In questo articolo Indice dei contenuti 2 sezioni
Una nuova campagna di phishing punta dritta al portafoglio, o meglio, alla paura di non averne abbastanza. L’idea di fondo è tanto semplice quanto efficace: sfruttare le difficoltà economiche di chi legge, trasformare l’ansia finanziaria in leva psicologica e spingere la vittima a fare una cosa che, apparentemente, sembra la più innocua del mondo. Alzare la cornetta e chiamare un numero di telefono. Peccato che quel numero sia sotto il controllo diretto dei cyber criminali.
Qui sta il punto interessante, perché il meccanismo ribalta lo schema classico a cui ormai molti si sono abituati. Niente link sospetti da cliccare in fretta, niente allegati infetti che fanno scattare l’antivirus. Solo un messaggio che parla di soldi, di scadenze, di problemi da risolvere e un recapito telefonico da contattare. È l’ingegneria sociale nella sua forma più pulita, quella che non ha bisogno di codice malevolo perché il vero exploit è la testa di chi riceve il messaggio.
Perché l’ansia economica funziona così bene come esca
Chi progetta queste campagne sa benissimo che le difficoltà economiche abbassano le difese. Una persona preoccupata per una fattura, per un pagamento non andato a buon fine o per una presunta irregolarità sul proprio conto tende a reagire di pancia, non di testa. E la fretta, si sa, è la migliore alleata di chi attacca.
Il passaggio al canale telefonico aggiunge poi un livello di credibilità che il semplice testo scritto non riesce a dare. Sentire una voce dall’altra parte, magari cortese e professionale, produce un senso di rassicurazione che le mail difficilmente ottengono. È in quel momento che l’attacco entra nella fase operativa, con l’interlocutore che guida la conversazione, chiede conferme, raccoglie dati, a volte suggerisce di installare qualcosa o di comunicare un codice ricevuto via messaggio. C’è anche un vantaggio tecnico non trascurabile per i criminali. Un messaggio privo di collegamenti malevoli e privo di file allegati ha molte più probabilità di superare i filtri automatici della posta elettronica. Nessun dominio da bloccare, nessuna firma sospetta da intercettare. Solo testo e un numero di telefono, che agli occhi di un sistema di sicurezza appare come informazione perfettamente legittima.
Come difendersi quando l’attacco passa dal telefono
La prima regola è la più banale e insieme la più disattesa: mai usare i recapiti indicati nel messaggio sospetto. Se una comunicazione parla di conti, rate, rimborsi o pagamenti, il numero da comporre è quello ufficiale, recuperato dal sito dell’ente o dell’azienda oppure dai documenti già in proprio possesso. Questo semplice gesto smonta l’intera truffa telefonica alla radice. Poi c’è la gestione della chiamata in sé. Nessun operatore serio chiede credenziali complete, codici di autenticazione a due fattori, PIN o l’installazione di software di controllo remoto. Se la conversazione prende quella piega, chiudere è l’unica risposta sensata. Vale anche prendersi tempo, riagganciare e verificare con calma, perché la pressione a decidere subito è quasi sempre un segnale di allarme.
Sul fronte aziendale, la formazione del personale resta la difesa più concreta. Le simulazioni interne, le procedure chiare su chi può richiedere cosa e per quali canali, l’abitudine a segnalare senza timore di fare brutta figura riducono in modo sensibile la superficie di rischio. Perché un filtro antispam può fermare un allegato, ma non può fermare una persona convinta di stare parlando con il proprio istituto di credito.
Verificare sempre l’identità dell’interlocutore, controllare la coerenza tra quanto raccontato al telefono e quanto risulta dai canali ufficiali, diffidare di qualsiasi richiesta di riservatezza assoluta: sono i comportamenti che rendono inefficace anche la campagna di phishing costruita meglio.
