È in atto una truffa di tipo phishing contro lo SPID di Poste Italiane sfruttando il bonus bici: le esche utilizzate sono un’e-mail o un SMS che invitano le ignare vittime a collegarsi al proprio account per aggiornare l’app PosteID necessaria alla gestione della propria identità elettronica. L’obiettivo dei criminal hacker è, ovviamente, quello di rubare informazioni riservate e denaro.
Indice degli argomenti
Phishing contro lo SPID di Poste Italiane: l’esca del bonus bici
Ricordiamo che l’accesso alla procedura di rilascio del bonus avveniva anche mediante identità SPID ottenuta dal sito di Poste Italiane. I criminal hacker hanno sfruttato questo meccanismo registrando a partire dal 6 ottobre scorso un dominio malevolo appositamente denominato aggiornamento-spid[.]com.
L’identificazione della campagna malevola è avvenuta con la collaborazione di D3LAB che ha fornito indicazioni e informazioni utili al CERT-AgID per il monitoraggio del dominio fasullo.
Attualmente il dominio fake è stato segnalato come malevolo e inserito fra gli Indicatori di compromissione (IoC) affinché sia prontamente inserito in blacklist nei sistemi che tutelano la sicurezza informatica. Se si cerca di raggiungere questo sito, i browser Chrome, Edge e Firefox lo segnalano già come sito ingannevole mediante un chiaro avviso su sfondo rosso visibile nella figura sottostante.
Tutti sono invitati a prestare la massima attenzione all’indirizzo della pagina web, unico indizio della natura fake del sito.
Quest’ultimo elemento ha fornito al CERT-AGID l’indicazione di come sia probabile l’organizzazione di una vasta campagna phishing via e-mail che utilizzerà il mezzo dell’SMS per invitare gli utenti ad aggiornare le credenziali SPID mediante il link malevolo verso il sito fake tentando di mietere vittime.
In questi giorni, inoltre, circola anche una e-mail inviata dai sistemi automatici di Poste Italiane dall’indirizzo info@posteid.poste.it che invita ad aggiornare l’app di PosteID fornendo i link per Android ed Apple, fornendo come motivazione la dismissione della vecchia versione dell’app al 22 ottobre.
La contemporaneità con la campagna fake su SPID deve destare sospetto in chiunque riceva la mail, perché sebbene i link appaiano come leciti rimandando all’app Play Store, si consiglia di effettuare gli aggiornamenti sempre e solo direttamente dagli store ufficiali di Android e Apple direttamente dal cellulare senza seguire link ricevuti, perché per quanto appaiano ben formati, possono nascondere chiamate a malware e contenere codice malevolo.
Un’altra verifica da fare è controllare l’ultimo aggiornamento effettuato dal device mobile direttamente dall’app Play Store in corrispondenza dell’app PosteID verificando la data effettiva dell’ultimo aggiornamento. In caso di necessità, si consiglia di procedere solo dallo store per scaricare l’ultima versione.
Mariana Pereira, Director of Email Security Products di Darktrace, sottolinea come i metodi utilizzati in questo attacco siano già stati visti in passato e, anche se non sono particolarmente sofisticati, continuano ad avere successo: gli aggressori hanno acquistato un nuovo dominio web, in modo tale che non fosse presente in nessuna blacklist per poi creare una pagina di registrazione fake.
Questa tattica ormai datata consente agli hacker di eludere i tradizionali strumenti di sicurezza della posta elettronica per far sì che gli utenti clicchino su un link dannoso e inseriscano le proprie credenziali.
Purtroppo, le minacce alla sicurezza della posta elettronica hanno continuato a diffondersi a dismisura durante la pandemia, con migliaia di aziende in tutto il mondo che ogni giorno sono prese di mira da attacchi scagliati tramite e-mail anche molto più sofisticati di queste.
Oggi, i team di sicurezza si trovano troppo spesso a dover affrontare attacchi di social engineering molto convincenti ed è praticamente impossibile distinguere le e-mail dannose dalle comunicazioni autentiche, e purtroppo non esistono regole tanto efficaci quanto rapide su come i dipendenti possano identificarle.
Gli strumenti di filtraggio che confrontano le e-mail con le blacklist non sono più sufficienti. Per questo, oggi le aziende hanno bisogno di una tecnologia altrettanto sofisticata come l’IA per combattere gli attacchi di phishing personalizzati prima che arrivino all’utente.
I consigli per difendersi dalla truffa
Chiunque riceva un SMS o un’e-mail acceduta da mobile, che inviti a cliccare la pagina SPID al fine di autenticarsi per accedere al bonus bici dovrebbe cestinare immediatamente il messaggio.
David Gubiani, Regional Director SE EMEA Southern di Check Point, ha sottolineato come i criminali digitali siano bravissimi nello sfruttamento di trend e di ricerche internet del momento per effettuare le loro campagne di phishing.
Proprio recentemente, continua Gubiani, i brand Microsoft e DHL sono stati sfruttati per questi scopi malevoli, perché sono aumentate le persone che lavorano da casa e quindi sono più propense ad aprire e-mail con queste tematiche.
In Italia il phishing viene fatto ancora prevalentemente tramite e-mail con link che puntano a siti falsi, simili a quello originale, con un URL simile oppure che differisce per comuni errori di battitura nell’indirizzo, per poter raccogliere anche chi digita l’indirizzo errato direttamente nel browser.
Anche nel caso dell’attuale truffa phishing ai danni dello SPID di Poste Italiane, “aggiornamento-spid[.]com” rappresenta una variante rispetto allo standard, un sito creato simile a quello di Poste Italiane ma con un URL che risponde a un preciso bisogno del momento, legato a chi effettua ricerche per il malfunzionamento dello SPID di Poste Italiane durante il click day per il bonus mobilità oppure come dichiarato dal ministero per essere veicolato tramite e-mail ed SMS, un fenomeno che in Italia non è ancora usato frequentemente, ma che sicuramente appare in crescita.
Fortunatamente le Banche hanno fatto passi enormi in termini di awareness comunicando con ogni mezzo ai propri clienti che mai un link o una richiesta di cambio dati o password sarà inviata via e-mail o SMS, ma molti si rifiutano di leggere con attenzione tali raccomandazioni con le conseguenze che conosciamo, ovvero di essere tratti in inganno, infettati e spesso derubati.
Check point suggerisce di adottare strumenti appositi per il contrasto delle minacce su mobile device e contro il phishing via SMS, il cosiddetto smishing. In generale, tuttavia, alcune buone norme di comportamento per proteggersi dal phishing via e-mail ed SMS consistono in:
- Conoscere i campanelli d’allarme. Ci sono alcune caratteristiche che possono indicare di essere vittima di un attacco attraverso un’e-mail. Alcuni campanelli d’allarme sono: scarsa formattazione, errori di ortografia e grammatica e saluti generici, come “caro utente” o “caro cliente”. È necessario assicurarsi che i link partano da https:// e non da http://. Non ci si deve fidare mai dei messaggi urgenti o allarmanti. Per gli SMS, di solito le banche e altre organizzazioni non inseriscono link direttamente nel messaggio, ma lo usano solo come notifica.
- Non rivelare troppe informazioni. Come regola generale, bisogna condividere il minimo indispensabile, indipendentemente dal sito in cui ci si trova. Le aziende non hanno mai bisogno del codice fiscale o della data di nascita dei clienti per fare affari con loro. Quindi non si devono fornire mai le proprie credenziali a terzi.
- Cancellare le e-mail sospette. Se si pensa che ci sia qualcosa che non va, probabilmente è così. È buona norma cancellare le e-mail sospette senza aprirle e senza cliccare su alcun link, oppure inoltrarle al reparto IT per le indagini.
- Non cliccare sugli allegati. Non è consigliabile aprire gli allegati di queste e-mail sospette o strane ed in particolare gli allegati Word, Excel, PowerPoint o PDF.
- Verificare il mittente. Per ogni e-mail che si riceve, è buona norma verificare chi la stia inviando. Chi o cosa è la fonte dell’e-mail? Ci sono errori di ortografia nel dominio e-mail? Controllare se ci sono errori di ortografia o alterazioni negli indirizzi e-mail del mittente. Non si deve esitare a bloccare i mittenti sospetti tramite il proprio client di posta elettronica. Per gli SMS si deve prestare più attenzione perché far apparire che un SMS sia stato inviato da una banca o altra organizzazione è veramente molto semplice. Quindi se non ci si aspetta l’SMS e se ne riceve uno con un link, è opportuno non cliccare.
- Mantenere aggiornati i propri dispositivi. Come regola d’oro ci si deve assicurare che tutte le proprie applicazioni, sul proprio telefono cellulare e sul computer desktop, siano aggiornate alle ultime versioni del software. Queste versioni hanno le ultime patch di vulnerabilità e le ultime difese per mantenere il device al sicuro. L’utilizzo di software obsoleti può lasciare delle porte aperte agli hacker per accedere alle informazioni personali.
