Grazie alla poca furbizia di certi filtri antispam, compresi quelli di Symantec Mail Security, la newsletter che ho appena spedito è stata classificata e scartata come spam da molti provider e da molte reti aziendali.

Il motivo? Riassumeva gli articoli pubblicati in questo blog nei giorni scorsi, e conteneva due parole citate come esempio di prodotti venduti dagli spammer: “Viagra” e “Rolex”. Conteneva anche molte altre informazioni, ma ai filtri è bastato trovare quelle due parole per cestinare tutto.

Il bello è che i destinatari della newsletter (tutta gente che ha chiesto di riceverla) non si accorgeranno nemmeno che sono stato “censurato”. E’ un esempio molto chiaro di come sia alto il potenziale dei filtri antispam come sistemi di censura. Un messaggio contiene una parola sgradita al Potente Di Turno, per esempio “democrazia”, come in Cina? Nessun problema: grazie al filtro antispam, il messaggio offensivo non esiste.

E’ anche un esempio lampante di come l’accanimento eccessivo e soprattutto poco intelligente (che fine hanno fatto i filtri bayesiani, così efficaci?) contro lo spam renda impossibili anche le attività legittime. Come fa, per esempio, una newsletter di orologiai di discutere di Rolex, o una newsletter di urologi di parlare di Viagra?

Va da sé che anche questo articolo, come quello precedente, non potrà essere distribuito nella newsletter perché verrebbe censurato dal filtro antispam. Andiamo bene.

Questo articolo vi arriva grazie alle gentili donazioni di “robertocasir****”, “paolobuss***” e “claudiobert***”.

Da un paio di giorni moltissimi utenti italiani della Rete mi stanno segnalando un messaggio spammatorio un po’ insolito, che afferma di provenire da un programmatore russo che ha dei clienti italiani dai quali deve farsi pagare.

Il messaggio è in inglese, ma lo traduco:

“Salve,

il mio amico mi ha dato il tuo indirizzo di e-mail. Credo che tu sia italiano, per cui mi puoi aiutare. Sono un programmatore russo e ho dei clienti italiani pronti a pagarmi mandandomi denaro tramite vaglia postale: non hanno un ufficio Western Union/Moneygram nelle loro vicinanze, ma io qui in Russia posso ricevere soltanto rimesse Western Union/Moneygram.

Per cui ho bisogno di trovare qualcuno che possa ricevere questo vaglia postale (ti basta avere un documento d’identità) e rispedirmi i soldi tramite una rimessa Western Union/MoneyGram.

Se mi aiuti riceverai il 10% della rimessa (10% di 2500 euro = 250 euro per una sola rimessa). Se sei pronto ad aiutare, per favore scrivimi a LOOKJOB@AOL.COM.”

Ecco l’originale inglese:

“Hello,

My friend give me your e-mail address. I think you are from Italy, so you can help me.

I am a programmer from Russia, I have some clients from Italy that ready to pay me sending
money by Post office transfer, they dont have WesternUnion/Moneygram office nere their place, but I can receive only Western Union/MoneyGram transfers here in Russia.

So – I need to find somebody who can receive this Post office transfer (you need just your ID for it) and re-send money to me by sending Western Union/MoneyGram transfer.

If you help me – you get 10% from transferred money (10% from 2500 EUR = 250 EUR to you
from one transfer). If you are ready to help, please e-mail me to LOOKJOB@AOL.COM.”

La richiesta è chiaramente truffaldina per le seguenti ragioni principali, che dovrebbero indurre al sospetto già in base al buon senso:

• Quale amico comune potreste avere con un programmatore russo?
• Come mai il programmatore “pensa” che siete italiani e non ne è sicuro? Il vostro comune amico non gliel’ha detto?
• Chi è così spendaccione da dare ben il 10% di commissione sul proprio lavoro soltanto per l’incasso?

Ci sono poi ragioni tecniche:

• Come mai il “programmatore” ha spammato mezza Italia con lo stesso messaggio?
• Come mai il messaggio arriva con un indirizzo del mittente diverso da quello al quale viene chiesto di rispondere?
• Quale posto in Italia è così sperduto da non avere un ufficio Western Union nelle vicinanze ma avere un ufficio postale (dove, se non erro, si possono fare i pagamenti Western Union)?

Il meccanismo della truffa sembra quello dell’anticipo scoperto: il pagamento che vi manda il “cliente” (in realtà un complice del truffatore, o il truffatore stesso) risulterà poi scoperto o falso, mentre voi gli avrete mandato irrevocabilmente, tramite Western Union, soldi buoni.

Tuttavia potrebbe trattarsi anche di ricerca di riciclatori inconsapevoli: il pagamento che vi manda il “cliente” (anche in questo caso complice del truffatore) è stato rubato mediante phishing e va “ripulito” facendolo transitare da un conto corrente non sospetto, ossia il vostro. Così nei guai ci finite voi, mentre il truffatore non è rintracciabile perché ha ricevuto i soldi tramite Western Union.

Ancora una volta si conferma il principio secondo il quale se l’offerta è troppo bella per essere vera, probabilmente non è vera.

Il mio consiglio è semplicemente di cestinare il messaggio. Se però avete un indirizzo di e-mail sacrificabile, potreste intasare la casella di posta del truffatore con false offerte di collaborazione e impedirgli di fare troppi danni (come avete fatto con un altro russo che si fingeva povero in canna con la nonna malata in quel di Kaluga), ma usate molta prudenza.

Si possono fare i milioni (di euro) con lo spam? Sì, ma poi finisce male. La BBC riferisce che Peter Francis-Macrae, è risultato essere uno dei peggiori spammer del Regno Unito. Le sue attività illegali gli hanno fruttato un milione e mezzo di sterline (circa 2,2 milioni di euro), prima di finire in tribunale per aver lanciato minacce di morte quando la polizia ha iniziato a stringere il cerchio intorno alle sue operazioni online.

Francis-Macrae era uno spammer un po’ particolare. Invece di vendere Viagra falso o Rolex-patacca, fingeva di avere un servizio dall’aria molto più legittima: la registrazione di dominii Internet con il suffisso .EU. Spammava le aziende offrendosi come intermediario per questa registrazione, piuttosto ghiotta per le aziende europee che vogliono stabilire una presenza transnazionale online. Solo che i dominii .EU non sono ancora in vendita.

Lo spammer diceva di avere un centro elaborazioni all’avanguardia nel cuore di Londra, ma in realtà operava da una comunissima abitazione nel Cambridgeshire.

Questo caso ribadisce che è essenziale, per evitare di essere truffati, smettere di fidarsi del primo nome che si incontra in Rete. E’ facilissimo mettere in piedi su Internet una “vetrina virtuale” che conferisce un’aria di assoluta rispettabilità, dietro la quale c’è il nulla (o peggio). Il fatto di avere un sito Web non significa niente.

Oltretutto ricevere un’offerta non richiesta avrebbe dovuto mettere in allarme: e poi dovrebbe essere prassi comune prendere informazioni sui propri fornitori. Ma quando c’è di mezzo la Rete, chissà perché, le abitudini e il buon senso volano fuori dalla finestra.

Dopo mesi di inattività, ho finalmente ricollegato la webcam. Non è accesa perennemente, ma ci sto lavorando. Ne trovate un’immagine nella pagina principale del blog, sulla destra. Cliccandovi sopra verrete portati a una pagina che si auto-aggiorna ogni due minuti. Astenersi impressionabili.

Un lettore, Francesco, segnala che se avete acquistato traffico telefonico su Skype e non lo usate almeno una volta ogni 180 giorni, perdete i vostri soldi.

La clausola, piuttosto ben nascosta al punto 6.5 delle condizioni del servizio (in inglese), recita testualmente: “A credit balance for SkypeOut service expires 180 days after last chargeable usage of SkypeOut service. Credit balances not used within said 180 day period will be lost.”

Nessun problema per le chiamate da computer a computer, ma se usate SkypeOut, il servizio di Skype che consente (a pagamento) di fare chiamate da computer a qualsiasi normale telefono, fate attenzione a non lasciar trascorrere più di 180 giorni senza usare il servizio a pagamento.

Il comportamento di Skype non è molto corretto: certo, bisogna sempre leggere tutte le condizioni e tutte le clausole di ogni contratto, e Skype non è l’unico operatore telefonico che ti dice “consuma entro tot tempo, altrimenti addio credito”, ma per ovvie questioni di trasparenza e facilità d’uso, sarebbe molto più onesto (e perfettamente fattibile) far comparire nel programma un avviso poco prima della scadenza.

Varrebbe la pena di valutare come si comportano in questo senso i programmi alternativi. Se Skype vuole restare leader nel settore, farà meglio a dare una limatina a queste condizioni poco corrette.

• Aggiornamento (2005/10/12 9:35): come segnalato da vari lettori, la scadenza del credito è indicata nella pagina Web dell’account Skype, ma per vederla occorre accedere al proprio account; occorre quindi un gesto attivo da parte dell’utente, mentre sarebbe più semplice e trasparente che se ne incaricasse Skype — o almeno ci provasse un po’ più attivamente.
• Aggiornamento (2005/10/13 11:20): un lettore segnala nei commenti che le versioni Windows e Linux di Skype successive alla 1.2 visualizzano un avviso di imminente scadenza del credito. Inoltre l’Help di Skype chiarisce il meccanismo della scadenza: il credito scade dopo 180 giorni di inattività e viene riportato a 180 non appena si stabilisce con successo una chiamata SkypeOut, ma ci possono volere fino a 10 giorni perché le informazioni di scadenza vengano aggiornate.
  Ho chiesto conferme a Skype e attendo risposta.

Mi stanno arrivando badilate di segnalazioni di un attacco di phishing ai danni dei correntisti di Bancoposta. Il testo del messaggio ha la particolarità di essere composto da una serie di immagini contenenti le righe del messaggio, e recita così:

“Recentemente abbiamo notato uno o piu [sic] tentativi di entrare al [sic] vostro conto di BancoPostaonline da un IP indirizzo [sic] differente.
Se recentemente accedeste [sic] al vostro conto corrente mentre viaggiavate, i tentativi insoliti di accedere a [sic] vostro Conto BancoPosta possono essere iniziati da voi. Tuttavia, visiti prego appena possibile BancoPostaonline per controllare le vostre [sic] informazioni di conto:”

Segue un link che come al solito non porta al sito vero delle Poste Italiane, ma (se il vostro programma di posta e il vostro browser non sono adeguatamente protetti) a un sito-clone. Come altrettanto solito, lo scopo è indurre chi non si pone dubbi sull’italiano assurdamente sgrammaticato a digitare i propri codici d’accesso nel sito-clone gestito dai truffatori.

La difesa è sempre la stessa: non abboccare, non cliccare, e semplicemente cancellare questi messaggi-esca, che stanno diventando frequenti come lo spam (e in effetti vengono considerati spam da alcuni programmi-filtro).

Ricordate che gli aggressori sparano nel mucchio, disseminando le loro esche a tutti gli indirizzi che raccattano in Rete, per cui non sanno nulla di voi e non c’è alcun rischio personale (o per l’istituto di credito) se non cliccate sul link presente nel messaggio.

Secondo un articolo di IBM, sta sviluppandosi una nuova forma di attacco, simile al phishing ma più mirato.

Il phishing si basa sul mandare centinaia di migliaia di e-mail generici che simulano di provenire da una banca o da eBay o da altra organizzazione che gestisce soldi, nella speranza di trovare a casaccio qualche utente di quell’organizzazione che sia sufficientemente malaccorto da rispondere all’invito a fornire i propri codici segreti. La nuova forma di attacco, denominata spear phishing (letteralmente, “pesca con la fiocina” o “phishing con la fiocina”), è invece calibrata specificamente sulla vittima.

Lo spear phishing è in genere condotto dall’interno del sistema. Per esempio, un dipendente di una ditta (che conosce i dettagli personali degli altri dipendenti) manda a ciascuno dei propri colleghi un e-mail che si spaccia per una comunicazione interna, che ordina loro di cambiare password e di inviarla via e-mail all’indirizzo appositamente fornito. L’indirizzo, ovviamente, non è quello dell’amministratore della sicurezza, ma uno che gli somiglia, creato dal dipendente-aggressore.

Lo spear phishing consente di confezionare e-mail-trappola molto più convincenti. Nel phishing tradizionale, i messaggi iniziano con un vago “caro correntista” e simili. I messaggi di spear phishing, invece, indicano nome, cognome e altri dati personali dei loro bersagli. La reazione istintiva è di fidarsi di chi dimostra di sapere già tutte queste informazioni personali.

Per difendersi occorre, come sempre, cautela e un po’ di buon senso. Qualunque richiesta di dati personali e specialmente di codici d’accesso che ci arriva via e-mail va trattata con la massima diffidenza e verificata usando un canale di comunicazione alternativo: per esempio, una telefonata al responsabile aziendale della sicurezza o all’ente che apparentemente ha inviato il messaggio di richiesta.

L’Unione Europea ha pubblicato una ricerca-confronto sulle tariffe di roaming per i cellulari, ossia quanto si spende per ricevere o fare una chiamata col proprio telefonino quando si è all’estero.

Le disparità e più in generale l’esosità delle tariffe sono evidenti. Due-tre euro al minuto (sono quattro-seimila lire, ricordate!) sono la norma, ma c’è anche di peggio. Tanto vale farsi infettare da un dialer.

Considerato che i costi effettivi tecnici del roaming sono praticamente gli stessi di una telefonata cellulare normale, è chiaro che i margini di profitto sono esageratamente alti. Per questo l’UE sta indagando.

Per ora la pagina della ricerca è in inglese; le altre lingue verranno aggiunte a breve.