"I criminali usano l'ingegneria sociale, dobbiamo essere più furbi di loro". Il Computer Security Incident Response Team (CSIRT) dell'Agenzia per la cybersicurezza nazionale lancia una nuova campagna possa arrivare direttamente sulla casella di posta, con un incipit minaccioso: "Il tuo sito è stato hackerato". Un sistema analizzato dal CSIRT che ha spiegato come, a questo primo messaggio, ne segue un altro e un altro ancora. Non è la prima volta che succede. Lo scopo dell'autore, spiega una nota, "è di ottenere un pagamento in Bitcoin per scongiurare la pubblicazione di dati aziendali sensibili di cui il malfattore sarebbe in possesso. Ma non è vero. Almeno in questo caso è un'attività estorsiva che mira a spaventare i meno esperti e a indurli a pagare, in Bitcoin".
Lo CSIRT spiega anche come proteggersi da attacchi di questo tipo. "Poiché in alcuni casi è stato rilevato l'utilizzo di dati aziendali precedentemente sottratti e resi pubblici per conferire legittimità alla comunicazione" si suggerisce agli utenti e alle organizzazioni eventualmente prese di mira da questa tipologia di attacchi "di verificare scrupolosamente le e-mail ricevute. Inoltre, consiglia di attivare misure aggiuntive come il controllo dei dati di traffico, l'analisi delle infrastrutture, e di implementare sistemi di protezione aggiuntivi".
Altra situazione da cui guardarsi è quella che riguarda i cosiddetti "pacchi finti". In questo caso la mail suonerà così: "Non siamo stati in grado di consegnare il tuo pacco in quanto non c'era nessuno che potesse firmare la ricevuta di consegna. Siamo qui per informarti che abbiamo bisogno di una conferma: clicca qui per confermare". Anche in questo caso si tratta di una truffa. "Cliccando e cliccando ancora sulle false conferme si arriva a una pagina che chiede il riepilogo dei propri dati per effettuare un pagamento su un "sito sicuro", cioè una landing page che chiede alla vittima di inserire i riferimenti della propria carta di credito".
Tutto organizzato nei minimi particolari. "Successivamente viene chiesto alla vittima di confermare l'acquisto inserendo un codice relativo al secondo fattore di autenticazione, facendo leva sui loghi della banca per rendere credibile la comunicazione. Una truffa ben congegnata", sottolineano gli esperti dell'agenzia.
Come proteggersi - Alcuni consigli da seguire per evitare guai:
- Evitare di inserire i propri estremi bancari su portali di cui non si conosce l'affidabilità;
- Verificare scrupolosamente i mittenti delle e-mail ricevute e la relativa attendibilità;
- Nel caso in cui si fossero inseriti gli estremi della propria carta di credito contattare quanto prima il proprio Istituto bancario al fine di richiedere il blocco della carta utilizzata.
Un lavoro inesistente via social - Nella nota del CSIRT c'è infine un'ultima raccomandazione che rigurda un'altra truffa incentrata su fantomatiche ma credibili offerte di lavoro. Il messaggio è questo: "Siamo interessati al tuo profilo professionale. Se cerchi lavoro, contattaci". L'annuncio, spiegano, "è comparso su un famoso Social Network professionale sembra provenire da un recruiter legittimo, ma anche qui si tratta di una truffa. Una volta agganciata la vittima, gli viene chiesto di fare un colloquio di lavoro informale via Skype e di visualizzare un documento .pdf per valutare le condizioni offerte. Ma quel .pdf è un documento infetto che inocula un malware sul computer ospite".
Anche in questo caso ci sono delle raccomandazioni da seguire
- Assicurarsi sempre dell'attendibilità del Soggetto con cui si comunica richiedendo, ad esempio, un'e-mail aziendale o un contatto telefonico dell'azienda;
- Bloccare l'esecuzione di software non attendibile e non firmato
- Mantenere aggiornati i software antivirus, anti-malware, sistemi endpoint, ecc.;
- Non avviare file eseguibili se non si è certi della provenienza o della legittimità del contenuto
