Articoli

Il phishing via SMS raddoppia sotto le feste: smartphone sotto attacco

Sugli smartphone raddoppiano gli attacchi di phishing in mobilità attraverso messaggi SMS, il cosiddetto smishing. La messaggistica mobile sembra arrivare da aziende conosciute come noti rivenditori, celebri marchi di e-commerce e corrieri per la consegna pacchi, ma in realtà si tratta di esche di cyber criminali che bombardano i dispositivi mobili di utenti inconsapevoli per rubare informazioni personali. L’obiettivo del cyber crime è come sempre il ritorno economico. Il phishing e lo spear phishing hanno avuto un ultimo anno con un incremento molto significativo. Secondo le statistiche di Google si registrano oltre 46.000 siti di phishing a settimana, con particolare recrudescenza in Europa.

L’impennata degli attacchi phishing sotto le festività

In alcuni periodi dell’anno, più opportunistici come nel caso delle festività o per minore attenzione o stanchezza, come invece avviene nei periodi precedenti alle vacanze, gli attaccanti sfruttano le tecniche di ingegneria sociale per compiere frodi o sviluppare un primo accesso abusivo. In effetti i ricercatori hanno rilevato un forte incremento degli attacchi phishing che sfruttano il periodo festivo, quando gli utenti abbassano le difese e i messaggi – fra auguri e consegne – si moltiplicano. L’azienda di sicurezza ha registrato quasi il doppio dei messaggi rispetto allo stesso periodo dello scorso anno: più di due terzi di tutti gli SMS spediti a livello globale, in qualche modo, si ispirano alla consegna di ordini o a nomi di brand dell’eCommerce e del retail in ambito consumer. Passati Black Friday e Cyber Monday, ora apre la stagione dello shopping natalizio e i cyber criminali inondano gli utenti mobili di messaggi SMS che promettono offerte speciali, consegne di pacchetti/regali, avvisi di consegna in ritardo.

Cos’è lo smishing?

Gli utenti di smartphone, quando ricevono un SMS, non hanno la stessa prudenza che ormai mostrano con i messaggi di posta elettronica, dove sanno che rappresentano comportamenti rischiosi: aprire allegati ricevuti da sconosciuti, cliccare su link discutibili e visitare pagine web con reindirizzamenti multipli. Il 69% delle persone a livello globale non conosce o non sa nei dettagli cosa sia lo smishing. Invece i messaggi di phshing via SMS hanno un tasso di apertura dei messaggi del 98% e un click-through otto volte superiore rispetto alle email: cifre che dimostrano che il malware mobile potrebbe fare un danno enorme. Le campagne smishing attaccano il 61% delle aziende globali (ma la percentuale sale all’81% fra le aziende statunitensi), sfruttando gli stessi canali di comunicazione, la messaggistica mobile, che le imprese usano per il loro legittimo marketing.

Come avviene l’attacco di phishing?

Molti di questi messaggi di phshing via SMS denunciano problemi connessi all’acquisto o alla consegna di un articolo inesistente, da risolvere fornendo informazioni relative alla carta di credito. In altri casi, gli attaccanti cercano di trafugare dati personali attraverso un URL o una landing page accattivante.

Il terreno fertile degli attaccanti

Le aziende abilitano il lavoro da remoto con una vasta gamma di dispositivi, ma le persone comunicano sempre più spesso con lo smartphone personale, uno strumento comodo e rapido, ma spesso fuori del perimetro classico aziendale. Il lavoro da remoto e in mobilità è aumentato vertiginosamente negli ultimi due anni. Questa nuova modalità ha portato i dipendenti molto più spesso al di fuori del perimetro classico aziendale. Questo nuovo approccio ha portato ad un abbassamento delle difese comportamentali classiche, spesso perché si è in luoghi più familiari e informali. Sono proprio queste situazioni il terreno fertile degli attaccanti.

Consigli per difendersi

I consigli per proteggersi sono: stare sempre all’erta, avere maggiore consapevolezza dei rischi, ma soprattutto aggiornarsi continuamente, per evitare di cadere nei tranelli del cyber crime. Il fattore umano resta un terreno scivoloso per molte organizzazioni, specialmente quando gli investimenti sono orientati quasi esclusivamente alle tecnologie di sicurezza. Le persone e i loro comportamenti sono fondamentali per la cyber security e la formazione, specialmente con le migliori tecniche più moderne di gamification o cyber range, è un processo continuativo che non può limitarsi ad appuntamenti occasionali. I consumatori ripongono eccessiva fiducia nei dispositivi mobile. Invece gli attacchi SMS stanno registrando una crescita esponenziale a livello mondiale. A trainare l’aumento del phishing via SMS è la mancanza di consapevolezza. Le minacce invece arrivano anche via SMS, in quanto ai cyber criminali interessa solo sfruttare canali di comunicazione maturi e sempre nuovi, per cogliere impreparati gli utenti inconsapevoli e sferrare l’attacco.

 

Fonte: Cybersecurity360

Phishing a tema bonus bici contro lo SPID di Poste Italiane, la truffa del finto sms per rubare dati

È in atto una truffa di tipo phishing contro lo SPID di Poste Italiane: le esche utilizzate sono un’e-mail o un SMS che invitano le ignare vittime a collegarsi al proprio account per aggiornare l’app PosteID necessaria alla gestione della propria identità elettronica. L’obiettivo dei criminal hacker è, ovviamente, quello di rubare informazioni riservate e denaro.

Phishing contro lo SPID di Poste Italiane: l’esca del bonus bici

Come sempre accade nei casi di intenso traffico Internet degli utenti verso siti di particolare interesse, i malintenzionati digitali tendono a sfruttarli per trarne profitto: è questo il caso del Click Day per il bonus bici che ha polarizzato l’attenzione dei potenziali interessati ad accaparrarsi il bonus di 500 euro per l’acquisto di biciclette e monopattini.

Poiché l’accesso alla procedura di rilascio del bonus avveniva anche mediante identità SPID ottenuta dal sito di Poste Italiane, i criminal hacker hanno registrato a partire dal 6 ottobre scorso un dominio malevolo appositamente denominato aggiornamento-spid[.]com.

Attualmente il dominio fake è stato segnalato come malevolo e inserito fra gli Indicatori di compromissione (IoC) affinché sia prontamente inserito in blacklist nei sistemi che tutelano la sicurezza informatica. Se si cerca di raggiungere questo sito, i browser Chrome, Edge e Firefox lo segnalano già come sito ingannevole mediante un chiaro avviso su sfondo rosso visibile nella figura sottostante. Invece, i browser da mobile non lo riconoscono e dunque gli utenti che lo dovessero accedere da dispositivo mobile, si troverebbero davanti una pagina perfettamente similare a quella lecita. Quest’ultimo elemento ha fornito l’indicazione di come sia probabile l’organizzazione di una vasta campagna phishing via e-mail che utilizzerà il mezzo dell’SMS per invitare gli utenti ad aggiornare le credenziali SPID mediante il link malevolo verso il sito fake tentando di mietere vittime.

In questi giorni, inoltre, circola anche una e-mail inviata dai sistemi automatici di Poste Italiane dall’indirizzo info@posteid.poste.it che invita ad aggiornare l’app di PosteID fornendo i link per Android ed Apple, fornendo come motivazione la dismissione della vecchia versione dell’app al 22 ottobre. La contemporaneità con la campagna fake su SPID deve destare sospetto in chiunque riceva la mail, perché sebbene i link appaiano come leciti rimandando all’app Play Store, si consiglia di effettuare gli aggiornamenti sempre e solo direttamente dagli store ufficiali di Android e Apple direttamente dal cellulare senza seguire link ricevuti, perché per quanto appaiano ben formati, possono nascondere chiamate a malware e contenere codice malevolo. Un’altra verifica da fare è controllare l’ultimo aggiornamento effettuato dal device mobile direttamente dall’app Play Store in corrispondenza dell’app PosteID verificando la data effettiva dell’ultimo aggiornamento. In caso di necessità, si consiglia di procedere solo dallo store per scaricare l’ultima versione.

Questa tattica ormai datata consente agli hacker di eludere i tradizionali strumenti di sicurezza della posta elettronica per far sì che gli utenti clicchino su un link dannoso e inseriscano le proprie credenziali.

I consigli per difendersi dalla truffa

Chiunque riceva un SMS o un’e-mail acceduta da mobile, che inviti a cliccare la pagina SPID al fine di autenticarsi per accedere al bonus bici dovrebbe cestinare immediatamente il messaggio. Il sito di Poste Italiane non menziona la specifica occorrenza di una probabile campagna di phishing: tuttavia, nella sua pagina dedicata al contrasto delle truffe digitali, unitamente ad una serie di indicazioni per la difesa, chiede di segnalare i tentativi di phishing che possono riguardare l’azienda Poste Italiane al sito antiphishing@posteitaliane.it.

In Italia il phishing viene fatto ancora prevalentemente tramite e-mail con link che puntano a siti falsi, simili a quello originale, con un URL simile oppure che differisce per comuni errori di battitura nell’indirizzo, per poter raccogliere anche chi digita l’indirizzo errato direttamente nel browser. Anche nel caso dell’attuale truffa phishing ai danni dello SPID di Poste Italiane, “aggiornamento-spid[.]com” rappresenta una variante rispetto allo standard, un sito creato simile a quello di Poste Italiane ma con un URL che risponde a un preciso bisogno del momento, legato a chi effettua ricerche per il malfunzionamento dello SPID di Poste Italiane durante il click day per il bonus mobilità oppure come dichiarato dal ministero per essere veicolato tramite e-mail ed SMS, un fenomeno che in Italia non è ancora usato frequentemente, ma che sicuramente appare in crescita.

Fortunatamente le banche hanno fatto passi enormi in termini di awareness comunicando con ogni mezzo ai propri clienti che mai un link o una richiesta di cambio dati o password sarà inviata via e-mail o SMS, ma molti si rifiutano di leggere con attenzione tali raccomandazioni con le conseguenze che conosciamo, ovvero di essere tratti in inganno, infettati e spesso derubati.

Si suggerisce di adottare strumenti appositi per il contrasto delle minacce su mobile device e contro il phishing via SMS, il cosiddetto smishing. In generale, tuttavia, alcune buone norme di comportamento per proteggersi dal phishing via e-mail ed SMS consistono in:

1. Conoscere i campanelli d’allarme. Ci sono alcune caratteristiche che possono indicare di essere vittima di un attacco attraverso un’e-mail. Alcuni campanelli d’allarme sono: scarsa formattazione, errori di ortografia e grammatica e saluti generici, come “caro utente” o “caro cliente”. È necessario assicurarsi che i link partano da https:// e non da http://. Non ci si deve fidare mai dei messaggi urgenti o allarmanti. Per gli SMS, di solito le banche e altre organizzazioni non inseriscono link direttamente nel messaggio, ma lo usano solo come notifica.

2. Non rivelare troppe informazioni. Come regola generale, bisogna condividere il minimo indispensabile, indipendentemente dal sito in cui ci si trova. Le aziende non hanno mai bisogno del codice fiscale o della data di nascita dei clienti per fare affari con loro. Quindi non si devono fornire mai le proprie credenziali a terzi.

3. Cancellare le e-mail sospette. È buona norma cancellare le e-mail sospette senza aprirle e senza cliccare su alcun link, oppure inoltrarle al reparto IT per le indagini.

4. Non cliccare sugli allegati. Non è consigliabile aprire gli allegati di queste e-mail sospette o strane ed in particolare gli allegati Word, Excel, PowerPoint o PDF.

5. Verificare il mittente. Per ogni e-mail che si riceve, è buona norma verificare chi la stia inviando. Chi o cosa è la fonte dell’e-mail? Ci sono errori di ortografia nel dominio e-mail? Controllare se ci sono errori di ortografia o alterazioni negli indirizzi e-mail del mittente. Non si deve esitare a bloccare i mittenti sospetti tramite il proprio client di posta elettronica. Per gli SMS si deve prestare più attenzione perché far apparire che un SMS sia stato inviato da una banca o altra organizzazione è veramente molto semplice. Quindi se non ci si aspetta l’SMS e se ne riceve uno con un link, è opportuno non cliccare.

6. Mantenere aggiornati i propri dispositivi. Come regola d’oro ci si deve assicurare che tutte le proprie applicazioni, sul proprio telefono cellulare e sul computer desktop, siano aggiornate alle ultime versioni del software. Queste versioni hanno le ultime patch di vulnerabilità e le ultime difese per mantenere il device al sicuro. L’utilizzo di software obsoleti può lasciare delle porte aperte agli hacker per accedere alle informazioni personali.

 

Fonte: AziendaDigitale

L’sms Amazon truffa che promette un regalo e ruba soldi

Torna la truffa via sms targata Amazon, un tentativo di phishing avvistato per la prima volta nel 2018 e di nuovo oggetto di una campagna massiva in queste settimane. Adesso anche al ritorno dalle vacanze, a settembre, con un messaggio che propone un (finto) regalo di un abbonamento Amazon Prime gratuito.

L’sms truffa “Amazon.it”: regalo o pacco in attesa

L’ultima versione, diversa dalle precedenti, si presenta così: “Ciao [nome utente], abbiamo cercato di contattarti per il tuo regalo. Per richiederlo segui questo link [segue link truffa]”.
La forza della truffa è che arriva via sms – canale che tendiamo a considerare ancora più sicuro e personale delle e-mail – e che conosce il nostro nome associato al nostro numero di cellulare (non è un invio a pioggia a numerazioni random).

In altre versioni l’sms specifica che il regalo è uno smartphone iPhone o altro e che è il frutto di un sorteggio. In alcune versioni diceva di cliccare il link per sbloccare un “pacco in attesa”.
In particolare a settembre la truffa sembra specializzarsi della proposta di un regalo di un abbonamento Amazon Prime. Per il resto, stesse caratteristiche.

Il finto regalo del finto sms Amazon

Il link apre una pagina che ci annuncia di aver vinto un iPhone a un sorteggio; ci chiede dati personali per farcelo arrivare a casa, numero di carta di credito per pagare la sola spedizione (1-3 euro).
In alcune versioni, la truffa chiede i nostri dati di accesso Amazon. Tutte cose che ovviamente finiscono nelle mani dei criminali e che sono utilizzabili per i classici furti di identità o bancari.

“I criminali hanno i nostri dati grazie a un data breach, come quello famoso subito da LinkedIn nel 2012. Ma non c’è servizio internet che non abbia subito una violazione; e può essere anche un hotel, come nel caso Marriott, o una compagnia aerea, come in quello recente di EasyJet“, spiega Alessio Pennasilico, di P4I e responsabile scientifico di Cybersecurity360.it.

“I dati, una volta sottratti da un sito o un servizio Web, finiscono sul mercato nero e possono essere comprati e usati da altri cyber criminali per realizzare campagne malevoli mirate”, continua. Con il nostro nome e numero.

Come difendersi?

“Anche in questo caso si denota una spiccata capacità dei cyber criminali nell’identificare le vulnerabilità a livello di fattore umano, così da massimizzare l’efficacia della campagna malevola e di conseguenza i ricavi”, commenta Alessio Pennasilico, di P4i e responsabile scientifico di Cybersecurity360.it.

“Non solo utilizzano dati personali corretti (es. il nome) ma scelgono come vettore l’sms. L’attenzione che la possibile vittima avrebbe prestato allo stesso messaggio via mail sarebbe stata enormemente maggiore; attribuendo invece, erroneamente, maggiore affidabilità ad altri canali (telefono, sms, chat e programmi di messaggistica istantanea) la soglia di attenzione è drasticamente più bassa e la trasformazione di possibili vittime in vittime molto più efficace”.

“Non si trascuri, inoltre, che un link aperto da un sms viene quasi certamente visualizzato da uno smartphone, abbassando di molto, quindi, la possibilità per la vittima di rendersi conto di eventuali anomalie presenti sul sito web, proprio a causa delle semplificazioni introdotte nella visualizzazione da parte di browser mobile”, aggiunge.

Come fare? “Le nostre organizzazioni, ma ogni utilizzatore in generale, dovrebbe sviluppare una sensibilità non solo verso i tentativi di truffa per riconoscerli (io rabbrividisco ogni volta che leggo “regalo”) ma soprattutto verso il rischio intrinseco di tutti i vettori che i criminali utilizzano per contattarci. Dobbiamo smettere di fidarci ciecamente di ogni canale o mittente, anche se noto, e sviluppare un senso critico orizzontale rispetto agli strumenti che utilizziamo”.

 

Fonte: CyberSecurity360

Inps, il malware via sms che sfrutta il bonus 600 euro

Arrivano a pioggia sms che si spacciano provenire da Inps e chiedono di cliccare su un link per modificare la propria domanda di bonus 600 euro.

È stata la stessa Inps a lanciare l’allarme, invitando a non cliccare sul link e specificando che qualsiasi sms proveniente dall’istituto non ne conterrà link.

“Puntuali come sempre, i criminali scelgono il momento opportuno per lanciare gli attacchi di social engineering invitando gli utenti a scaricare una App per aggiornare la propria domanda Covid-19 proprio nei giorni in cui stanno arrivando le notifiche di conferma di ricezione delle domande per il bonus da 600 euro”, commenta l’esperto di sicurezza informatica Paolo dal Checco.

“Accedendo al il dominio “inps-informa.online” contenuto nell’SMS – registrato il 4 aprile ma oggi non più attivo – compariva una pagina simile a quella dell’INPS dove l’utente veniva invitato a scaricare un’App per Android “covid-19.apk” segnalata come malevola da numerosi antimalware”, spiega. “Dalle analisi preliminari sembra trattarsi di Cerberus, un malware bancario per Android che sottrae alle vittime le password di accesso e i codici di autenticazione inseriti nelle App o nei siti di web banking”.

“Continua lo sciacallaggio da parte dei criminali, anche di quelli informatici, nello sfruttare l’attenzione mediatica di cui gode l’attuale emergenza sanitaria”, aggiunge Alessio Pennalisico (P4i, Clusit).

“Dopo aver visto campagne di phishing che hanno provato a sfruttare presunte notizie, aggiornamenti o mappe sull’infezione, ora provano a sfruttare la sensibilità al tema interventi economici straordinari a supporto dei professionisti. Diventa in questo immediatamente evidente quanto possa essere efficace una campagna simile, di quanti cliccheranno quel link ed installeranno quell’app”.

I consigli contro la nuova truffa basata su Inps (e altre simili)

“Vale in ogni caso il consiglio di non installare mai programmi scaricati fuori dallo store ufficiale e, anche per le App lì presenti, valutare comunque i commenti e la data di pubblicazione, perché non di rado i delinquenti riescono a caricare delle versioni infette che vengono prontamente rimosse ma possono rimanere disponibili per qualche ora o persino qualche giorno”, dice Dal Checco.

Aggiungiamo ai consigli dell’esperto la raccomandazione base da seguire per evitare di finire vittime del malspam: ignorare mail, sms o altre comunicazioni che ci chiedono di compiere una qualsiasi azione (download allegato, clic su link…).

Dato che istituti e altre fonti legittime sanno che questa è la modalità seguita dai truffatori, non ci chiederanno mai di compiere azioni nelle mail o sms che ci possono mandare; né metteranno allegati. I messaggi conterranno al massimo informazioni statiche nel corpo del testo.

 

Fonte: Cybersecurity360

Difenditi dallo smishing, la truffa informatica via sms

Poste Italiane ha avvertito tutti i suoi clienti di stare attenti a possibili truffe informatiche derivanti da SMS: stiamo parlando dello smishing.

Lo smishing è una frode in cui i criminali informatici inviano sms spacciandosi per mittenti noti alla vittima. Gli SMS contengono dei link che reindirizzano l’utente su siti contraffatti simili a quelli ufficiali o abitualmente frequentati. Purtroppo tali messaggi sono molto credibili ed è facile essere tratti in inganno: di recente, ad esempio, sono stati inviati SMS a nome di PosteInfo e contenenti link che rimandano a siti clone di Poste Italiane. Da qui i criminali informatici cercano di carpire i dati personali ed operare a danno dei clienti.

Bisogna fare attenzione perché il messaggio fraudolento si visualizza nella stessa lista dei messaggi effettivamente inviati da Poste Italiane, che sono invece corretti e sicuri. Si raccomanda di non utilizzare link presenti in comunicazioni sospette poiché Poste Italiane e le società del Gruppo Poste non chiedono mai ai clienti di fornire i propri dati e codici personali via SMS o mail. Ricorda inoltre che il numero di cellulare è un’informazione personale da tenere sempre protetta.

 

Fonte: Poste Italiane