Ieri mi è arrivata la segnalazione di una mail che sembrava l‘avviso di sicurezza di una banca. La persona che me l’ha mandata non era correntista di quella banca, per cui ha capito subito che si trattava di un inganno, ma a quel punto è sorta la domanda: adesso che si fa?

La procedura è semplice, e la riassumo qui come promemoria perché così potete contribuire anche voi a bloccare questo genere di tentativo di furto di credenziali bancarie o phishing:

1. Se ricevete una mail o un messaggio che proviene apparentemente da una banca o da qualunque organizzazione che gestisce soldi e vi invita a cliccare su un link per qualunque motivo, non fatelo.
2. Se siete al computer, potete portare il mouse sopra il link (senza cliccare) e vedere il nome del sito in cui andreste a finire se vi cliccaste sopra.
3. Copiate quel nome (di solito basta un clic col pulsante destro o Ctrl-clic) e mandatelo a Antiphishing.ch, l’apposito sito per le segnalazioni realizzato dalla Centrale d’annuncio e d’analisi per la sicurezza informatica MELANI. Non è richiesta registrazione. L’Italia ha un servizio analogo, ma richiede registrazione.
4. Segnalatelo anche a Netcraft.com.
5. Cestinate il messaggio.

Queste segnalazioni, una volta verificate, permettono alle autorità e alle società di sicurezza informatica di contattare il sito che ospita la pagina di phishing (spesso senza saperlo) e invitare il proprietario a rimuoverla. Inoltre il sito viene messso nelle liste nere dei principali operatori di sicurezza informatica. In questo modo contribuite a proteggere tanti utenti.

Questo genere di segnalazione ha un effetto quasi immediato: ieri il sito-trappola è scomparso dopo pochi minuti dalla mia segnalazione.

La pagina-trappola imitava una nota banca. Notate l’indirizzo.

Tante vittime di furti di password non prendono precauzioni perché pensano “Chi vuoi che mi prenda di mira? Non ho nulla che valga la pena di rubare e non sono nessuno”. Ma in realtà tutti siamo un bersaglio interessante per qualcuno.

Prendete per esempio un docente: a cosa mai potrebbe servire rubargli le password di gestione del suo account scolastico? A qualcosa sicuramente serve, visto che un lettore, Decio, mi segnala questo tentativo di phishing ai danni degli utenti di educanet², che si descrive come “la piattaforma principale per l’insegnamento e l’apprendimento online in Svizzera”, creata nel 2001 su mandato della Confederazione e dei cantoni. “Oggi più del 90% delle scuole svizzere attive su di una piattaforma online lavorano con educanet²”, dice il sito.

Il phishing è stato bloccato nel giro di poche ore, ma era ospitato su educanetserviceaccounts punto weebly punto com: un dominio che avrebbe ingannato sicuramente più di uno dei 478.000 allievi e 153.000 insegnanti, specialmente se distratti dal messaggio d’allarme visualizzato, che diceva che l’account risultava bloccato.

Le motivazioni dietro un attacco del genere possono essere varie: per esempio, uno studente potrebbe procurarsi informazioni utili per gli esami (il periodo di fine anno scolastico potrebbe non essere una scelta casuale); uno spammer potrebbe usare l’account rubato per saccheggiarne la rubrica degli indirizzi e mandare spam che proverrebbe da un indirizzo fidato; un truffatore potrebbe semplicemente catturare gli indirizzi di mail e le password, confidando nel fatto che le persone tendono a usare la stessa password dappertutto e che quindi altri servizi Internet usati dalla vittima (per esempio a pagamento oppure personalmente compromettenti e quindi usabili per ricatti, come gli archivi delle foto personali) saranno accessibili con la stessa coppia indirizzo-password.

Occhi aperti, quindi: come al solito, non lasciatevi ingannare dal logo familiare o dai messaggi d’allarme, ma prima di digitare qualunque password, anche quella del sito o servizio che ritenete più innocuo e insignificante, controllate che la barra di navigazione mostri il lucchetto chiuso di autenticazione e il nome esatto del sito.

Se vi capita spesso, come capita quasi a tutti, di ricevere mail sospette che contengono inviti a cliccare su link che promettono di darvi un premio o di risolvere un problema con un vostro account sarete probabilmente abituati a riconoscerli e cestinarli subito senza pensarci più. Ma magari vi piacerebbe sapere esattamente cosa si cela dietro questi link.

Cliccarvi sopra è ovviamente fuori discussione: è quello che vogliono i truffatori che vi hanno mandato la mail. Ma c’è un modo per visitare questi link senza mettersi in pericolo: farli visitare a qualcun altro. In questo caso, il qualcun altro non è un vostro amico da sacrificare, ma è UrlQuery.net: vi immettete il link e lui lo interpreta, mostrandovi la sua vera natura e anche un’immagine del suo aspetto.

Per esempio, provo a prendere una delle tante mail di phishing che ricevo, copio un suo link con un clic destro e lo incollo in UrlQuery.net. Il risultato, dopo una breve attesa, è questo:

La cosa più importante, almeno in termini di curiosità, è in alto: il link esaminato e convertito in modo da mostrare la destinazione finale della mail truffaldina, decodificando tutti gli abbreviatori di link e i redirect che servono ai truffatori per nascondere le proprie tracce.

Accanto al link c’è quello che volevamo: una schermata di quello che troveremmo sul sito dei truffatori se seguissimo il link. In questo caso incontreremmo una pessima imitazione di una pagina di login di TIM, ma non sempre la truffa è così evidente. Dettaglio interessante: quella pagina esiste indisturbata dal 2014.

Magari vi chiedete che senso abbia, per i truffatori, creare un’imitazione così malfatta: per cascarci bisognerebbe essere davvero sprovveduti. E i truffatori vogliono vittime facili e sprovvedute. In altre parole, la pessima qualità del sito fa da filtro per selezionare i candidati più appetibili.