[Sicurezza] Cos’è il Phishing e come difendersi

Il Phishing è un tipo di truffa online, con cui un attaccante cerca di rubare dati sensibili (password, carte di credito, accessi a siti web, eccetera) ad una vittima che, ignara dell’attacco, cede i propri dati spontaneamente.

Il nome della tecnica si legge come l’inglese “Fishing” perchè di fatto, l’attaccante solitamente invia una multitudine di mail a una lista che si è creato, e poi aspetta che eventuali vittime caschino nel tranello.

Il punto di forza di questa tecnica, è basato sull’ignoranza dell’utente che riceve una mail apparentemente dalla propria banca (o dalle poste) con un avviso urgente del tipo:

Mittente: poste-italiane@sito-malevolo.it

Oggetto: Blocco del conto

Testo: Salve gentile utente,

A seguito dei numerosi tentativi di accesso che ha effettuato, le bloccheremo il suo conto postepay a meno che non effettui correttamente il login da questa pagina entro 48 ore.

La ringraziamo per l’attenzione,

Buona giornata.

Questa è una mail “tipo” che potremmo ricevere, spesso i filtri antispam riescono a limitare l’arrivo di queste mail categorizzandole come posta indesiderata prima ancora che possiamo leggerle, ma se questo non dovesse accadere e ci ritrovassimo nella posta in arrivo una mail del genere, se non siamo al corrente dei rischi che si corrono in preda alla paura e al pensiero che qualche malfattore possa aver tentato di rubarci i soldi andremmo subito a regalare i nostri dati di accesso sulla nostra banca o delle poste.

Un’altra mail tipo, è quella di “Recupero dati” o “Verifica email”, questo tipo di attacco phishing, avviene più o meno così: Vi mandano una mail (sempre con un indirizzo e-mail scritto ad-hoc ;)) con contenuto qualcosa del tipo:

Salve,

Guardando nel nostro database, abbiamo notato che non avete verificato la vostra email. Per farlo, inviateci vostro nome utente e password. Se non lo fate, dovremo cancellarvi l’account.

Grazie e buona giornata.

In questo caso, saremo noi a rispondere con una mail direttamente a loro con i nostri dati.

Il Fake Login

Un metodo più articolato del precedente, è appunto quello visto in partenza. In quel tipo di attacco, verremo invitati a connetterci ad un sito web dove dovremo fare l’accesso. Questo sito web, più precisamente la pagina dove verremo reindirizzati, avrà la particolarità di essere identico alla pagina di login del servizio corrispondente: se il nostro attaccante vuole rubarci i dati del nostro account di facebook, la pagina di login sarà uguale a quella di Facebook!

E’ anche questo uno dei fattori che rende questo attacco, per chi non è pratico di informatica, molto pericoloso.

La pagina su cui ci reindirizzeranno, prende il nome di Fake-Login.

Un metodo sicuro per evitare di venire  “pescati” è quello di controllare (quando dobbiamo connetterci ad un sito web importante) l’url del sito web: sepensiamodi stare loggandoci sul sito delle poste, in alto dovremo leggere www.poste.it e non www.sito-blablabla.it/poste/login

Se comunque non siete convinti del sito che state visitando, un consiglio è quello di chiudere tranquillamente la pagina effettuare una ricerca da Google del sito e connettervi dalla pagina che vi si apre, in modo da essere sicuri che non sia un sito malevolo.

Il pericolo delle E-Mail

I filtri anti-spam, come già accennato in precedenza, dei principali webmail sono diventati molto più intelligenti rispetto a qualche anno fà e questo gli permette di riconoscere la maggior parte delle volte se ci vengono recapitate mail con contenuto malevolo (spam, phishing ma anche virus).

Questo però non vuol dire che i crackers (a grandi linee, persone esperte del computer che cerano modi per danneggiare gli altri) siano stati a guardare: non sempre infatti, il filtro riesce ad agire come dovrebbe.

Esistono infatti, metodi per assumere le sembianze di un’altra persona tramite un camuffamento di email che può essere svolto facilmente con siti come fakemail-online.co.cc

Quel sito non è malevolo, in quanto vuole difendere la privacy degli internauti, ma come tutti gli strumenti potrebbe essere utilizzato in modo sbagliato.

Quindi, ricapitolando, non sempre il procedimento è meccanico a volte basta un pò di cervello per evitare spiacevoli conseguenze!

Evitiamo le ovvietà…

Alcuni phisher (anzi diversi) stranieri, non sono molto furbi. Infatti, si affidano a traduttori online (tipo google traduttore) per tradurre il contenuto delle loro mail di phishing.

Quindi, con questo titoletto, volevamo mettere in evidenza l’impossibilità di ricevere una mail da parte della nostra banca o dalle poste con su scritto :

Hi amigos,

Il suo conto e stato denied. Se vuoi sblocarlo devi openthis pagina e login: www.sito.it

Ciao

Poste

Leggendo mail così, fatevi una risata e cliccate seneramente sul tasto “elimina”.