering, che sfrutta fattori umani per spingere la vittima a fare clic su un link dannoso o scaricare un file infetto. Non sono mancati anche molti episodi di Business Email Compromise (BEC), riferiti dal 77% delle aziende.

La conclusione di questi numeri è piuttosto ovvia: la necessità di investire nella formazione dei dipendenti, rendendoli la prima linea di difesa contro il cybercrime mediante lo sviluppo delle capacità di riconoscere i tentativi di attacco informatico e delle tecniche per arginarli.