Il phishing è tra le frodi che più vengono utilizzate dai criminali del web per ottenere dei riscatti da parte di persone poco informate sulla sicurezza informatica attraverso la metodologia della social engineering.

Questo tipo di minacce procedono di pari passo con l’innovazione tecnologica, che sta conoscendo uno sviluppo sempre più impressionante, a beneficio di privati, aziende e organizzazioni pubbliche.

Ma come spesso accade, c’è sempre qualcuno che distorce l’utilizzo di queste trovate per scopi egoistici o criminali, proprio come in questo caso.

Che cos’è il phishing?

Con il termine phishing (distorsione del termine “fishing”, ovvero “pescare”) si indica una trappola mirata all’ottenimento dei dati personali o professionali, usando come mezzo una mail, una conversazione sui social oppure un banner pubblicitario che genera curiosità nella vittima – un addebito, una vincita, un’occasione: spesso, per raggirare il bersaglio, l’hacker si finge un’istituzione affidabile e sicura, presentandosi come una banca o un negozio online conosciuto.

Sfruttando questo inganno, si mira a persuadere l’utente a cliccare su un link, che dovrebbe portare al sito ufficiale dell’istituzione: in realtà esso rimanda ad una copia del sito stesso, e chiede di inserire i dati privati per eseguire un’azione legata al messaggio originario.

A questo punto, ottenuti i dati, l’hacker si appropria della personalità della vittima, o la ricatta minacciando di rendere pubblici alcuni contenuti privati.

Quali sono i segnali di allarme

Gli hacker trovano sempre nuovi modi per perfezionare i propri attacchi, ma principalmente i segnali che devono mettere in allerta sono i seguenti:

• si riceve un messaggio allarmante da parte del suddetto istituto di fiducia, quale il dover verificare le proprie credenziali, il pericolo di vedersi chiudere il proprio account di homebanking ecc
• si ricevono email che non contengono mai il nome del destinatario, ma sono sempre piuttosto generiche
• l’indirizzo web non assomiglia assolutamente a quello solitamente utilizzato
• sono presenti nuove icone sullo schermo del computer oppure il pc è più lento del normale nell’effettuare le azioni più semplici

Come si sviluppa il phishing

Nel caso in cui il phisher (colui che pratica la truffa) riesca nel suo intento, esso ha pieno accesso all’account di posta elettronica del profilo che è caduto nel suo tranello: si paleserà come cyber criminale, chiedendo un pagamento come riscatto per i dati ottenuti.

Di seguito, un esempio di messaggio di posta tipico di un hacker dedito al phishing. Esso viene inviato dall’indirizzo email della vittima stessa, per convincerla dell’autenticità del pericolo.

Il messaggio presenta alcune caratteristiche che lo distinguono dai classici avvisi di infezione da parte di altri virus:

• il testo è grammaticalmente corretto e sintatticamente più complesso dei classici virus indirizzati allo spam;
• l’email è stata inviata dall’indirizzo della vittima stessa, per persuaderla del pericolo che corre;
• viene richiesto un pagamento alla portata di chiunque, cosicché i più ansiosi possano eventualmente pagarlo senza riflettere troppo;
• il pagamento deve essere in bitcoin, cioè non rintracciabile.

Conclusione

Difendersi dal phishing è difficile, ed è possibile solo quando si ha un’idea di che cosa sia: chiunque non sia a conoscenza di questo tipo di truffa non ci penserà due volte prima di cliccare su un link o su un bottone all’interno di un sito che ritiene affidabile – i siti fasulli sono realizzati con estrema cura, e anche un utente abitudinario farà molta fatica a rendersi conto dell’inganno.

La difesa migliore contro questo tipo di minaccia è la consapevolezza: soprattutto in ambienti aziendali, dove molti account sono attivi ogni giorno e allo stesso tempo – e non sono in pericolo solamente dati privati, ma anche informazioni di clienti e dell’impresa stessa – non ci si può permettere di esporsi.

La scelta migliore, per questo tipo di realtà, è proporre corsi di formazione e promuovere la cyber-security all’interno della propria azienda, così che tutti i dipendenti siano consapevoli di che rischio corrono cliccando su un semplice link di una mail anormale.