Sta circolando un nuovo tentativo di phishing ai danni della clientela bancaria di BPER SpA. Si tratta di una pagina Web studiata ad hoc per essere utilizzabile tramite browser mobile.
Indice degli argomenti
“Effettuato un accesso anomalo”, una truffa per l’Home Banking di BPER Banca
Lo segnala l’esperto di cybersecurity Salvatore Lombardo su Twitter. Il design rispetta perfettamente i canoni grafici del noto istituto di credito ma cerca di convincere la vittima a inserire i dati utili a prendere possesso dell’account della propria area riservata della banca. Inserendo codice utente, password e numero di telefono, questi dati verranno istantaneamente memorizzati nell’infrastruttura criminale.
“Attenzione”, recita la pagina Web di truffa, “la informiamo che nella giornata odierna è stato effettuato un accesso anomalo al suo servizio di Home Banking”.
A questo punto i malintenzionati tenteranno l’accesso e contatteranno la vittima fingendosi del assistenza clienti, nelle more di sbloccare la propria utenza bancaria facendosi dare il codice OTP che viene recapitato via SMS. Tutto falso. BPER non contatterà mai i propri clienti per sbloccare un accesso eventualmente bloccato a Smart Web Internet Banking o BPER Mobile Banking (questi sono i due prodotti online dell’istituto rispettivamente per PC e app mobile).
La frode che emula Smart Web Internet Banking
Il dominio utilizzato per la frode è registrato da oltre ventanni presso l’attuale registrar OVH, questo perché la pagina di truffa è caricata su un un terzo livello di “laboref-dz.com” nella forma “bperaccessoclienti.laboref-dz[.]com“. Di modo da far notare alla vittima che non c’è motivo di insospettirsi, grazie alla presenza della scritta “bper” nel nome di dominio.
L’hosting Web sembra essere localizzato in Germania e il certificato, anch’esso valido, è firmato da Let’s Encrypt.
Dall’analisi del codice utilizzato sembra che la pagina Web fraudolenta sia rivolta unicamente ad un pubblico mobile, il layout è quello dei nostri smartphone/tablet e da browser su PC non risulta accessibile. Un filtro facilmente installabile, ma che ci dà l’idea di come siano mirati gli attacchi di phishing, che segmentano le vittime.
Come si sblocca l’utenza BPER Banca?
Come detto nessun servizio clienti bancario, BPER compreso, chiamerà mai di propria iniziativa i clienti che si trovano nella situazione di avere un account bloccato. Quando si esauriscono i tentativi di accesso con password errata, l’account viene bloccato automaticamente e l’unico modo per sbloccarlo è utilizzare, in proprio, la bustina password che è stata consegnata al momento dell’attivazione del servizio/contratto.
All’interno di tale bustina, oltre alla password utile ad effettuare il primo accesso Web, è presente anche un codice di sicurezza di venti cifre. L’applicazione BPER Mobile Banking, durante la fase di sblocco della nostra utenza chiederà di inserire alcune di queste cifre. Seguendo tutti i passaggi otterremo nuovamente l’utenza sbloccata e perfettamente operativa.
Chiunque voglia contattarci telefonicamente per recuperare eventuali codici, non è parte dell’organizzazione e presumibilmente vorrà operare una truffa con il nostro Internet Banking. Ricordiamo pertanto di non dare mai seguito a comunicazioni di questo genere siano esse telefoniche, via SMS, Whatsapp o email. Inoltre, già da tempo, BPER Banca ha predisposto un’apposita sezione del proprio sito Web istituzionale a favore della diffusione della conoscenza sulle truffe principali che vengono operate ai danni dei clienti dell’istituto di credito. Se ne consiglia la consultazione che espone, in maniera chiara e semplice, i pericoli derivanti da phishing, smishing e frodi di ingegneria sociale, che utilizzano i nostri conti correnti come fonte di reddito.
