Ricevi un’email da bank0famerica@acc0unt.com che afferma di aver rilevato attività sospette sull’estratto conto della tua carta di credito e ti chiede di verificare le tue informazioni finanziarie. Cosa fai? Malgrado la voglia di capire subito di cosa si tratta, è meglio evitare di fare clic sul link, poiché questa è probabilmente l’opera di un criminale informatico. Il phishing è una truffa che induce gli utenti a fornire volontariamente informazioni personali importanti. Proteggiti dal phishing esaminando alcuni esempi di email fraudolente e imparando a riconoscere questa comune truffa online.
Cos’è il phishing?
Il phishing è un crimine informatico che mira al furto di dati sensibili. Fingendosi aziende o altri enti affidabili, i truffatori tentano di ingannare gli utenti per indurli a fornire volontariamente informazioni come le credenziali di accesso ai siti Web o, peggio ancora, i dati della carta di credito.
Cos’è un’email/SMS di phishing?
Un’email o un SMS di phishing (nel caso dei messaggi di testo si parla di SMiShing) è un messaggio fraudolento creato in modo da sembrare autentico, che in genere richiede di fornire informazioni personali sensibili in vari modi. Se non esaminati attentamente, tuttavia, non è facile distinguere le email o gli SMS di phishing dai messaggi autentici. I truffatori si impegnano molto per rendere i messaggi di phishing il più possibile simili a email e SMS inviati da aziende considerate affidabili, motivo per cui è necessario essere cauti quando si aprono questi messaggi e si fa clic sui link che contengono.
Come si può individuare un messaggio di phishing?
Spesso i truffatori di phishing mandano a monte i loro stessi piani commettendo semplici errori che sono facili da individuare, una volta imparato a riconoscerli. Cerca questi segnali di phishing ogni volta che apri un’email o un SMS:
Il messaggio è scritto male
Di tanto in tanto può capitare di trovare piccole imperfezioni anche nelle comunicazioni inviate dalle aziende più affidabili, ma i messaggi di phishing contengono spesso errori grammaticali, di ortografia e altri errori palesi che le grandi aziende non commetterebbero. Se noti diversi errori grammaticali piuttosto evidenti in un’email o un SMS che ti chiede di inserire le tue informazioni personali, fai attenzione: potrebbe trattarsi di una truffa di phishing.
Il logo ha un aspetto un po’ strano
Per aumentare la propria credibilità, i truffatori di phishing spesso usano imitazioni dei loghi delle aziende o degli enti che decidono di impersonare. In molti casi, tuttavia, queste imitazioni non sono perfette. Il logo in un’email o SMS di phishing potrebbe avere proporzioni errate o una bassa risoluzione. Se il logo non è ben visibile nel messaggio, non è escluso che si tratti di un tentativo di phishing.
L’URL non corrisponde
L’obiettivo del phishing è indurre l’utente a fare clic su link fraudolenti. Ecco alcuni modi per verificare se un link è legittimo:
- Sposta il mouse sopra il link nell’email per visualizzarne l’URL. Spesso gli URL di phishing contengono errori di ortografia. Questo è un forte indizio di truffa. Passando il mouse sul link potrai visualizzare un’anteprima dell’URL. Se ti sembra sospetto, non aprirlo.
- Fai clic con il pulsante destro del mouse sul link, quindi copia e incolla l’URL in un elaboratore di testi. Ciò ti consentirà di esaminare accuratamente il link per individuare eventuali errori grammaticali o di ortografia senza arrischiarti ad aprire una pagina Web potenzialmente dannosa.
- Per controllare l’URL su dispositivo mobile, premi a lungo sul link con il dito.
Se noti che l’URL non corrisponde al presunto mittente del messaggio, probabilmente si tratta di un’email di phishing.
Tipi di email e SMS di phishing
Esistono tantissimi tipi e formati di messaggi di phishing, ma alcuni, sotto forma di email e SMS, sono particolarmente diffusi. Esaminiamone alcuni esempi:
Truffa del conto sospeso
Alcune email di phishing si presentano come notifiche di sospensione temporanea del conto bancario a causa di attività insolite. Se ricevi un’email simile da una banca dove non hai aperto un conto, eliminala subito senza pensarci due volte. La decisione diventa tuttavia più difficile se la notifica di sospensione del conto sembra provenire da una banca di cui sei davvero cliente. In questo caso, utilizza i metodi elencati sopra per controllare l’autenticità del messaggio. Se questo non fosse sufficiente, contatta direttamente la tua banca, ma non aprire nessun link contenuto nell’email sospetta.
Truffa dell’autenticazione a due fattori
L’autenticazione a due fattoi (2FA) è oggi una pratica comune. In base a questo protocollo, ormai familiare a milioni di utenti, è possibile confermare le proprie credenziali di accesso via email o SMS, per mezzo di codici a sei cifre. Anche i truffatori di phishing sanno quanto l’autenticazione a due fattori sia diffusa e tentano di sfruttare questo servizio, che invece è progettato per proteggere l’identità degli utenti. Se ricevi un’email che ti chiede di accedere a un account per confermare la tua identità, utilizza i criteri elencati sopra per verificarne l’autenticità. In particolare, fai molta attenzione se ti viene chiesto di fornire l’autenticazione a 2 fattori per un account a cui non accedi da un po’ di tempo.
Truffa dei rimborsi fiscali
Sappiamo tutti quanto sono importanti le scadenze fiscali ed è proprio su questo che fanno affidamento i truffatori di phishing quando inviano email di rimborso fiscale fasulle. Fai attenzione quando un’email ti informa che hai ricevuto del denaro inatteso e dubita in particolare delle email apparentemente inviate da autorità come l’Agenzia delle Entrate, perché in genere questi enti contattano i contribuenti solo tramite posta ordinaria. Le truffe di phishing dei rimborsi fiscali possono causare gravi danni poiché di solito mirano a ottenere informazioni sensibili come codice fiscale e dati bancari.
Truffa della conferma d’ordine
A volte i criminali informatici tentano di ingannare gli utenti inviando email con false conferme d’ordine. Questi messaggi spesso contengono “ricevute” in allegato o link che rimandano a ulteriori informazioni sul presunto ordine, ma attenzione: questi allegati e link servono in realtà per diffondere malware sul dispositivo della vittima.
Phishing sul lavoro
Anche al lavoro non bisogna abbassare la guardia. Una truffa di phishing piuttosto diffusa fa uso di email progettate per assomigliare a quelle inviate dai dirigenti aziendali. I messaggi chiedono ai dipendenti di trasferire fondi a presunti clienti, ma questo denaro in realtà va ai truffatori. Usa i suggerimenti che abbiamo elencato sopra per individuare queste email fasulle.
Quando il phishing non viene rilevato
Gli hacker cercano di aggiornare frequentemente i propri metodi, in modo da non essere scoperti dagli utenti già consapevoli di determinate minacce informatiche. Questo è il caso delle più recenti tecniche per evitare il rilevamento del phishing, basate sul riconoscimento delle macchine virtuali. Le aziende di sicurezza informatica spesso utilizzano dispositivi headless o macchine virtuali (software che simulano il comportamento di un computer reale) per determinare se un sito Web è di fatto una pagina di phishing. Tuttavia oggi alcuni kit di phishing contengono istruzioni JavaScript, un linguaggio di programmazione che consente di implementare funzionalità complesse nelle pagine Web, in grado di rilevare l’attività di una macchina virtuale sulla pagina. Se vengono identificati tentativi di analisi, il kit mostrerà una pagina vuota invece della pagina di phishing, eludendo le misure di rilevamento delle truffe. Per assicurarti di non cadere vittima dei truffatori ed essere sempre un passo avanti rispetto ai criminali informatici, mantieniti al corrente delle tecniche di phishing più recenti.
Cosa succede se fai clic sul link in un’email di phishing?
Non aprire mai i link nelle email sospette. Se fai clic su un link di phishing, questo ti reindirizzerà a una pagina Web con un modulo in cui puoi inserire dati sensibili come il tuo codice fiscale, le informazioni della tua carta di credito o le tue credenziali di accesso. Non inserire alcun dato in questa pagina.
Cosa puoi fare se sospetti di essere vittima di un attacco di phishing?
Se immetti accidentalmente dati in una pagina Web collegata a un’email sospetta, esegui una scansione completa del malware sul tuo dispositivo. Una volta completata la scansione, esegui il backup di tutti i tuoi file e modifica le tue password. Anche se hai accidentalmente rivelato i dati di un solo account, i truffatori potrebbero comunque riuscire ad accedere ad altre informazioni personali. Per questo è importante cambiare tutte le password che utilizzi online se sospetti di aver subito un attacco di phishing.
Suggerimenti semplici per riconoscere un’email di phishing
Concludiamo con un riepilogo dei suggerimenti per evitare le email di phishing:
- In caso di dubbio, contatta direttamente l’organizzazione che ti ha presumibilmente inviato il messaggio anziché aprire i link in esso contenuti.
- Esamina attentamente le email sospette per controllare la presenza di indizi rivelatori di phishing, come grammatica scadente, loghi sgranati o link fasulli.
- Se per errore fai clic su un link di phishing, non inserire alcun dato e chiudi la pagina.
- Se pensi che i truffatori di phishing ti stiano prendendo di mira, esegui una scansione antivirus, esegui il backup dei tuoi file e modifica tutte le password.
Proteggiti
Gli attacchi di phishing colpiscono chi non sa riconoscerli. Ora che sai come individuare le email di phishing e cosa fare se sospetti che i truffatori ti stiano prendendo di mira, è molto meno probabile che ti capiti di cadere vittima di queste truffe. Ricorda di fare attenzione alle tue informazioni personali quando navighi su Internet e di essere prudente ogni volta che qualcuno ti chiede di divulgare dettagli sensibili sulla tua identità, dati finanziari o credenziali di accesso.
Per essere sempre al corrente delle notizie di McAfee e delle minacce alla sicurezza per utenti e dispositivi mobili, segui @McAfee_IT su Twitter, iscriviti alle nostre newsletter via email, ascolta il nostro podcast Hackable? e metti Mi piace sulla nostra pagina Facebook.
Mantieniti al corrente
Seguici per essere sempre al corrente delle notizie di McAfee e delle ultime minacce alla sicurezza per consumer e dispositivi mobili.
