Social engineering: è in atto una campagna di Phishing ai danni di privati e P.A. L’AgID lancia l’allarme. Ecco come individuarle e difendersi

E’ un dato conclamato, gli attacchi informatici sono in netto aumento e la tendenza non accenna a diminuire.

Il rapporto Clusit per l’anno 2020 (clicca qui) rivela che gli attacchi gravi a livello globale sono cresciuti del + 37,7% nel 2018 rispetto al 2017 e del + 7% nel 2019 rispetto al 2018.

E questi, si badi, sono solo gli attacchi informatici “ufficiali”, cioè quelli di pubblico dominio.

Non sorprende quindi, date le premesse, che anche in questi mesi di grande fermento globale, legato alla pandemia di Coronavirus, tra le poche realtà a non aver risentito del lockdown ci siano proprio le “multinazionali” legate al settore cybercrime.

Il social engineering (ingegneria sociale) di cui questi hacker si servono per i propri scopi criminali, sfrutta le c.d. “vulnerabilità umane” come la paura, il desiderio, la distrazione, la curiosità, per far colpo sul malcapitato di turno e indurlo a compiere delle azioni (nella maggior parte dei casi cliccare su link malevoli).

E’ proprio fruttando queste vulnerabilità, che sono in atto nelle ultime settimane campagne di attacco informatico basate sul phishing (dall’omofonia con l’inglese “fishing” → pescare).

Nel caso di specie i malcapitati utilizzatori del programma di posta elettronica Microsoft Outlook si vedono recapitare una mail in tutto e per tutto simile a quella del loro provider, con oggetto: “Avvertimento Aggiornare Necessaria”, che gli invita a cliccare su un link nel testo al fine di effettuare l’accesso al proprio account Outlook, per perfezionare l’aggiornamento.

Come è facile intuire non vi è alcun aggiornamento da fare, ma l’obiettivo degli hacker è impadronirsi delle credenziali di accesso personali.
Cliccando nel link infatti, l’utente viene reindirizzato a dei precisi URL malevoli:

http[:]//b1z[.]org/ssoutlookupdate
http[:]//fleingt[.]c1[.]biz/?rel=update

L’AgID (Agenzia per l’Italia digitale), nel lanciare l’allarme, in particolare per le Pubbliche Amministrazioni, ma anche per i privati cittadini, ha emanato un “Vademecum anti-phishing” (clicca qui) che prevede accorgimenti quali:

Verificare la correttezza della forma: se la mail non è scritta in italiano corretto, potrebbe trattarsi di phishing;
Controllare l’intestazione: se la mail punta a un generico “cliente” e non contiene il nome o il cognome dell’utente, si è di fronte a una mail sospetta;
Controllare il link passandoci sopra il mouse: NON cliccare se rimanda a URL inusuali e sconosciuti;
Se si hanno dubbi sul contenuto, NON cliccare sul link proposto dalla mail e contattare il servizio clienti del presunto mittente;
Se si è cliccato sul link niente paura. Appena atterrati sulla pagina in cui si chiedono username e password, inserire credenziali fasulle. Un sito vero non riconoscerà le credenziali inserite e non permetterà l’accesso.

L’intento dei cyber criminali può essere il più vario, come quello di sottrarre le credenziali dell’utente e utilizzare le stesse per carpirne informazioni utili.

Nel caso in cui questo si verifichi ai danni di un privato cittadino, l’attacco può comportare l’accesso non autorizzato a dati personali e addirittura il furto di identità. Nel caso in cui invece la vittima sia un pubblico funzionario, l’attacco può arrivare a compromettere i dati sensibili dell’amministrazione oltre che comportare distruzione, perdita, modifica, divulgazione non autorizzata, accesso ai dati personali (dei cittadini), dando luogo in questo caso a un vero e proprio data breach (art. 4 p. 12 GDPR).

In questa campagna di phishing gli hacker si servono di una particolare tecnica, tanto subdola quanto efficace, del social engineering: sfruttare un nome autorevole – in questo caso quello della Microsoft Outlook – per indurre nei destinatari la fiducia di aver ricevuto una mail ufficiale da parte del proprio provider, ed essere portati ad eseguire proprio l’azione voluta dall’hacker, cioè cliccare nel link malevolo e seguire la procedura.

Nel caso in cui si riceva una mail inusuale o sospetta, occorrerebbe verificare innanzitutto se il testo della stessa è espresso in una forma corretta o se siano invece presenti grossolani errori grammaticali, che rappresentano il primo sintomo – come specificato dall’AgID – della mail di phishing.

Nel caso analizzato infatti, già l’oggetto: “Avvertimento Aggiornare Necessaria” dovrebbe far scattare in chi riceve la mail un primo “alert” sulla provenienza dubbia della stessa.

Alberto Pittau

Tags: #Cybersecurity, #Mail #Microsoft outlook, #AgID, #linee guida #social engineering, #phishing