In questo articolo Indice dei contenuti 2 sezioni
Una nuova campagna di malware sta girando via posta elettronica con un travestimento tanto semplice quanto efficace, quello dell’email amichevole spedita per sbaglio alla persona sbagliata. Il messaggio non chiede nulla, non minaccia, non promette rimborsi o pacchi in giacenza. Si limita a raccontare una giornata storta, con un tono confidenziale, e ad allegare due file che sembrano innocui documenti PDF. Dentro quegli allegati, però, c’è il codice malevolo.
Il meccanismo punta tutto sulla curiosità. Un doppio clic davanti al computer, un tocco sullo schermo dello smartphone, e l’aggressore ottiene una porta d’ingresso nel dispositivo. Da lì in poi il copione è quello noto, con la raccolta di dati personali, credenziali e informazioni sensibili, spesso senza che la vittima si accorga di nulla nell’immediato. Il tempo necessario per compromettere un sistema è brevissimo, e il furto d’identità diventa una conseguenza concreta.
Il testo dell’email che nasconde il malware
La parte interessante di questa campagna malevola è proprio il contenuto del messaggio. Non c’è nessun linguaggio da ufficio, nessuna fattura, nessun corriere. C’è un tale che scrive a un amico e gli confida una specie di piccolo sfogo esistenziale, con un attacco che recita “Ciao Sam”. E siccome il destinatario, quasi sempre, non si chiama Sam, scatta la sensazione dell’errore di invio.
Il corpo del testo suona più o meno così: “Hai presente quando prendi in mano il telefono solo per guardare le notifiche, anche se sai già che non c’è niente? Sì, sono proprio io in questo momento. Lo schermo si è illuminato, ho fatto scorrere verso il basso ed erano solo le solite vecchie cose di ore fa. Una mezza delusione, onestamente. È una di quelle strane abitudini che non riesco proprio a togliermi. Comunque, volevo solo salutarti mentre mi trovo in questo stato mentale di leggero tedio. Spero che la tua giornata stia andando meglio del mio controllo notifiche”. In chiusura, la firma automatica “Inviato da Outlook per iOS”, quel dettaglio che rende tutto più credibile.
Nessun link sospetto, nessuna richiesta di password. Solo due allegati PDF appoggiati lì, apparentemente dimenticati.
Il disclaimer finale è la vera trappola
Il colpo da maestro arriva in coda al messaggio, con il classico avviso legale che si legge in fondo a tante email aziendali: “Questo messaggio può contenere informazioni riservate, proprietarie, protette da segreto professionale e/o private. Se non sei il destinatario designato, sei pregato di informare il mittente e di eliminare il messaggio e gli allegati”.
È lì che la truffa informatica trova la sua leva psicologica. La parola “riservate” accende immediatamente la voglia di dare un’occhiata prima di cancellare tutto. E l’invito a informare il mittente spinge una fetta di utenti a rispondere, magari per gentilezza, spiegando che c’è stato un errore. Entrambe le strade portano allo stesso risultato, perché aprire l’allegato significa eseguire il virus, mentre rispondere conferma ai cybercriminali che l’indirizzo è attivo e presidiato da una persona reale, quindi rivendibile e riutilizzabile per attacchi successivi.
Il salto di qualità rispetto alle vecchie campagne di phishing sta proprio qui. Niente italiano sgangherato, niente loghi contraffatti di banche o corrieri, nessuna urgenza artificiale del tipo “il conto sta per essere bloccato”. Solo un messaggio umano, banale, quasi noioso, che non sembra volere niente da chi lo riceve. Ed è esattamente questo a farlo passare sotto i radar del sospetto, oltre che spesso sotto quelli dei filtri antispam.
