“Hai ricevuto un pacco da Aranigame”, ma è solo un caso di Phishing (anomalo)

“Hai ricevuto un pacco da Aranigame”, clicca qui, recita una catena di S.Antonio inviataci.

Questa storia comincia come ogni caso di Phishing, ma la cosa bizzarra è l’obiettivo del Phishing stesso.

Infatti ovviamente “un pacco da Aranigame” è un caso di Phishing, il cui oggetto però è diverso dal solito. Ovvero il grottesco tentativo di ottenere vantaggi dai programmi di “referral” dei giochi.

Quelli che forniscono bonus e vantaggi a chi pubblicizza un determinato gioco.

Cosa è il Phishing in generale

Cosa sia il Phishing l’abbiamo detto più volte, brevemente per non ripeterci lo definiremo “ingegneria sociale” nella sua forma più pura. Avete presente la gag di Totò che si finge “L’Ingegner Trevi, proprietario dell’omonima fontana” per vendere il famoso monumento a un turista italoamericano?

Avete presente le truffe ormai quasi settimanali della persona con pochi scrupoli che si finge avvocato, agente di polizia o altra persona di autorità estorcendo ad anziani soldi per le spese legali di un nipote che dichiarano coinvolto in un incidente gravissimo o per bollette delle utenze gas e luce?

Il Phishing solitamente è la stessa cosa. Clicchi su un link mandato da qualcuno che finge di essere un soggetto di autorità o con reputazione, e questo ti chiederà di fornire soldi o dati sensibili con cui fare soldi (carte di identità, dati personali…).

“Hai ricevuto un pacco da Aranigame”, ma è solo un caso di Phishing (anomalo)

Il post che ci è stato segnalato esattamente ieri notte consta di una sola riga

Non siamo riusciti a consegnare un pacco oggi. Si prega di visitare: http://aranigame.com/box/?[redacted]

All’inizio dobbiamo dire siamo rimasti confusi. Aprendo il link appare solo il trailer di un videogame, Aranì.

Ma possiamo escludere che i produttori di Aranì c’entrino con la cosa.

Parlandone con Dario Fadda, ricercatore ed esperto di Cyber Security abbiamo confermato la nostra iniziale intuizione.

Da qualche parte in Italia abbiamo un utente (speriamo un ragazzino: sarebbe ben grave se fosse un adulto), accanito giocatore, che conosce il funzionamento dei programmi di Referral. Pubblicizzi un gioco, ottieni vantaggi nel gioco (o esclusive, anteprime, eccetera).

I programmi di referral funzionano come per ogni altra applicazione che ne ha: generi un link di invito, mandi il link di invito agli amici, ogni volta che rispondono accumuli punti.

Ma come puoi fare in modo di essere certo di accumulare un gran numero di punti? Puoi iscriverti a community legati al gioco tale e all’applicazione, dove la legge della domanda e dell’offerta farà in modo che se pubblichi un link di invito troverai giocatori disponibili a essere invitati.

O puoi creare una catena virale di Phishing. Come per il Phishing “ordinario” contando sul fatto che chiunque al mondo ha almeno un pacco in attesa da un venditore in e-Commerce, ma al contrario del Phishing ordinario, anziché provvedere a denunciare e bloccare l’estorsione della carta di credito, l’utente scrollerà le spalle dopo aver visto trailer o pubblicità di un gioco che non gli importa.

Una strategia decisamente furbetta quella del “pacco da Aranigame”, ma che alla fine danneggia sia gli autori del gioco, che anziché ottenere pubblicità vengono colpiti dal sospetto di chi poi contatta i servizi di fact checking, che l’ecosistema virtuale generale, funestato dalle fake news.