Buongiorno ***,
per favore rispondi con il tuo numero di cellulare, ho bisogno di te per un compito urgente e veloce, ho bisogno che tu lavori con me a breve. Rispondi e aspetta il mio messaggio.
Cordiali saluti

Vi suona familiare?

Stamattina alcuni dei nostri collaboratori hanno trovato questa mail nella casella di posta, inviata da indirizzi che riportavano il nome e cognome di colleghi fidati.

Per fortuna il tipo di richiesta insolita e il tono artificiale del messaggio sono bastati a far scattare un campanello d’allarme, e nessuno di loro ha risposto a questa mail! Si trattava infatti di un tentativo di phishing, in cui il mittente malintenzionato cercava di ottenere il numero di cellulare dei nostri collaboratori, avendo già il loro nome e cognome ed il loro indirizzo e-mail.

Avevamo già parlato di Come difendersi dalle truffe online, ma in questo caso specifico la questione si fa più spinosa:

Com’è possibile che il vero mittente non solo sapesse il nome e l’indirizzo del destinatario, ma sia anche riuscito a far risultare il nome di un collega come mittente?

Molto probabilmente si è avvalso di una combinazione di armi informatiche come social engineering, “man in the middle” e spoofing. Vediamo insieme di cosa si tratta.

Spoofing
Questa tecnica sta alla base di molti tentativi di frode, e consiste principalmente nell’impersonare una fonte attendibile, ingannando una rete o una persona facendogli credere di essere qualcun altro, ed è il motivo per cui molte banche, istituzioni e operatori inviano spesso comunicazioni per ricordare agli utenti di non fornire mai informazioni di login al telefono o per e-mail: può capitare ad esempio di ricevere un sms dal numero della nostra banca che ci invita ad andare sul loro sito per qualche motivo seguendo un link.

Quel link vi rimanderà ad una schermata di login uguale a quella originale, ma controllata dal nostro hacker, che potrà così visualizzare e impadronirsi delle vostre credenziali di accesso.

Nel caso della mail ricevuta dai nostri collaboratori, era stato modificato il nome del mittente, inserendo nome e cognome di un ignaro collega realmente esistente per spingere la potenziale vittima a fidarsi.

Social engineering
Strettamente collegato allo spoofing, il social engineering riguarda tutti quei processi che lo rendono più efficace: sapere che un determinato utente ha un conto proprio presso quella banca, ad esempio, dove lavora e chi sono i suoi colleghi, o anche inserire una componente emotiva nel messaggio: ironicamente, molti dei tentativi di furto delle credenziali bancarie iniziano proprio con “abbiamo rilevato un accesso sospetto al tuo conto” per abbattere la diffidenza sfruttando preoccupazione e senso di urgenza!

Chiaramente, più informazioni si hanno sulla potenziale vittima e più si può essere credibili, aumentando le possibilità di successo dell’attacco.

Man in the middle
In questa situazione c’è una rete all’interno della quale vengono scambiate informazioni tra vari utenti, e un utente esterno che riesce a intercettare tutte queste informazioni e anche alterare i messaggi che circolano. È un po’ l’equivalente informatico del telefono senza fili: il nostro hacker riesce ad infiltrarsi in una conversazione senza essere notato, si colloca fra i due partecipanti e da qui inizierà a fungere da filtro tra i due, potendo leggere e persino modificare le informazioni che vengono scambiate.

Insomma, non bisogna fare attenzione solo agli insidiosi Ransomware contro i quali vi avevo messo in guardia in questo articolo, ma spesso bisogna mantenere alta la guardia anche quando il messaggio sembra provenire da una fonte affidabile, e prestare sempre attenzione al tipo di dati che condividiamo.