Oggi discutiamo di phishing e social network. Abbiamo già imparato a conoscere questa pratica illegale che consente a gruppi criminali di rubare credenziali e altre informazioni sensibili agli utenti e vedremo insieme come difenderci quando la minaccia diventa “social.”
Cominciamo innanzitutto con l’entrare nella mente di chi ci attacca. I social media, così come le piattaforme mobili, consentono di raggiungere ampie platee di utenti composte per la maggioranza da persone che hanno una scarsa consapevolezza della minaccia. Tipicamente è sufficiente condividere un link con un’immagine accattivante per ridirigere gli utenti a pagine che appaiono come legittime e che sono l’esatta copia di siti di banche piuttosto che di servizi web come Google Gmail. L’utente ignaro inserisce quindi le sue credenziali nella schermata proposta a video e da quel momento l’attaccante dispone del necessario per impersonare le proprie vittime qualora queste non abbiano utilizzato meccanismi di autenticazione a più fattori.
Altro metodo utilizzato dai criminali informatici consiste nell’inviare alle potenziali vittime una email che apparentemente sembra provenire da una piattaforma di social networking come Facebook, in alcuni casi all’utenti è richiesto con carattere di urgenza di resettare la password del proprio account, in altri casi le mail sono utilizzate per condividere link a contenuti che a loro volta ridirigono gli utenti verso pagine di phishing.
A questo punto, nota la pratica, proviamo a buttar giù qualche suggerimento che ci metta a riparo dai criminali informatici che sfruttano i social network per rubare le nostra informazioni.
Di seguito alcuni semplici suggerimenti condivisi dai colleghi del Kaspersky Lab e dagli esperti di Facebook.
- Mai completare una richiesta di informazioni personali che ci giunge attraverso una email non sollecitata. Diffidate di qualunque schermata di autenticazione vi sia proposta dopo aver cliccato su un link contenuto in questa tipologia di email. Sappiate che le piattaforme sociali, né tantomeno un servizio web, vi richiederà mai informazioni come password, codice fiscale, informazioni sulla carta di credito comprensive del PIN.
- Mai aprire allegati proveniente da mail non sollecitare. Molti utenti Facebook si sono visti recapitare messaggi affermavano di avere la password dell’utente in allegato. L’allegato di solito è un codice malevolo utilizzato per infettare le vittime.
- Quando inserite i vostri dati fatelo solo accedendo direttamente al sito cui siete interessati digitando l’URL nella barra dell’indirizzo in modo da essere sicuri di dove navigate.
- Sinceratevi che il sito sia sicuro e che implementi il protocollo HTTPs, la verifica è semplice, considerando che indirizzi di siti sicuri iniziano con ‘https: //‘ invece di ‘http: //‘ e di solito è visualizzata l’icona di un lucchetto nel vostro browser. Per i più esperti, è possibile prendere visione del certificato usato dal sito web cliccando sull’icona. Mi duole tuttavia informarvi che la pratica del phishing è possibile anche su siti HTTPs come descritto in un precedente post.
- Prestate attenzione ai link che sono presenti nelle email e/o condivisi su piattaforme social, passando il cursore su un link è possibile osservare se l’URL è legittimo guardando la barra di stato in basso nella finestra del browser.
- Utilizzate un sistema di difesa idoneo a contrastare e riconoscere anche attacchi di phishing.
- Mantenere il sistema operativo aggiornato, così come le applicazioni che utilizziamo.
- Diffidate di comunicazioni con errori di ortografia o layout dissimile da quello della piattaforma legittima.
- Attivate sempre l’autenticazione a due fattori, in questo modo anche se i criminali riuscissero ad avere le vostre credenziali necessiterebbero del secondo fatto per entrare del vostro account (e.g. il vostro cellulare).
Vi lascio invitandovi a segnalare immediatamente ogni abuso sospetto ai gestori della piattaforma sociale.
Facebook Comments