Phishing: truffe informatiche

Internet ha l’enorme potere di collegare le persone tra di loro. Purtroppo c’è chi questo potere lo sfrutta in maniera negativa e usa i nuovi mezzi digitali per architettare truffe.

Il campione delle vittime è quanto mai vasto: dai neofiti alle prime armi e ingenuamente troppo fiduciosi del popolo virtuale fino ai più disperati che sono alla ricerca di soldi o di un lavoro e che diventano facile preda dei truffatori.
Il termine che descrive questa attività è PHISHING : essa è un tentativo di truffa da parte di un malintenzionato che cerca di ottenere informazioni personali di un utente per attuare un furto d’identità o unatruffa economica o entrambi.

“Il phishing è un tipo di truffa via Internet attraverso la quale un aggressore cerca di ingannare la vittima convincendola a fornire informazioni personali sensibili” Affinché si realizzi, quindi, c’è bisogno di un potenziale truffatore, di una potenziale vittima e dell’interazione tra i due attraverso internet.

Esso è a tutti gli effetti una attività illegale fondata su tecniche di ingegneria sociale che mirano al recupero di informazioni personali quali login e password, codici di accesso, numeri di carta di credito ecc… La tecnica di recupero di tali informazioni avviene attraverso l’invio casuale di messaggi di posta elettronica costruiti in modo tale da imitare perfettamente la grafica di siti bancari o postali, ma può accadere che si realizzi mediante contatti telefonici.

La prima menzione registrata del termine phishing è sul newsgroup di Usenet alt.online-service.america-online il 2 gennaio 1996, malgrado il termine possa essere apparso precedentemente nell’edizione stampata della rivista per hacker 2600. Il termine phishing è una variante di fishing (letteralmente “pescare” e si riferisce all’atto di carpire informazioni private. (Quanto riportato in questo testo quotato è un riassunto della più estesa pagina in merito su wikipedia.)

Esso segue diverse strategie:

il phishing key logger:ovvero l’acquisizione direttamente da tastiera di dati sensibili

il phishing mail, con l’invio di un’e-mail fraudolenta;simpatico l’esempio presentato da un collega blogger che mostra che un sistema per ottenere informazioni personali da una persona è quello di far credere a questa persona di poter ottenere questo potere su terzi!

il phishing redirector ovvero il reindirizzamento volontario o non ad un sito che volevamo consultare accompagnato al pharming, che è la creazione di un falso sito che contiene copia delle pagine di un sito originale

le tecniche sono due: o in chat ci compare un link corto del quale ignoriamo forzatamente la reale destinazione e spinti dalla curiosità o dalla distrazione accediamo a siti veicolatori di malware (questi link ridotti possono essere smascherati grazie a longurl.org) i durante la navigazione un programma si accorge della nostra “distrazione” e apre in un altra scheda/finestra del browser la finta pagina d’accesso ad un sito, noi, le vittime, distratte siamo convinte di aver dimenticato di eseguire l’accesso ed ecco che spediamo le nostre informazioni già impacchettate ad un truffatore…

(fonte: Casaleggio e associati sito www.casaleggio.it).

“Il furto d’identità  attraverso i social network nel dicembre scorso ha raggiunto l’84,5% del totale dei casi dei furti di identità rilevati, contro l’8,3% nel gennaio 2010” rivela il rapporto, basato sull’analisi di oltre 600 milioni di computer in tutto il mondo.(ndr dati del 2011) .

Questo quanto appreso dal Sole 24 Ore online,confermando quanto già discusso in un mio precedente post,ovvero la disponibilità su larga scala di informazioni personali grazie ai social network.

Gli obiettivi sono i correntisti bancari/postali e titolari di carte di credito, cui si aggiungono persone in cerca di lavoro o più semplicemente chiunque voglia partecipare con un contributo a situazioni per le quali scatta la solidarietà della collettività, come accaduto anche in occasione del recente terremoto in Emilia-Romagna 

Per prevenire il phishing è opportuno mantenere costantemente aggiornato il sistema operativo e, soprattutto, il browser utilizzato per la navigazione. Le patch di sicurezza sono sicuramente utili alla prevenzione del fenomeno: le ultime release dei browser, normalmente, contengono tool per verificare automaticamente l’affidabilità del sito navigato. Esistono anche toolbar in grado di segnalare automaticamente il livello di rischio del sito visitato e, in caso di phishing, bloccano l’accesso al sito stesso chiedendo una esplicita autorizzazione all’utente per continuare ad esplorarne i contenuti.

L’incremento esponenziale degli utenti della rete, unito alle “cose” dell’IoT (internet of things) che veicolano informazioni personali, sono un invito ai cyber-criminali perché si ingegnino con astuzie e stratagemmi finalizzati a carpirle. Bisogna prestare molta attenzione ogni qual volta ci venga richiesto di fornire delle informazioni personali o riservate, diffidando quanto più possibile delle comunicazioni “aperte” ovvero che non utilizano protocoli di cifratura o di tunnelizzazione delle informazioni tra la nostra postazione di lavoro ed il server al quale ci connettiamo. Valgono regole di buon senso, quali verificare che l’accesso al sito bancario per l’home banking o per gli acquisti on-line avvengano in modalità https; diffidare delle email o sms che ci richiedono informazioni personali presentandoci portali in tutto simili a quelli veri ed ufficiali, comunicando agli amministratori del portale stesso ed alla polizia postale ogni eventuale comunicazione dubbia, che spesso propone vincite o bonus fedeltà previo accesso al sito clone fake.
Due siti che si occupano in prima persona della lotta contro le truffe in rete sono

http://www.anti-phishing.it/ 

e

http://truffeinrete.wordpress.com/category/finti-premi/

 E in generale la regola migliori è essere molto prudenti perchè prevenire è meglio che curare…..