Phishing via sms, chat, telefono e codici QR
Modulo 3: Riconoscere il phishing · Tempo di lettura: 12 minuti
Obiettivo della lezione: Dopo questa lezione saprà riconoscere il phishing al di fuori della posta elettronica: tramite sms e app di chat, al telefono (anche con una voce imitata), tramite codici QR e tramite una raffica di notifiche di accesso, e saprà come verificare per ciascun canale.
Concetti chiave: smishing, truffa dell'amico in difficoltà, vishing, spoofing dei numeri, falso helpdesk, clonazione vocale, quishing, bombardamento MFA
Perché gli altri canali funzionano così bene
Tutto quanto visto nella lezione 3.1 vale anche qui: urgenza, autorità, paura, curiosità e ricompensa. Ma al di fuori della posta elettronica i trucchi spesso funzionano ancora meglio:
- Al telefono si legge in fretta. Lo schermo è piccolo, gli indirizzi vengono troncati e spesso si è nel bel mezzo di qualcos'altro.
- C'è meno tecnologia di supporto. Un server di posta controlla SPF, DKIM e DMARC e dispone di un filtro antispam. Per sms, chat e telefono tutto questo è molto più limitato.
- Sembra più personale. Un messaggio in un'app di chat o una voce al telefono ispirano più fiducia di una e-mail.
- È in diretta. Chi chiama può fare domande, aumentare la pressione e guidarLa passo dopo passo.
Il riflesso resta lo stesso: si fermi, verifichi tramite un canale suo, chieda conferma. Ciò che cambia a seconda del canale è come si effettua questa verifica.
Sms e chat: smishing e amico in difficoltà
Lo smishing è il phishing via sms. I truffatori si spacciano per un'organizzazione da cui potrebbe aspettarsi un sms: un corriere, la banca, un ente pubblico, il Suo fornitore di energia. Lo stesso accade tramite app di chat come WhatsApp e Telegram.
Un esempio tipico:
Corriere: il Suo pacco non ha potuto essere consegnato per indirizzo incompleto. Pianifichi una nuova consegna:
https://koeriersdienst.track-nl.example/z8K
Legga il link come nella lezione 3.2: il dominio registrabile è track-nl.example e quindi non koeriersdienst.example del corriere. Su un telefono questo è particolarmente difficile, perché si vede solo l'inizio. Tenga premuto un link per vedere l'indirizzo completo, oppure non lo apra e si rechi direttamente sull'app o sul sito del corriere.
Il numero o il nome del mittente non dimostrano nulla. I mittenti di sms e i numeri di telefono possono essere falsificati (spoofing). Un messaggio falso può quindi comparire nello stesso filone di sms di messaggi veri provenienti da quel mittente. Anche un nome conosciuto sopra un messaggio non è quindi una prova.
La truffa dell'amico in difficoltà avviene tramite app di chat:
Salve, questo è il mio nuovo numero, il mio telefono si è rotto. Può farmi un pagamento? Gliela restituisco domani. Deve essere fatto oggi stesso.
In un'azienda lo stesso trucco si presenta come messaggio del "direttore" o di "un collega" con un nuovo numero, che chiede con urgenza un pagamento o buoni regalo. Verifichi: chiami o scriva alla persona sul numero vecchio e conosciuto, oppure faccia una domanda a cui solo la persona vera può rispondere.
Il telefono: vishing, falso helpdesk e voci clonate
Il vishing (voice phishing) è il phishing al telefono. Ricorrono spesso tre forme.
Il dipendente della banca. Qualcuno chiama a nome della banca o del "reparto antifrode": ci sono pagamenti sospetti, i Suoi soldi devono essere messi "al sicuro", oppure Le viene chiesto di comunicare un codice o approvare un pagamento nella Sua app bancaria. Sullo schermo a volte compare persino il numero reale della banca. Anche quello può essere falsificato. Una banca vera non chiede mai i Suoi codici di accesso né di trasferire denaro su un "conto sicuro".
Il falso helpdesk. Qualcuno chiama a nome di un fornitore di software, del Suo provider internet o della Sua azienda IT: il Suo computer è infetto, c'è un problema con il Suo account. Le chiede di installare un programma per poter visualizzare lo schermo a distanza. In questo modo prende il controllo del Suo computer. Il principio è semplice: non dia mai a nessuno, senza verifica, accesso remoto ai Suoi dispositivi.
La voce imitata. Con l'IA è possibile imitare una voce a partire da registrazioni audio, ad esempio tratte da un video o da una segreteria telefonica. Un clone vocale del Suo direttore o di un familiare può quindi chiamare con una richiesta urgente. Non può quindi più fidarsi ciecamente delle proprie orecchie.
Cosa funziona in tutti e tre i casi:
- Riattacchi non appena avverte pressione o Le vengono chiesti codici, denaro o accesso. Non è scortese.
- Richiami Lei stesso un numero che ha cercato autonomamente o che aveva già: il retro della Sua carta bancaria, il sito ufficiale, la Sua rubrica. Non il numero indicato da chi chiama.
- Concordi una domanda di controllo o una parola d'ordine con le persone che possono chiederLe denaro, come la direzione e l'amministrazione. Stabilisca anche che i pagamenti non avvengano mai sulla sola base di una telefonata (lezione 1.2).
Codici QR: il quishing
Un codice QR è semplicemente un link che non si riesce a leggere. Il quishing è il phishing tramite codice QR. Due forme:
- In strada o in un luogo pubblico. Un adesivo con un codice QR falso applicato sopra quello vero, su un parcometro, una colonnina di ricarica, un menu o un manifesto. Lei pensa di pagare tramite l'app del parcheggio, ma inserisce i dati della carta su un sito falso.
- In un'e-mail o un pdf. "Scansioni questo codice per confermare la Sua casella di posta." Un codice QR inserito in un'immagine non può essere verificato con il mouse. E lo scansiona con il telefono, dove gli indirizzi sono più difficili da leggere.
Le raccomandazioni includono quanto segue:
- Non scansioni un codice QR privo di testo o immagine esplicativa, e sia prudente con i codici in luoghi pubblici.
- Verifichi se il codice è davvero stampato sul manifesto o sul cartello, oppure se è stato applicato con un adesivo.
- Usi uno scanner che mostri prima a quale indirizzo o dominio si viene indirizzati. Nelle versioni più recenti di Android e iOS la fotocamera lo fa automaticamente.
- Se non riconosce l'indirizzo, non proceda. Non inserisca password o dati di pagamento se non è sicuro che il sito sia autentico.
Osservi l'esempio dell'indirizzo mostrato dalla fotocamera e verifichi il dominio registrabile, esattamente come nella lezione 3.2. Presso un parcometro può anche usare l'app ufficiale del parcheggio o l'indirizzo indicato sul cartello stesso.
Bombardamento MFA: quando il telefono continua a suonare
Molti servizi inviano, al momento dell'accesso, una notifica al telefono: "Sta cercando di accedere? Approvare o rifiutare." Se un malintenzionato è già in possesso della Sua password, proverà ad accedere ripetutamente. Il Suo telefono riceve una notifica dopo l'altra, a volte nel cuore della notte. Questo si chiama bombardamento MFA (anche MFA fatigue). L'aggressore spera che per irritazione o per errore prema Approva. A volte telefona o scrive in chat fingendosi "helpdesk": "Stiamo ripristinando il Suo account, prema Approva."
Cosa fare:
- Non approvi mai una notifica che non ha avviato Lei stesso. Nemmeno se qualcuno Glielo chiede.
- Lo consideri un allarme. Una notifica di accesso inattesa significa che qualcuno è in possesso della Sua password. Cambi immediatamente la password di quell'account, tramite il sito o l'app stessi.
- Controlli le sessioni attive e disconnetta le sessioni sconosciute (lezione 2.5).
- Scelga una forma più robusta di autenticazione a due fattori (2FA) se disponibile. Con l'abbinamento numerico (number matching) deve digitare nell'app un numero mostrato nella schermata di accesso; in questo modo non può approvare per sbaglio una notifica senza avere davanti quella schermata. Le passkey e le chiavi di sicurezza (lezione 2.4) sono ancora più robuste, perché non funzionano su un sito falso.
In pratica: ecco come si presenta
In Mio WebOké, nella sezione sessioni attive, può vedere dove e quando ha effettuato l'accesso, e può disconnettere altre sessioni (guida WebOké 3.6). Altri servizi, come il Suo programma di posta, il gestionale contabile o Nextcloud, dispongono di una panoramica simile nelle impostazioni di sicurezza dell'account. Dopo una notifica di accesso inattesa, controlli prima lì.
Riepilogo
- Al di fuori della posta elettronica funzionano gli stessi trucchi, ma c'è meno tecnologia di supporto e si legge più in fretta.
- Un numero o un nome mittente sullo schermo non dimostrano nulla: possono essere falsificati.
- Al telefono: riattacchi, richiami Lei stesso un numero conosciuto, non fornisca mai codici, denaro o accesso a distanza. Anche una voce conosciuta può essere stata imitata.
- Codici QR: controlli la presenza di adesivi, lasci che sia la fotocamera a mostrare l'indirizzo e legga il dominio registrabile.
- Una notifica di accesso inattesa è un allarme: la rifiuti, cambi la password, controlli le sessioni.
Quiz
Esercizio
Esercizio A3.4: Leggere un codice QR senza aprirlo. Il programma mostra un codice QR. Lo scansioni con la fotocamera del Suo telefono, ma non apra il link. Legga l'indirizzo mostrato dalla fotocamera e inserisca il dominio registrabile, indicando se aprirebbe il link. Il programma verifica la risposta.
Esercizio D3.4: Accordi per telefono, chat e notifiche di accesso. Definisca con il Suo team degli accordi su come richiamare, su una domanda di controllo o una parola d'ordine, e su cosa fare in caso di notifica di accesso inattesa. Verifichi poi sul Suo telefono se la fotocamera mostra l'indirizzo di un codice QR prima di aprirlo.
Esercizio D3.4: Accordi per telefono, chat e notifiche di accesso
Ecco come procedere: (1) Si accordi con le persone che effettuano o approvano i pagamenti che una richiesta di denaro, una modifica di IBAN o di codici non viene mai eseguita solo tramite telefono, sms o chat. Il richiamo avviene sempre su un numero presente nella propria amministrazione o rubrica. (2) Concordi una domanda di controllo o una parola d'ordine per le richieste urgenti della direzione o di familiari. Non scriva mai la parola d'ordine in formato digitale dove un malintenzionato possa leggerla. (3) Stabilisca cosa deve fare ciascuno in caso di una notifica di accesso inaspettata o di una serie di notifiche: rifiutare, segnalare, cambiare la password, controllare le sessioni (lezione 2.5). (4) Verifichi sul Suo telefono se la fotocamera, durante la scansione di un codice QR, mostra prima l'indirizzo e lo apre solo dopo aver toccato lo schermo. Usi a tale scopo un codice QR proveniente da una fonte propria e conosciuta (per esempio un codice creato da Lei stesso per https://www.example.com). (5) Verifichi se la Sua app di chat e i Suoi account principali dispongono di una protezione aggiuntiva che non sta ancora utilizzando (per esempio l'autenticazione a due fattori (2FA) con un PIN, l'abbinamento dei numeri nelle notifiche di accesso, o una passkey) e la attivi.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per approfondire
I passaggi descritti negli articoli di WebOké si riferiscono all'ambiente WebOké; presso altri fornitori il funzionamento è simile.
- Guida WebOké 3.6: Visualizzare ed effettuare il logout dalle sessioni attive
- Guida a Nextcloud 3.6: Visualizzare, revocare o cancellare da remoto dispositivi e sessioni
- ACN, risorse sulla cybersicurezza: https://www.acn.gov.it/
- CSIRT Italia: https://www.csirt.gov.it/
- Polizia Postale e delle Comunicazioni, segnalazione di frodi e phishing: https://www.commissariatodips.it/
- ENISA: https://www.enisa.europa.eu/