Negli ultimi anni il phishing nel settore assicurativo è cambiato rapidamente, passando da semplici pagine per rubare credenziali a vere operazioni di account takeover in tempo reale. Le compagnie assicurative hanno spinto molto sui portali online per preventivi, rinnovi, gestione sinistri, pagamenti e aggiornamento dati personali.
Questa digitalizzazione migliora la customer experience, ma aumenta anche la superficie di attacco, perché un account assicurativo contiene spesso documenti di identità, dati anagrafici completi, dettagli di polizza, metodi di pagamento e informazioni utili per frodi successive.
Vettore iniziale: annunci sponsorizzati sui motori di ricerca
Una delle evoluzioni più rilevanti riguarda il vettore iniziale. Invece di basarsi su email o SMS, molte campagne usano annunci sponsorizzati sui motori di ricerca. Gli utenti che cercano offerte, confronto prezzi o assicurazione auto economica possono cliccare su inserzioni che sembrano legittime e finire su siti di phishing costruiti per imitare fedelmente brand e flussi reali, inclusi moduli di preventivo e aree clienti.
Per rendere le operazioni più rapide e difficili da bloccare, gli attaccanti ospitano spesso le pagine su servizi cloud e piattaforme legittime come website builder o hosting gratuiti, ruotando domini casuali e infrastrutture usa e getta.
Il salto di qualità: intercettazione OTP e session hijacking
Il vero salto di qualità è il phishing con intercettazione OTP e session hijacking. La pagina malevola non si limita a raccogliere username e password, ma agisce come intermediario live tra vittima e portale reale. Mentre la vittima inserisce i dati, l’attaccante li usa subito per autenticarsi sul sito ufficiale. Quando arriva il codice OTP o una richiesta di verifica, il sito di phishing lo chiede immediatamente alla vittima con un pretesto credibile e lo inoltra in tempo reale prima della scadenza. In questo modo anche la multi factor authentication viene aggirata durante la stessa sessione di navigazione.
Kit moderni e implicazioni per la difesa
Queste campagne si appoggiano a kit di phishing moderni che includono gestione sessioni, pannelli di amministrazione, monitoraggio vittime, workflow di approvazione e canali di esfiltrazione come bot di messaggistica o API verso backend controllati dagli attaccanti.
Per la difesa questo significa che non basta individuare un dominio di phishing dopo la pubblicazione. Serve monitorare abuso del brand negli annunci, nuovi domini simili, pattern di autenticazione anomali e segnali di raccolta OTP in tempo reale, collegando indicatori e infrastrutture per capire come opera l’intera campagna.