Phishing , come prevenire e difenderci dalla truffa via email

Phishing , come prevenire e difenderci dalla truffa via email

Basta un'e-mail per incappare in una frode e subire un furto di dati personali.

Analizziamo questo fenomeno e scopriamo come difenderci

In Rete si sente molto parlare di phishing, in particolare come argomento legato alla sicurezza informatica, ma molti di noi non sanno di cosa esattamente si tratta.

Il termine “phishing” è comparso per la prima volta in forma ufficiale il 2 gennaio 1996 su un newsgroup di Usenet, anche se qualche tempo prima era già stato utilizzato da alcune riviste cartacee del settore.

Phishing nasce come variante dell'inglese fishing e indica l'uso di tecniche sofisticate per “pescare” dati finanziari e password di un utente.

Infatti ci si trova di fronte ad un attacco di phishing quando un malintenzionato, servendosi della rete Internet, tenta di ingannare la vittima convincendola a fornire dati personali.

Per riuscire in questo intento, chi esegue il phishing lo fa adoperando particolari tecniche di ingegneria sociale (social engineering) che studiano ed analizzano il comportamento degli individui.

Giusto per fare un esempio, una delle pratiche fraudolente maggiormente utilizzate consiste nell'inviare ad ignari utenti messaggi di posta elettronica il cui contenuto richiama in modo assolutamente ingannevole la grafica di siti Web di istituti bancari e postali, tentando in tal modo di acquisire le loro chiavi di accesso al conto corrente.

Altri metodi non meno pericolosi e altrettanto efficaci consistono invece nell'invio di SMS (swishing) e nello stabilire un contatto telefonico con la vittima designata.

Tendenzialmente una campagna di phishing ricorre ad una metodologia di attacco che possiamo schematizzare nel modo seguente:

Phishing: Invio dei dati esca

L'aggressore (o phisher) invia alla vittima un messaggio di posta elettronica con all'interno dati che si riferiscono ad un istituto bancario o postale, un provider o un sito Web.

La condizione indispensabile affinchè l'azione fraudolenta possa compiersi con successo consiste nel fatto che le informazioni contenute nel messaggio risultino essere familiari e appetibili alla vittima.

Phishing: Adescamento casuale

Il messaggio fraudolento contiene delle situazioni che possono verificarsi realmente, ad esempio l'autenticazione in un sito Internet, la scadenza dell'account per accedere on-line ad un conto corrente, un addebito oppure un accredito di un'ingente somma di denaro.

Tra i casi che abbiamo citato almeno uno dovrebbe teoricamente attrarre l'attenzione della vittima e indurla a consegnare i propri dati.

I1 phisher ovviamente non conosce il nominativo dell'ipotetico bersaglio, ma invia messaggi a chicchessia in Rete cercando di far cadere nella trappola più persone possibile.

Phishing: Link Ingannevole

Alla vittima viene inoltrato un percorso o link che conduce ad un sito Internet all'apparenza simile a quello ufficiale, ma assolutamente contraffatto e controllato dal phisher.

Net sito malevolo verranno sottoposte alla vittima delle procedure tipo identificazione tramite username e password, conferma di autenticazione e tutto ciò che è volto all'acquisizione fraudolenta dei dati sensibili.

Se l'attacco sopra delineato avrà un esito positivo, l'aggressore disporrà a questo punto delle risorse necessarie per manipolare i dati della vittima, potendo quindi effettuare trasferimenti di dati e somme di denaro a suo favore.

Va inoltre sottolineato che molti di questi messaggi malevoli contengono offerte di lavoro a prima vista particolarmente invitanti: in questo caso la vittima dovrà fornire le proprie coordinate bancarie per poter beneficiare di somme che sono dapprima accreditate e successivamente prelevate e trasferite in istituti bancari residenti in paesi dove non vengono garantiti i necessari controlli.

Questo tipo di operazioni vengono definite “money trasfert” e prevedono l'acquisizione di una percentuale dell'importo dislocato, quindi un vero e proprio furto ad opera del phisher che conduce le operazioni utilizzando l'identita e i fondi della vittima.

Poichè si tratta di denaro proveniente dal phishing, il rischio per la vittima è pertanto quella di essere accusata di riciclaggio nonostante abbia agito in totale buona fede.

Prevenire il phishing

Oltre al phishing esiste una pratica illegale definita pharming che consente l'accesso ai dati sensibili dell'utente.

Questa tecnica utilizza vari espedienti per indurre l'ignara vittima a fornire in un sito apposito i propri dati relativi al numero di conto, carta d'identità, password e altri dati compromettenti.

Per tutelarci controlliamo se, quando visitiamo un sito Internet, compare un'icona a forma di lucchetto nella barra di stato del browser o di fianco all'URL del sito stesso.

Nonostante tale indicatore garantisce una connessione protetta di tipo SSL/TLS, questa è una misura di sicurezza molto blanda.

Infatti può succedere che tali connessioni vengano instaurate con certificati non autentici che ricorrono a chiavi pubbliche e private note ai malintenzionati ed all'apparenza referenziate legalmente al sito che stiamo visitando.

Voto
Ti è piaciuto l'articolo?
[Media: 0]

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *