Ha cliccato: e adesso?

Modulo 3: Riconoscere il phishing · Tempo di lettura: 12 minuti

Obiettivo della lezione: Al termine di questa lezione saprà cosa fare nelle prime ore dopo un clic, una password inserita, dati bancari inseriti o un allegato aperto, nell'ordine corretto, e come segnalare e inoltrare il phishing.
Concetti chiave: contenere il danno, cambiare la password da un dispositivo pulito, revocare le sessioni, chiamare la banca, segnalare, inoltrare il phishing (ad esempio alla Polizia Postale e al marchio usurpato)

Può succedere a chiunque

Chiunque, prima o poi, clicca sul link sbagliato. Anche chi ha seguito questo corso, anche chi lavora nell'IT. Una buona e-mail di phishing arriva nel momento sbagliato, con la storia giusta. Vergognarsi non serve, agire rapidamente sì. Prima interviene, meno l'aggressore potrà fare con quello che ha ottenuto.

Per questo il primo passo in ogni azienda è: segnali subito l'accaduto al collega che si occupa dell'IT o alla Sua azienda IT. Si concordi che chi segnala un clic riceva un ringraziamento e non un rimprovero (ne parleremo meglio nella lezione 9.2). Chi ha paura di essere punito non dice nulla, e allora l'aggressore ha giorni di tempo a disposizione.

Prima determini: cosa è successo esattamente?

Quello che deve fare dipende da quanto si è spinta la situazione. Lo stabilisca prima, in modo breve e onesto.

Il solo clic di solito non è grave: i browser moderni sono ben protetti. Ma un clic può anche avviare un download. Se ha dei dubbi, tratti la situazione come se fosse quella più grave.

Passo dopo passo nelle prime ore

1. Segnali all'interno della Sua azienda. Subito, anche in caso di dubbio. Racconti cosa ha visto, quando, e cosa ha inserito o aperto. Conservi il messaggio: non lo elimini, Le servirà per segnalare.

2. Contenga il danno. Ha aperto un allegato o concesso a qualcuno l'accesso? Scolleghi il dispositivo dalla rete: disattivi il Wi-Fi, scolleghi il cavo di rete. Non lo spenga subito, perché ciò che si trova in memoria può essere utile per l'indagine (lezione 8.3). Non continui a lavorare su quel dispositivo.

3. Chiami la banca se sono coinvolti dei soldi. Ha inserito dati bancari o approvato un pagamento? Chiami subito la Sua banca, al numero indicato sulla carta o sul sito ufficiale. Prima agisce, maggiore è la probabilità che un pagamento possa essere bloccato o recuperato. Anche un pagamento verso un IBAN falso a seguito di una frode da fattura va segnalato immediatamente alla banca.

4. Cambi la password da un dispositivo pulito. Modifichi la password dell'account per cui ha inserito i dati. Lo faccia su un dispositivo diverso da quello su cui ha aperto l'allegato, perché su quest'ultimo un programma potrebbe osservare quello che digita. Digiti Lei stesso l'indirizzo o usi un segnalibro, non il link contenuto nel messaggio. Se ha usato la stessa password anche altrove, la cambi anche lì (lezione 2.1).

5. Revochi le sessioni e verifichi l'account. Una nuova password non estromette sempre automaticamente un aggressore già entrato. Esca quindi da tutte le altre sessioni (lezione 2.5) e verifichi cosa potrebbe aver modificato:

• autenticazione a due fattori (2FA): compare un'app o un numero di telefono sconosciuti?
• dati di recupero: è stato modificato l'indirizzo e-mail o il numero di telefono di recupero?
• regole di inoltro e filtri nella Sua casella di posta: un aggressore spesso imposta una regola che inoltra tutta la posta, o solo quella contenente "fattura", al proprio indirizzo, oppure la elimina subito. In questo modo continua a leggere i messaggi, anche dopo che Lei ha già cambiato la password;
• elementi inviati: ci sono e-mail inviate che Lei non ha scritto? In tal caso deve avvisare i Suoi contatti.

6. Segnali e inoltri. Veda il paragrafo seguente.

7. Verifichi se si tratta di una violazione di dati. L'aggressore ha potuto accedere a una casella di posta, a un elenco clienti o a un altro ambiente contenente dati personali? In tal caso potrebbe esserci una violazione di dati personali. Secondo il GDPR, una violazione di dati deve essere notificata senza ingiustificato ritardo e, se possibile, entro 72 ore dalla scoperta, al Garante per la protezione dei dati personali, a meno che sia improbabile che comporti un rischio per le persone interessate. In ogni caso, la registri nel Suo registro delle violazioni di dati. Come valutarlo lo imparerà nella lezione 8.2.

Segnalare e inoltrare il phishing

Segnalare ha senso anche quando non è successo nulla di grave. Così un sito falso può essere messo offline più in fretta, e altre persone vengono avvisate.

Alla Polizia Postale. Può segnalare e-mail false con link o allegati sospetti alla Polizia Postale e delle Comunicazioni (https://www.commissariatodips.it/). Alcuni suggerimenti utili:

• inoltri l'e-mail preferibilmente come allegato. Con un inoltro normale i dati tecnici (gli header di cui alla lezione 3.3) andrebbero persi. Se non è possibile, ad esempio da telefono, la inoltri semplicemente in modo normale;
• se l'e-mail sembra provenire da una banca o da un'altra azienda nota, metta in copia conoscenza (cc) l'indirizzo di quell'azienda;
• sms, WhatsApp e altri messaggi non vanno inoltrati via e-mail, ma segnalati tramite gli appositi canali di segnalazione messi a disposizione dalla Polizia Postale. Questi canali si usano anche per un'e-mail sospetta senza link o allegati, e per le truffe telefoniche del falso supporto tecnico.

In molti programmi di posta l'inoltro come allegato si chiama "Inoltra come allegato" o qualcosa di simile.

Al marchio usurpato. Se viene usurpato il nome di una banca, di un corriere o di un fornitore, lo comunichi a quell'organizzazione tramite un canale che Lei stesso cerca sul loro sito ufficiale, non tramite il messaggio ricevuto. Molte organizzazioni hanno un indirizzo dedicato per segnalare il phishing. Se si tratta della Sua azienda di hosting o del Suo fornitore di posta, lo invii anche a loro; con WebOké può farlo tramite un ticket, allegando l'e-mail (Centro assistenza 581).

Denuncia alla polizia. Se ha perso denaro, o se c'è stato un abuso o un tentativo in tal senso, sporga denuncia. La Polizia Postale fornisce consulenza e raccoglie segnalazioni, ma solo le forze dell'ordine possono condurre le indagini.

Dopo può eliminare il messaggio e bloccare il mittente.

Controllo dopo una settimana

Un attacco non sempre finisce dopo un giorno. Imposti un promemoria per una settimana dopo:

• Ci sono nuove notifiche di accesso o sessioni sconosciute?
• Compaiono pagamenti sconosciuti negli estratti conto bancari?
• Ci sono nuove regole di inoltro o filtri nella casella di posta?
• Clienti o fornitori si lamentano di e-mail strane inviate a Suo nome? In tal caso la Sua casella di posta potrebbe essere ancora usata per inviare spam (Centro assistenza 25).
• Cosa possiamo imparare? Il messaggio era facilmente riconoscibile, e cosa avrebbe potuto far scattare l'allarme prima, la prossima volta?

Nella pratica: ecco come appare

Lunedi, ore 9:12. Fatima della Panetteria Example inserisce la password della propria posta su una pagina di accesso contraffatta del "programma di contabilità". Alle 9:15 nota che l'indirizzo era boekhoudpakket.inlog-check.example. Lo segnala a Kees, che si occupa dell'IT. Alle 9:20 Kees, dal proprio laptop, cambia la password della casella di posta di Fatima e disconnette tutte le sessioni. Nella webmail trova una nuova regola: tutta la posta contenente "fattura" viene inviata a un indirizzo sconosciuto e poi eliminata. Rimuove la regola, attiva l'autenticazione a due fattori (2FA) e controlla gli elementi inviati: nulla è stato inviato. Fatima inoltra l'e-mail di phishing come allegato alla Polizia Postale. Kees lo annota nel registro degli incidenti e verifica se l'aggressore possa aver visto dati personali. Dopo una settimana controlla di nuovo le regole e le sessioni.

Dove si trovino queste regole e sessioni varia a seconda dell'ambiente. Con WebOké gli inoltri di un indirizzo si trovano in Mio WebOké e in DirectAdmin (Forwarders), e una regola può trovarsi anche nella webmail o nel programma di posta stesso. Presso altri fornitori funziona in modo simile: cerchi le voci inoltro, forwarders, regole o filtri.

Riepilogo

• Chiunque, prima o poi, clicca. Lo segnali subito, senza vergogna, e si concordi che la segnalazione venga premiata.
• Stabilisca prima cosa è successo: solo un clic, password, codice, dati bancari, allegato o accesso da remoto.
• Ordine: segnalare, contenere il danno (scollegare dalla rete), chiamare la banca se sono coinvolti dei soldi, cambiare la password da un dispositivo pulito, revocare le sessioni e verificare l'account (soprattutto le regole di inoltro), segnalare e inoltrare, valutare se c'è una violazione di dati.
• Inoltri l'e-mail falsa come allegato alla Polizia Postale (https://www.commissariatodips.it/), mettendo in copia conoscenza il marchio usurpato; sms e messaggi di chat tramite gli appositi canali di segnalazione. In caso di danno: sporga denuncia.
• Controlli di nuovo dopo una settimana.

Quiz

Esercizio

Esercizio A3.5: La scheda dei passaggi dopo un clic. Le viene presentata una situazione e un mazzo di schede con dei passaggi. Scelga quali passaggi sono necessari e li metta nell'ordine corretto. Il programma li verifica e spiega perché un passaggio deve avvenire prima o dopo.

Per saperne di più

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori funziona in modo simile.

• Questa email è davvero di WebOké? Riconoscere il phishing e utilizzare il codice promozionale
• Casella di posta compromessa o spam inviato dal Suo indirizzo: ecco come risolvere
• Guida WebOké 3.6: Visualizzare ed effettuare il logout dalle sessioni attive
• Guida DirectAdmin 3.7: Password sicure e cosa fare in caso di password trapelata
• Polizia Postale e delle Comunicazioni: https://www.commissariatodips.it/
• ENISA, risorse sulla cybersicurezza: https://www.enisa.europa.eu/
• ACN (Agenzia per la Cybersicurezza Nazionale), phishing: https://www.acn.gov.it/