ATTENZIONE: ennesima campagna di phishing Cartasì in corso - News, alert e approfondimenti dal mondo dell'informatica - Studio Nassisi Udine, cell. 347.4795351

Vai ai contenuti

Menu principale:

ATTENZIONE: ennesima campagna di phishing Cartasì in corso

Pubblicato da in Alert ·
E' di queste ore la notizia dell'ennesima campagna di phishing che sta interessando alcuni Paesi europei, tra cui l'Italia. Il phishing, come ho avuto modo di sottolineare più volte in queste pagine, è un tentativo di truffa posto in atto da criminali informatici attraverso internet allo scopo di carpire, con l'inganno, dati personali e finanziari delle persone che malauguratamente dovessere cadere in questo tranello.

Dal punto di vista pratico, il tentativo di frode viene perpetrato tramite email inviate in modo massivo attraverso il servizio di posta elettronica. Questo tipo di messaggi sembrano provenire da enti noti come Poste Italiane o banche molto conosciute delle quali spesso riportano loghi e segni distintivi. Il messaggio è confezionato sempre con toni allarmanti per cogliere di sorpresa l'utente meno esperto e indurlo subito ad eseguire le azioni richieste, senza riflettere. Lo scopo di queste frodi è quello di indurre il destinatario del messaggio a fornire dati personali, bancari, finanziari e codici di accesso ai propri conti correnti online, per poi sottrarre tutto il denaro possibile o effettuare acquisti a spese del malcapitato.

A questo link riporto il contenuto di una delle tante email di questo tipo che sta circolando in rete ed alle quali ti invito a prestare la massima attenzione (per la tua sicurezza ho eliminato tutti i link dannosi presenti al suo interno).

Come puoi notare, il messaggio sembra provenire effettivamente da Cartasì e avvisa l'utente di (fantomatici) ripetuti tentativi di accesso non autorizzati al proprio conto. A scopo precauzionale, si legge, l'azienda che gestisce la carta di credito dell'utente ne ha limitato la funzionalità, impedendone l'utilizzo. Ed è qui parte la truffa vera e propria: viene richiesto all'utente di inserire in una tabella tutti i propri dati personali e finanziari riguardanti la carta per confermare la propria identità e "sbloccare" così la carta in questione. Compilando il modulo richiesto, di fatto, consegnerò nelle mani di questi criminali le chiavi di accesso al mio conto corrente, carta di credito e quant'altro.

Questo genere di frodi si basa su tecniche di ingegneria sociale e puntano a creare panico nell'utente in modo da fargli eseguire le operazioni richieste d'impulso, senza pensarci su.



Come possiamo difenderci dal phishing?
Nel passato era relativamente semplice individuare un tentativo di phishing poichè uno degli elementi che saltava subito all'occhio era l'italiano stentato con cui tali messaggi venivano scritti. Spesso le frasi utilizzate erano talmente sgrammaticate da mettere in guardia anche l'utente meno esperto. Questo accadeva perchè la maggior parte di questi attacchi venivano sferrati da Paesi stranieri e da persone che non avevano una buona conoscenza della nostra lingua.

Oggi la situazione è molto cambiata poichè gli autori di queste frodi sono diventati "bravi" nella stesura di questi testi per cui la "qualità" dell'italiano utilizzato adesso è decisamente migliorata rispetto a pochi anni fa e questo può indurre il destinatario del messaggio ad abbassare la guardia.

A mio parere, pertanto, gli elementi su cui oggi è necessario soffermarci a riflettere per riconoscere per tempo un messaggio di phishing sono altri. Ti assicuro che non serve essere ingegneri informatici per riuscirci!

Riporto di seguito alcuni suggerimenti che spero possano esserti di aiuto per riconoscere un tentativo di phishing:
  1. Utilizza il "buon senso". La prima cosa da fare è non lasciarti prendere dal panico e non agire d'impulso, indipendentemente da quanto allarmistico sia il tono del messaggio che hai ricevuto. Considera che, solitamente, più allarmistico è il contenuto del messaggio, maggiore è il rischio truffa a cui puoi trovarti esposto.
  2. Chiediti se effettivamente possiedi lo strumento di pagamento indicato nel messaggio (nell'esempio, una carta di credito Cartasì). Sembra banale ma spesso l'utente inesperto, in preda al panico, non si ferma neanche un secondo a riflettere su questo aspetto. I criminali informatici, autori di queste frodi, conoscono perfettamente questo tipo di reazione psicologica e cercano di sfruttarla a loro vantaggio. Ovviamente loro non possono sapere se tu possiedi o meno una Cartasì! Semplicemente ci provano! Sanno che inviando 10.000 email ad altrettanti utenti sicuramente, nel mucchio, ne troveranno qualcuno che ha veramente una Cartasì e che, potenzialmente, potrebbe cadere nella trappola.
  3. Analizza con calma l'intestazione del messaggio e l'indirizzo email del mittente. Magari leggendo attentamente scoprirai che il dominio dell'indirizzo email usato (ossia le parole che trovi scritte dopo il simbolo della @) è simile ma non identico a quello ufficiale della tua banca. In ogni caso, tieni presente che falsificare il mittente di una email è un'operazione tutto sommato semplice da realizzare e, quindi, anche se l'indirizzo mittente sembra essere proprio quello della tua banca, non lasciarti ingannare.
  4. Presta attenzione alla formula di apertura del messaggio. Solitamente è sempre generica, del tipo "Gentile cliente" o similare. Questo è un importante campanello di allarme che deve farti pensare alla possibilità che si tratti di una email preconfezionata, standard, che viene inviata a più utenti contemporaneamente. L'autore del messaggio non può conoscere il tuo nome (o comunque non potrebbe mai personalizzare ogni singolo messaggio che invia) e, quindi, deve utilizzare necessariamente una formula di apertura generica. Prova a pensare per un momento alle email vere che ricevi dalla tua banca: quasi certamente, quando si tratta di comunicazioni personali, la formula di apertura è sempre specifica, personalizzata, del tipo "Gentile Francesco Nassisi". Questo dettaglio (che dettaglio in realtà non è), aumenta moltissimo le possibilità che un messaggio con questa formula di apertura sia autentico.
  5. Controlla l'indirizzo di destinazione. Queste email vengono sempre inviate a diverse migliaia di persone contemporaneamente e, solitamente, i criminali informatici si servono di "liste di distribuzione", contenenti gli indirizzi degli utenti. Spesso il campo del destinatario dei loro messaggi contiene proprio il nome (di solito casuale) di tali liste o appare addirittura vuoto. In entrambi i casi, nel campo destinatario, non trovi scritto il tuo indirizzo email il che vuol dire che il messaggio non è stato inviato specificatamente a te. E' un altro campanello di allarme da considerare!
  6. Tieni sempre presente che nessuna banca o istituto emittente carte di credito ti chiederà mai di inviare codici personali o dati di qualsiasi tipo via email. Prima di tutto perchè i tuoi dati li ha già, secondo perchè non è autorizzata a farlo! I codici personali, compresi PIN, password di accesso al conto corrente, password dispositive sono strettamente personali e non vanno mai cedute a terzi, banca compresa!

Spero di essere riuscito a fornirti degli utili strumenti per riconoscere un tentativo di phishing. Se pensi che questo articolo possa essere di aiuto anche ai tuoi contatti, condividilo pure sui canali che ritieni più opportuni.

--------------------------------------------------

Impiego molte ore del mio tempo nella stesura di questi articoli che poi pubblico, gratuitamente e a disposizione di tutti, sul mio sito. Con un semplice "Mi piace" su Facebook o un "+1" su Google+ mi darai la possibilità di far conoscere il mio lavoro anche ad altre persone che potrebbero averne bisogno. Se hai trovato interessante questo scritto condividilo sui tuoi social network preferiti o invia il link di questa pagina ai tuoi amici.

A te non costa nulla e per me è motivo di grande soddisfazione!
Ti ringrazio per l'apprezzamento



Studio Nassisi - Copyright 2010-2020. All rights reserved.
Torna ai contenuti | Torna al menu