Spam e phishing: il vademecum per difendersi dagli hacker

Come riconoscere le email truffa? Ecco i consigli di Ermes Cyber Security, proprio mentre è in atto una maxi campagna di phishing ad opera di hacker internazionali

Redazione Web
Spam e phishing: il vademecum per difendersi dagli hacker

È in corso una maxi campagna di spam e phishing via mail con il tentativo di estorcere soldi ai malcapitati utenti: a darne allerta è la Polizia Postale, secondo la quale starebbe girando una mail in cui gli utenti vengono informati dell’hackeraggio del proprio account di posta elettronica ad opera di un gruppo internazionale di Criminali. “L’account - si legge nella nota della Polizia Postale - sarebbe stato hackerato attraverso l’inoculamento di un virus mentre venivano visitati siti per adulti. Da qui scaturisce la minaccia di divulgare a tutti il tipo di siti visitati e la conseguente richiesta di denaro in criptovaluta”. Ma “nulla di tutto ciò è reale: rappresenta  un’invenzione dell’autore del reato, elaborata al solo scopo di gettarci nel panico ed indurci a pagare la somma illecita”, avverte la Polizia Postale. Mantenere la calma e “non pagare assolutamente alcun riscatto” sono quindi i consigli della Polizia Postale che spiega: “l’inoculazione (quella vera) di virus informatici capaci di assumere il controllo dei nostri dispositivi può avvenire soltanto se i criminali informatici abbiano avuto disponibilità materiale dei dispositivi stessi, oppure qualora siano riusciti a consumare, ai nostri danni, episodi di phishing informatico: è buona norma quindi non lasciare mai i nostri dispositivi incustoditi (e non protetti) e guardarsi dal cliccare su link o allegati di posta elettronica sospetti”. 

Il phishing consiste nell’invio da parte di hacker e malintenzionati di comunicazioni fraudolente atte a sottrarre dati sensibili o denaro, e avviene nella maggior parte dei casi tramite l’invio di messaggi di posta elettronica o sms che simulano comunicazioni da parte di enti, istituti bancari o provider noti all’utente per invitarlo ad aprire un collegamento che riporta a siti trappola o ad aprire un allegato contenente un malware.

Ma come riconoscere le mail di phishing per starne alla larga? A stilare un utile vademecum è Ermes Cyber Security, startup dell’Incubatore I3P del Politecnico di Torino specializzata in sicurezza informatica.

"Originariamente gli utenti malevoli inviavano numerose mail di phishing ad utenti selezionati casualmente. Con il passare del tempo, però, gli hacker hanno innalzato l'asticella, iniziando ad inviare mail di phishing targettizzate (chiamate in gergo "Spear Phishing"), quindi cucite sull'utente stesso, sui suoi interessi, esperienze passate, connessioni familiari, ecc.”, spiega Hassan Metwalley, founder di Ermes Cyber Security. “Per preparare attacchi del genere è indispensabile avere una conoscenza approfondita del proprio obiettivo: queste informazioni spesso possono essere anche semplicemente reperite dal profilo social dell'utente, ma sempre più spesso gli hacker ricorrono ai Web tracker, servizi che raccolgono dati per tracciare le abitudini degli utenti”. 

Le informazioni registrate dai Web tracker vengono regolarmente usate, in modo innocuo, per proporre contenuti mirati sulla base delle operazioni che compiamo sul Web, ma è stato documentato come questi stessi strumenti possano essere utilizzati per spiare costantemente le attività dei dipendenti e raccogliere informazioni sensibili e private.

Come riconoscere le mail di phishing

Per evitare di cadere nella trappola degli hacker e riconoscere le email di phishing per prima cosa  bisogna prima di tutto verificare attentamente il mittente dell’email, andando a scoprire nei dettagli del messaggio ricevuto quale sia l’indirizzo email da cui proviene e se sia affidabile. Ma attenzione perché questo controllo non è infallibile. Hacker e malintenzionati riescono facilmente a mascherare il proprio indirizzo attraverso l’email spoofing, ovvero la pratica che consiste nell’impostare un indirizzo ufficiale come nome del mittente. Il lettore meno attento potrà quindi essere più facilmente tratto in inganno e tenderà a fidarsi della comunicazione ricevuta. Ermes Cyber Security suggerisce quindi di fare un passaggio in più e controllare le intestazioni (header) dell’e-mail ricevuta.

Altrettanto importante è stare alla larga dagli allegati di mail di cui non si è sicuri: non vanno scaricati. Anche semplici file come .pdf o .doc possono essere veicolo di malware o di altri file eseguibili (.exe o simili) che possono installare virus o backdoor sui dispositivi.

Altra caratteristica delle email di phishing è la presenza di un link  su cui si è invitati a cliccare: riporta ad un sito trappola, per far sì che il malcapitato utente rilasci dati e informazioni personali. Anche cliccando sul link malevolo può capitare di ritrovarsi in un sito in tutto e per tutto uguale all’originale: in questo caso bisogna fare molta attenzione all’URL, che apparirà senza dubbio simile ma che potrebbe presentare un’estensione di dominio diversa dal normale. Inoltre, in questi casi è sempre bene ricordare che un istituto bancario non scriverà via mail per chiedere di aggiornare i dati online cliccando su un link, così come le piattaforme online cui si è iscritti inviteranno piuttosto a raggiungere autonomamente tramite browser il sito stesso per fare il login.

Il phishing, avverte Ermes Cyber Security, non passa solo via mail: sempre più comune è anche quello tramite social network.  Ogni giorno gli account degli utenti vengono violati a loro insaputa e diventano essi stessi veicolo di “infezione”. Quindi quando un amico invia link dubbi, catene o richieste di aiuto non bisogna assolutamente cliccare o diffondere ad ulteriori contatti. Meglio piuttosto fermarsi e chiedere un’informazione in più al contatto amico da cui si ricevono link o messaggi “strani”. A maggior ragione, non si devono accettare richieste di amicizia da parte di contatti sconosciuti o dal profilo dubbio. 

L’ortografia è un altro segnale per individuare email di phishing. È bene controllare come sia scritto il testo: se è in un italiano traballante e utilizza appellativi troppo generici (es.: gentile utente della Banca), potrebbe essere la traduzione meccanica di un testo che viene spedito a migliaia di utenti in tutto il mondo.

Per evitare inoltre di continuare a ricevere email di phishing, bisogna sapere che diversi provider di posta consentono di segnalare non solo le email di spam, ma proprio quelle di phishing. Segnalazioni di questo tipo sono fondamentali perché aiutano a mettere definitivamente in black list specifici indirizzi email o interi domini fraudolenti.

Ultimo consiglio di Ermes Cyber Security è la “difesa a monte”: soprattutto nel caso delle aziende è infine sempre più importante proteggersi a monte dagli attacchi informatici per evitare data breach. Per questo motivo, Ermes Cyber Security ha sviluppato Ermes Internet Shield, il sistema che - primo al mondo - è in grado di agire a monte del pericolo di furto dei dati: una soluzione totalmente automatica che non richiede alcun intervento umano ed è in grado di assicurare una protezione totale aggiornata in tempo reale a tutti i dispositivi aziendali, permettendo così agli utenti di navigare in totale libertà e sicurezza

Lascia il tuo commento

Condividi le tue opinioni su Economy

Caratteri rimanenti: 400

Economy Mag