GUIDA UTILE Attenti al Phishing – bufale.net

Ci segnalano i nostri contatti un tipo di truffa online particolarmente odioso, diffuso e difficile da combattere per chi è meno preparato dal punto di vista elettronico: trattasi del phishing.

Non è una parola difficile, o meglio, non lasciatevi spaventare dalla barriera linguistica: il phishing è una parola semplice per un concetto già noto ai truffatori di mezzo.

Il phishing è il culmine delle truffe mediante social engineering: sostanzialmente il truffatore si finge qualcuno che non è, ovvero si impossessa con l’inganno dei marchi e dei nomi di qualcuno di cui il truffato si fida molto e, dichiarando di agire in suo nome e per suo conto, ne carpisce la fiducia in modo assoluto spingendolo a concedergli l’accesso a dati personali.

Quindi le email di phishing sono l’evoluzione dell’antica (ma ancor vitale) truffa dell’ometto ben vestito che, presentatosi a casa di un anziano con dei falsi biglietti da visita come credenziali, si accredita come un impiegato delle tasse, un avvocato inviato ad annunciare un incidente stradale causato dal nipote oppure un tecnico della luce/gas/telefono mandato a riparare un disservizio e, ottenuto l’accesso alla casa dell’anziano, provvede a farsi lasciare solo in una stanza per derubarlo o impossessarsi di una copia delle chiavi di casa.

Col phishing le chiavi di casa le fornite voi stessi. Eccovi un paio di esempi inviatici dai nostri contatti:

Gentile cliente,

A causa di un aggiornamento, abbiamo dovuto sospendere i pagamenti ‘con la tua carta di credito. Prima che riabilitiamo l’uso della tua carta di credito abbiamo bisogno che ci confermi la tua identità compilando una serie di dati già inseriti nel nostro database al momento della tua registrazione sul portale PostePay.

Ti ricordiamo che non potrai più effettuare dei pagamenti con la tua carta di credito se questa verifica non viene eseguita entro 24 ore dalla sua ricezione.

Per eseguire subito la verifica dei dati, Clicca qui e seguire le istruzioni: https://poste.it/aggiornamento/securelogin/poste.it

Poste Italiane e costantemente impegnata a tutelare i dati dei clienti attraverso l’adozione dei piu moderni sistemi di sicurezza.

Si prega di non rispondere a questo messaggio. Mail inviata a questo indirizzo non puó essere risolta.

Oppure:

Gentile cliente,

Sul Suo LiberoID è impostata la funzionalità di scadenza della password[?]

La informiamo che la Password del suo conto LiberoID scadra’ il 11 gennaio 2017 ore 18.23

Modifica o disattiva la scadenza della password >>

Nel caso di mancata modifica / disattivazione della password, il sistema provvedera’ in automatico al blocco dell’conto Libero ID

Grazie

Staff Libero

La struttura come vedete è sempre la stessa: il truffatore compone una serie di mail, spesso con sistemi automatici (a cui si deve la sintassi sovente incerta, la zoppicante grammatica ed il florilegio di errori lessicali), fingendosi un operatore di un servizio diffuso.

Gettonati sono Poste Italiane, i maggiori gestori di posta elettronica con un servizio gratuito, come Libero.it e gMail, ma spesso vengono usate anche le identità di servizi ed esercenti come Amazon, Equitalia ed i principali corrieri usati per il trasporto e la spedizione di merci.

Il truffatore millanta una motivazione più o meno verosimile per la quale si rende necessario accedere al servizio fornito, ovvero reinserire i dati sensibili (password di indirizzi elettronici, dati della carta di credito, numeri di telefono ed abitazione, dati di fatturazione…) alla fine di evitare un disservizio più o meno grave (blocco delle carte di credito, perdita dell’accesso alla casella di posta elettronica, l’erroneo acquisto di uno o più prodotti o la perdita di un cospicuo buono sconto, il pagamento di una esosa sanzione o spese doganali impreviste, spese per il trasporto di un pacco erroneamente inviato al lettore…), fornendo marchi ed indirizzi Internet apparentemente legati al gestore.

Cliccando sul link fornito in realtà si viene smistati non già sull’indirizzo reale, ma su un fac-simile creato dal truffatore che raccoglie i dati richiesti e glieli inoltra.

Detto fac-simile ha spesso molti punti in comune con le email legittime, ma si distingue per una serie di elementi. Ad esempio, essendo prodotto in massa, si riferirà a voi non già con nome e cognome (dati noti all’esercente o gestore del servizio), ma genericamente come signore o signora, non avendo davvero i vostri dati. Cercherà inoltre di adescarvi usando toni allarmistici e mettendovi fretta: il legittimo gestore di servizio non vi obbligherà mai a fare qualcosa sotto pena di una immediata sanzione con una ristretta data di scadenza.

Il tutto è costruito in modo da costringere l’utente poco accorto ad agire in fretta, senza potersi consultare con persone più esperte.

Il truffatore quindi, senza alcuna fatica e per vostra mano si ritroverà ad avere improvvisamente ogni vostro dato di fatturazione (Nome, Cognome, codice fiscale, domicilio ed indirizzi email), nonché i dati della vostra casella di posta elettronica e della vostra carta di credito, che potrà comodamente usare per acquistare merci ed articoli, lasciandovi la grande seccatura di dover bloccare il conto e cercare di rientrare in possesso delle somme rubate, del vostro account di posta elettronica e di tutti i social ad esso connessi.

Come avrete notato nell’immagine primo esempio, alcuni client di posta elettronica evoluti, come ad esempio Mozilla Thunderbird contengono un primo scudo contro il phishing che vi segnala potenziali mail-truffa con un segnalino rosso “Tentativo di Frode”.

Questo segnalino potrebbe non sempre apparire, specialmente se leggete la posta da webmail o da un client di posta datato.

Avere quindi un client di posta ed un antivirus aggiornati ed affidabili è un buon modo per difendersi dal phishing.

Altro modo è non cliccare mai su un indirizzo web indicato da una mail da voi non richiesta: anche nei casi di dubbio, dovreste limitarvi ad andare, manualmente, sul sito dell’esercente (il quale dovrà usare una pagina protetta: riconoscibile in quanto l’indirizzo che compare nella barra degli indirizzi del browser comincia con ‘‘https://’’ e non con ‘‘http://’’ e nella parte in basso a destra della pagina è presente un lucchetto, garanzia di una corretta trasmissione dei dati “a prova di hacker”) o gestore del servizio e controllare, valutando l’idea di contattare il numero verde del servizio e chiedere di parlare con un operatore per verificare l’invio della mail.

Gli stessi gestori vi diranno cosa fare in caso di Phishing.

Se incautamente avrete fornito i vostri dati, purtroppo, l’unica cosa da fare è provvedere immediatamente al blocco delle carte di credito fornite, nonché a cambiare le password dei servizi di posta elettronica o del portale di riferimento che avrete confermato al truffatore e sporgere denuncia presso la Polizia Postale per i dati sensibili elargiti.