Sicurezza in rete: attenzione a queste 4 trappole di phishing

Meglio prevenire che curare: sia offline che online. Tuttavia, spesso il guaio avviene prima ancora che ci sirenda conto. Alex, ad esempio, voleva usufruire di un’offerta on-line a tempo limitato; Theo la scorsa settimana ha inviato un’e-mail a quello che pensava fosse il team HR della sua azienda; Nina ha quasi perso la pazienza con un’app che l’avrebbe dovuta reindirizzare a una galleria immagini, ma a quanto pare era difettosa. Anche Laura, che siede al tavolo insieme agli altri e che lo scorso fine settimana era entusiasta per aver vinto un iPhone, ora si lamenta a gran voce per la lunga attesa e per l’importo che ha dovuto «pagare in più» per ricevere il suo premio. Allora, che cosa hanno in comune Alex, Theo, Nina e Laura? Tutti loro sono vittime di attacchi di phishing senza averne il minimo sospetto.

Ma come è possibile che ci si caschi ancora? Un’offerta simile non dovrebbe suscitare il minimo sospetto? L’opera di sensibilizzazione in corso in merito alla criminalità informatica non è sufficiente? La risposta è secca e coincisa: purtroppo no, come confermato anche dallo stesso Norberto Ferreira. In qualità di Team Lead Security Operations presso Sunrise, Norberto Ferreira ritiene che una o due giornate annuali di Cybersecurity Awareness all’interno di un’azienda siano utili e opportune.

Norberto Ferreira è l’esperto presso Sunrise di pericoli nella rete: lavora per l’azienda da circa 17 anni e si dedica con passione alla sua attività. Per lui non esiste una giornata lavorativa tipica, dal momento che nel Security Management nessuna giornata è uguale all’altra, e lui e il suo team si trovano costantemente di fronte a nuove sfide da affrontare.

Tra i compiti principali del team di Norberto Ferreira figurano l’autorizzazione di upload e download interni all’azienda, la Customer Internet Security e la comunicazione ai clienti in merito alla sicurezza nella rete. Torniamo dunque alle trappole di phishing che hanno colpito Nina, Alex e co.

Anche l’SMS di un presunto familiare può rivelarsi un pericoloso rischio per la sicurezza. Ma molti utenti non lo sanno. Ferreira menziona come esempio il software dannoso Flubot, diffuso via SMS, che lo scorso giugno ha messo in subbuglio la Svizzera.

Una modalità moto diffusa è l’invio di messaggi contenenti link ad un’app in cui si informa della presenza di «messaggi vocali» non ascoltati o della «consegna di un pacco non andata a buon fine». In realtà si tratta in questo caso di un’app di tracciamento con la quale vengono rubati password e dati sensibili. Ed ecco la truffa: non appena il software dannoso si installa sul cellulare, questo sarà in grado non solo di accedere ai dati di contatto, ma anche di inviare all’utente altri messaggi senza dare nell’occhio. Diverse migliaia di utenti di cellulari sono stati vittime di questo trucchetto; inoltre, se si considerano i casi di frode non denunciati, il numero di malcapitati potrebbe essere molto più elevato.

In tale contesto, diventa chiaro che la galleria di immagini a cui Nina voleva accedere tramite un’app fittizia può creare molti più problemi di quanto inizialmente previsto: ad esempio, quando il download dell’app, come in questo caso, si rivela un tentativo di phishing, in cui i truffatori recuperano i suoi dati personali e li utilizzano per accedere al suo conto bancario.

Fortunatamente Sunrise ha identificato questo rischio e ha messo a punto il suo nuovo filtro SMS.

Questa funzione permette di rilevare e bloccare immediatamente un'ondata di phishing generatasi all’estero: l’URL viene bloccato e l’SMS non arriva più in Svizzera. Nina non riceverebbe quindi alcun link per il download dell’app dannosa e neanche un SMS. Anche se l’SMS venisse inviato dalla Svizzera, grazie al filtro SMS di Sunrise, Nina sarebbe al sicuro da una truffa di questo tipo.

Gli attacchi informatici diventano sempre più sofisticati e gli attacchi mirati sono sempre più frequenti. Ma anche i cybercriminali che agiscono secondo il principio di casualità non finiscono necessariamente a mani vuote.

Alcune e-mail di phishing vengono ancora inviate in modo casuale a migliaia di potenziali vittime. I cybercriminali speculano sulla leggerezza o sulla disattenzione delle loro vittime. Purtroppo, i phisher non si tradiscono più necessariamente con errori di ortografia, inversioni di lettere o con l’uso di indirizzi e-mail che appaiono legittimi solo a un primo, rapido sguardo. Pertanto, occorre prestare la massima attenzione e non abbassare mai la guardia.

Se un’e-mail di questo tipo raggiunge casualmente un destinatario nel breve periodo, i dati personali vengono rapidamente trasferiti. È ciò che è successo a Theo: quando ha ricevuto un’e-mail dal team HR, inizialmente non ci ha pensato più di tanto. Dopotutto aveva appena traslocato e l’invito a inserire i suoi dati personali in un modulo online aperto tramite un link nell’e-mail non gli appariva sospetto. Tuttavia, alla fine del mese non ha ricevuto lo stipendio dovuto e, insospettito, ha contattato il team HR della sua azienda. Nel team HR nessuno sapeva nulla al riguardo: ovviamente anche lui era caduto in una trappola.

Ogni giorno migliaia di persone sono vittime di una truffa tramite annunci pubblicitari. Se un’offerta in Internet è troppo allettante per essere vera, si dovrebbe subito dedurre che si tratta di una truffa.

Le offerte limitate nel tempo spingono gli acquirenti a fare acquisti rischiosi senza esitazioni. Le conseguenze sono amarissime: invece di ricevere degli auricolari da urlo a un «prezzo pazzesco», Alex, a caccia di occasioni in rete, riceve un addebito di 300 franchi e un monito a fare più attenzione in futuro.

La gioia di vincere un concorso può dare molte soddisfazioni, ma purtroppo non sempre è così: invece di ricevere il suo premio, il nuovo iPhone, a Laura veniva chiesto di versare un franco per riscuotere la vincita.

Secondo Norberto Ferreira, questo tipo di frode ha registrato una ripresa due o tre anni fa. Solitamente, in un caso del genere, i criminali si presentano come un’azienda che organizza una concorso; a volte imitano anche i profili dei social media e fanno leva sulla disattenzione dei partecipanti al concorso. Non di rado, i presunti vincitori si mettono in contatto con l’azienda a nome della quale i criminali hanno bandito il concorso e solo allora si rendono conto di essere andati incontro a una truffa.

L’importo di un franco viene quindi generalmente perso, ma il danno è naturalmente molto più esteso: solitamente con questa operazione i truffatori sottraggono i dati della carta di credito. Come se ciò non fosse abbastanza, partecipando al concorso spesso si sottoscrive automaticamente un abbonamento per servizi SMS indesiderati.

SUGGERIMENTO: se sei stato vittima di una frode di questo tipo, rivolgiti all’istituto finanziario che ha effettuato la transazione per ricevere assistenza.

Ulteriori consigli contro il phishing: https://community.sunrise.ch/blog/24593-7-consigli-contro-gli-attacchi-di-phishing

Informazioni generali su phishing, vishing e smishing:

https://www.ncsc.admin.ch/ncsc/it/home/cyberbedrohungen/phishing.html

Episodi recenti:

https://www.ncsc.admin.ch/ncsc/it/home/aktuell/aktuelle-vorfaelle.html