11 giu 2020

E’ vera questa email? Qualche suggerimento per difendersi daI tentativi di phishing

Tutti noi almeno una volta nella vita (o più facilmente una volta al mese) ci siamo interrogati sulla veridicità di una email ricevuta nella nostra posta elettronica. Sarà vera questa mail? Sarà un virus o qualcuno che vuole truffarmi?

Queste sono domande frequenti e più che lecite. Negli ultimi periodi sono sempre maggiori i tentativi di phishing effettuati online. A volte i truffatori hanno davvero il mal gusto di approfittare di situazioni delicate, proprio come quella attuale del Covid-19.

Ho ricevuto questa email, è una truffa?

Sono Marco e in KUMBE, tra le altre, mi occupo di gestione della posta elettronica e una delle domande come quella che hai appena letto. Capire se una mail ricevuta è una truffa non è sempre un gioco da ragazzi, infatti, quasi sempre la risposta è:" sì, si tratta di phishing!

Per Phising si intende un tipo di truffa effettuata su Internet attraverso la quale un malintenzionato cerca di ingannare la vittima convincendola a fornire informazioni personali, dati finanziari o codici di accesso, fingendosi un ente affidabile in una comunicazione digitale. [Fonte Wikipedia]

L’obiettivo di chi ci invia questi messaggi è, infatti, quello di archiviare i nostri codici di accesso per raccogliere dati e informazioni su di noi, ma come fanno a raccogliere questi dati? I messaggi di phishing normalmente invitano a cliccare su qualche link o bottone contenuto nel messaggio. Così facendo veniamo dirottati su di un sito web preparato ad arte, un clone di un sito con anche logo e intestazioni copiate dal sito ufficiale.

Esempio tentativo di phishing

Prendiamo ad esempio il sito web di una banca. È solito ricevere email ufficiali dalla nostra banca, relativa gli estratto conto disponibili, piuttosto che novità e così via. La differenza principale, che ci deve far allarmare subito, è la richiesta di inserire la nostra password direttamente e cliccando su di un link contenuto nel corpo della mail ricevuta. In questo modo la consegnamo direttamente ai malintenzionati. Spesso la motivazione che invita a collegarsi al sito è poco credibile e contiene errori grammaticali grossolani, forse volutamente perché preferiscono pescare pesci meno smaliziati che possono dare meno problemi legali. Altre volte i contenuti sono scritti meglio e più convincenti: sarà veramente del mio provider questo messaggio che scrive che il dominio è in scadenza e di accedere all’area riservata per rinnovarlo?

Sono tanti i dettagli che ci possono far intuire che probabilmente stiamo per essere truffati, per prima cosa è bene non cliccare mai su link e bottoni interni alle mail se si hanno dei dubbi, anche minimi.

In più ti elenco altri esempi che ti possono aiutare ad individuare mail di malintenzionati:

Se il mittente è inaspettato, per esempio una banca con cui non si hanno rapporti, magari il messaggio contiene caratteri “strani” di solito utilizzati per eludere alcuni controlli, allora conviene ignorare il messaggio senza farsi incuriosire dal contenuto: non aprirlo nemmeno perché anche la sola apertura in un messaggio in generale può comportare rischi, soprattutto se non si hanno antivirus e sistema operativo aggiornati.
Se invece si apre il messaggio e contiene link o bottoni per accedere a pagine di login, anche va ignorato normalmente. Per conferma invece di cliccare sui link/bottoni provare a posizionarsi con il mouse sopra il link e normalmente nella barra di stato in fondo alla finestra del messaggio dovrebbe comparire l’indirizzo vero a cui rimanda il link/bottone.

Se per esempio il messaggio contiene un link “https://www.miabanca.it” o un bottone “Accedi al tuo conto online” ma posizionandosi sopra il link/bottone nella barra di stato si osserva che punta a qualcosa di diverso, per esempio http://go.attaccatutto.it/20245413567348408/ allora quasi sicuramente si tratta di un messaggio malevolo. Per accedere al proprio conto sempre meglio digitare l’indirizzo internet oppure utilizzare un preferito salvato nel browser, non cliccare su link contenuti in una email a meno che non si sia assolutamente certi dell’autenticità del messaggio.
Notare anche che quando gli indirizzi iniziano con https:// invece di http:// (la S sta per Sicuro) allora per funzionare senza segnalare errori all’utente richiedono che il sito sia certificato e i malintenzionati normalmente non lo fanno.

Nell’esempio precedente miabanca/attaccatutto si vede che il link vero è in http nascosto dietro a quello finto “https://www.miabanca.it” che è solo un testo qualunque che maschera il vero indirizzo http://go.attaccatutto.it/....
In generale non cliccare sui link contenuti nei messaggi se non si è assolutamente certi dell’autenticità del contenuto perché il sito Internet a cui si accede potrebbe sfruttare vulnerabilità del proprio computer per installare software maligno.

I suggerimenti potrebbero essere molti altri ma già questi penso che siano sufficienti ad identificare i casi dubbi che mi sono stati segnalati.

Come evitare di essere truffati online e tramite email

Per un utile e opportuno approfondimento su questi temi consiglio di visitare la sezione Notizie del sito web della Polizia Postale e delle Comunicazioni che riporta tantissimi casi reali. In questi giorni per esempio sono in corso attacchi agli Istituti Bancari anche basati su SMS (SMishing) e spiegano come riconoscerli e prevenirli.

Altri esempi riportati spiegano più di tante parole come funzionano questi attacchi e i meccanismi su cui fanno leva:

i falsi buoni spesa di supermercati
vendita di mascherine
accesso ad un finto sito amazon per evitare il blocco dell’account
ritiro rifiuti a pagamento per i positivi al Covid
finto sito INPS che scarica una app sul cellulare e ne prende il controllo
ricatti per evitare la divulgazione di informazioni relative all’accesso a siti pornografici
uova di Pasqua regalate se si inseriscono i propri dati personali spesso accompagnati dalla “solita password” che non dovremmo utilizzare su più di un sito ma che è scomodo non farlo...

Spero che questo articolo ti aiuti a non cadere nel tranello del tentativo di phishing. Se hai bisogno di altre informazioni o consulenze contattaci in totale libertà e scrivici una mail!

CONTATTA ORA LA TRIBU' ISCRIVITI ALLA NEWSLETTER