In questo articolo Indice dei contenuti 2 sezioni
Due nuove campagne di phishing e smishing sono finite nel mirino del CSIRT, la squadra che si occupa della risposta agli incidenti informatici all’interno dell’Agenzia per la Cybersicurezza Nazionale. Bersagli diversi, stesso obiettivo di fondo: mettere le mani su dati che valgono soldi. Nel primo caso si punta alle informazioni aziendali, sfruttando un finto Registro Imprese. Nel secondo si va dritti al portafoglio degli utenti privati, con il classico messaggio del pacco che non è stato consegnato. Il trucco non è nuovo, ma continua a funzionare perché gioca su due leve semplicissime, l’urgenza e l’abitudine. Chi riceve una comunicazione che sembra arrivare da un ente ufficiale tende a reagire in fretta, senza guardare troppo per il sottile. Ed è esattamente lì che i cybercriminali costruiscono la trappola.
La finta email del Registro Imprese
La campagna di phishing parte con un’email che si presenta come proveniente dal Registro Imprese e dalle Camere di Commercio. Un dettaglio aiuta parecchio a smascherarla: il testo non è scritto in un italiano corretto, con costruzioni traballanti e qualche scivolone grammaticale che difficilmente si troverebbe in una comunicazione istituzionale vera. Il messaggio insiste sulla necessità di inserire o aggiornare con urgenza i dati aziendali su un portale, ovviamente fasullo.
Chi clicca sul link finisce su una pagina costruita con nome e loghi del Registro Imprese e delle Camere di Commercio, praticamente identica all’originale a un primo sguardo. Qui viene chiesto di compilare i campi con le informazioni dell’azienda. E qui arriva la parte più insidiosa: una volta completata la procedura, la vittima viene reindirizzata al sito legittimo. Un passaggio pensato apposta per non destare sospetti, perché l’utente vede la pagina autentica e pensa che tutto sia andato liscio. I consigli del CSIRT vanno in una direzione sola. Mai cliccare sui link contenuti nelle email, meglio digitare l’indirizzo del sito direttamente nel browser. E prima di inserire qualsiasi dato, vale la pena dare un’occhiata attenta al dominio che compare nella barra degli indirizzi, perché spesso è proprio lì che si nota qualcosa fuori posto.
Lo smishing del pacco non consegnato
La seconda campagna cambia canale e passa agli SMS, da cui il termine smishing. Il messaggio arriva a nome di un presunto corriere BRT e comunica che la consegna di un pacco non è andata a buon fine. Per organizzare un nuovo tentativo, spiega il testo, basta seguire il link indicato. La pagina che si apre chiede una serie di informazioni personali: nome, cognome, indirizzo di consegna, CAP, città, provincia, indirizzo email e numero di telefono. Fin qui nulla che sembri fuori dall’ordinario per chi aspetta davvero un pacco. Poi però compare la richiesta di pagamento, una tariffa di servizio da 1,50 euro per la riconsegna. Cifra bassa, e non è un caso: importi piccoli fanno abbassare la guardia molto più di quanto farebbe una richiesta da decine di euro.
A quel punto vengono chiesti i dati della carta di pagamento, ovvero nome del titolare, numero, data di scadenza e codice di sicurezza CVV o CVC. L’ultimo passaggio è il più delicato, perché la pagina richiede anche il codice OTP ricevuto via SMS sul numero indicato in precedenza. Con quello in mano, i criminali hanno tutto il necessario per autorizzare transazioni a nome della vittima. Tutte le informazioni raccolte finiscono poi nelle mani dei cybercriminali, pronte per essere riutilizzate in altre attività illecite o rivendute. La raccomandazione, anche in questo caso, resta la stessa. Non accedere mai ai siti passando dai link contenuti negli SMS e non inserire i dati di pagamento su pagine web di cui non sia stata verificata con certezza l’autenticità. Se arriva un avviso di consegna fallita, il modo più sicuro per controllare è aprire l’app o il sito ufficiale del corriere e cercare lì la spedizione.
