Oggi sono stato toccato da un tentativo di phishing.. e fin qui nulla di strano, ovviamente: prima di passare agli ottimi filtri di GMail ne ricevevo parecchi ogni giorno, e anche con la protezione di Google ogni tanto qualcuno riesce comunque a farsi strada verso la mia inbox.
Prima di proseguire vediamo di chiarire, per chi non lo sapesse, che significa phishing:
…è una attività illegale che sfrutta una tecnica di ingegneria sociale, ed è utilizzata per ottenere l’accesso a informazioni personali o riservate con la finalità del furto di identità mediante l’utilizzo delle comunicazioni elettroniche, soprattutto messaggi di posta elettronica fasulli o messaggi istantanei, ma anche contatti telefonici. Grazie a messaggi che imitano grafico e logo dei siti istituzionali, l’utente è ingannato e portato a rivelare dati personali, come numero di conto corrente, numero di carta di credito, codici di identificazione, ecc..
(tratto da Wikipedia, ovvviamente)
Sarà capitato a tutti voi, anche se neofiti della posta elettronica, di ricevere email scritte in un italiano improponibile che chiedevano di recarsi a un determinato link e inserire i dati della propria carta di credito o del proprio conto corrente per non meglio precisati motivi “di sicurezza”, salvo poi scoprire che tale link non porta ovviamente al proprio sito di home banking ma a un sito molto, molto simile realizzato al solo scopo di raccogliere le password degli ignari utilizzatori.
Finora tutti gli attacchi di phishing in cui mi sono imbattuto hanno sempre mostrato delle caratteristiche comuni, che li rendevano facilmente identificabili: la prima di queste era sempre l’italiano scorretto e sgrammaticato, frutto di una traduzione automatizzata da testi perlopiù inglesi; la seconda era l’assoluta mancanza del tono professionale che contraddistingue le comunicazioni ufficiali degli istituti di credito (cose del tipo “caro cliente” invece di “gentile cliente”, “il tuo conto” invece di “il Suo conto” o meglio “il Vostro conto”, “i dati” invece de “i Vs. dati”), se vogliamo sono piccolezze ma nel complesso creano un divario enorme tra una mail di un professionista e una mail di uno che prova ad imitarlo.
Ebbene, oggi le mie certezze hanno vacillato nel ricevere una mail truffaldina che non presentava queste caratteristiche di facile individuazione, e che riporto:
Gentile Utente,
Per i motivi di sicurezza abbiamo sospeso il Vostro conto corrente, una
misura di sicurezza progettata per contribuire a proteggere Voi ed il
Vostro conto. Dovete riconfermare i Vs. dati riguardanti il conto
corrente per ristabilire le funzionalità del vostro conto, e confermare
quindi che non siete stati vittime di furto informatico.
Dovete reinserire i Vs. dati alla seguente pagina per realizzare il
processo di verifica.
https://www.gruppocarige.it/grp/ws/gruppo/jsp/popupservizi.jsp
La ringraziamo per la Vostra cortese collaborazione.
Gruppo Banca Carige, 2009
Ufficio protezione contro atti fraudolenti.
AVVERTENZA Chi riceve la presente è tenuto a verificare che la stessa sia effettivamente a lui indirizzata; in caso contrario, considerate le conseguenze penali connesse alla cognizione e/o diffusione di corrispondenza non a sè diretta, lo si invita ad avvisare tempestivamente il mittente, distruggendo comunque le eventuali copie o stampe della medesima.
This e-mail may contain confidential and/or privileged information. If you are not the intended recipient (or have received this e-mail in error) please notify the sender immediately and delete this message. Any unauthorized copying, disclosure or distribution of the material contained in this e-mail is strictly forbidden.
Niente male, eh? Professionale, in un italiano più che buono, ordinata, con tanto di disclaimer in doppia lingua. Peccato che ovviamente sia una truffa: innanzitutto non ho conti sulla banca citata, e questo è più che sufficiente a farmi venire seri dubbi. Poi non vedo perchè una banca dovrebbe invitarmi a “reinserire i miei dati personali” sul loro sito per “motivi di sicurezza”. Inoltre la mail è firmata semplicemente “ufficio protezione contro atti fraudolenti”, mentre una vera mail con questi toni dovrebbe essere sempre firmata con il nome del responsabile di tale ufficio, e riportare indirizzi di contatto (minimo un indirizzo email e un numero di telefono dell’ufficio).
E poi, la prova del nove: il link della mail, ovvero il cuore della truffa, che nel testo riporta un indirizzo associabile al sito istituzionale della banca ma che in realtà conduce a un indirizzo totalmente diverso, che ho volutamente oscurato. Il sito truffaldino in questione ha questo aspetto:
Abbastanza buono da far cadere in inganno un utente sprovveduto e non adeguatamente informato sui rischi del phishing. A questo punto ho naturalmente segnalato a google il tentativo di phishing nella mia casella di posta elettronica e ho mandato una mail al riguardo ad alcuni siti che conosco nell’ambito della lotta al phishing.
Per concludere, i consigli per non cascarci sono sempre i soliti:
1) se vuoi andare sul sito della tua banca, scrivi a mano l’indirizzo nel tuo browser, non fidarti a cliccare su link che arrivano da fonti non sicure quali una mail!
2) la tua banca non ti chiederà mai di inserire la tua password perchè “l’ha persa” o perchè “ci sono problemi di sicurezza”; la tua banca ti chiederà la tua mail sono quando andrai spontaneamente sul suo sito, seguendo la regola di cui sopra, per svolgere delle regolari operazioni.
3) nel dubbio non fidarti di nessuno. Se qualcuno ti domanda la tua password, il tuo nome utente o altri dati sensibili devi immediatamente diffidare!
Spero che questo piccolo sipario di utilità sociale possa aiutare qualcuno a non ritrovarsi col conto ripulito. Ciao a tutti!
). Si tratta di una web application basata su php e un database SQLite3, con massiccio uso di JQuery, JQuery UI e css e l’ottimo appoggio del framework css Blueprint e di Php Activerecord.
