Una nuova ondata di email fraudolente sta prendendo di mira gli utenti di Spotify, sfruttando il nome della piattaforma musicale per rubare dati della carta di credito e credenziali di accesso. Il meccanismo è quello classico del phishing: un messaggio che segnala un presunto problema di pagamento e che spinge chi lo riceve a inserire informazioni sensibili. E purtroppo, in almeno un caso, ha già funzionato bene.
Email con il finto marchio Spotify
I truffatori adorano travestirsi da marchi conosciuti. Microsoft, Google, gestori di password, app per i pagamenti, chi più ne ha più ne metta. Stavolta il volto scelto è quello di Spotify. Le email in circolazione arrivano con un oggetto tipo “review billing info” e sostengono che la piattaforma ha riscontrato un problema nell’elaborazione dell’ultimo pagamento. Il tono è quello dell’urgenza: bisogna aggiornare le proprie informazioni, altrimenti l’account rischia di essere disattivato. Il pulsante nel messaggio porta a un sito clonato, dove all’utente viene chiesto prima nome utente e password, poi numero della carta di credito, indirizzo e numero di telefono. Tutto quello che serve, insomma, per fare acquisti fraudolenti. Una vittima ha raccontato di aver visto comparire un addebito sospetto da oltre EUR 528, cioè circa 550 euro, nel giro di pochi minuti dopo aver consegnato i propri dati.
Le email replicano fedelmente la grafica di Spotify, colori e logo compresi, e sembrano provenire da un mittente chiamato MySpotify. Anche il sito fasullo, a un primo sguardo, appare piuttosto convincente. Solo che questa campagna, a differenza di alcuni schemi più sofisticati che sfruttano vulnerabilità per usare domini reali come quelli di Google o PayPal, crolla appena si guarda con un minimo di attenzione. Basta poco. Sia l’indirizzo del mittente sia l’URL del sito non hanno nulla a che vedere con spotify.com o con un qualsiasi sottodominio legittimo. L’oggetto è scritto tutto in minuscolo, e nel corpo del messaggio non c’è alcun dettaglio specifico sull’abbonamento o sull’account della persona. Segnali che, messi insieme, dovrebbero far scattare il campanello d’allarme.
Come difendersi dai finti messaggi di Spotify
Il problema di pagamento è una delle esche più usate in assoluto. La regola d’oro è restare sempre diffidenti verso qualsiasi comunicazione che spinge a fornire o aggiornare dati bancari o della carta, o che rimanda a una pagina di login pensata per raccogliere le credenziali. Se arriva una notifica di Spotify su un pagamento fallito, meglio non cliccare link, non scaricare allegati e non rispondere. Spotify non chiede mai informazioni di pagamento, password o altri dati sensibili via email. In caso di dubbi su un pagamento o su un abbonamento, la strada giusta è una sola: accedere direttamente al proprio account tramite l’app di Spotify o il browser. Chi avesse già inserito le proprie credenziali su un sito sospetto dovrebbe cambiare subito la password e tenere d’occhio i movimenti della carta di credito, così da individuare eventuali addebiti fraudolenti. Le email di phishing, inoltre, possono essere inoltrate all’indirizzo spoof@spotify.com.