Il phishing è una truffa che avviene nel mondo dell’online, veicolata quindi tramite Internet, in cui si cerca di ingannare la vittima al fine di recuperare informazioni sensibili come username, password, carte di credito. Il criminale invia false comunicazioni al soggetto-vittima, generalmente fingendosi un ente importante come una Banca, un ente governativo o un servizio in Cloud, un Provider o un negozio di e-commerce, usando scuse plausibili per mettere fretta e ansia alla vittima.
Il phishing è una minaccia attuale e frequente tant’è che l’Italia, secondo una recente ricerca di Kaspersky Lab, è il quarto target mondiale di attacchi con il 5,76% di segnalazioni. La Germania, che risulta al primo posto, raggiunge il 9,83% delle segnalazioni mondiali.
Ma come avviene nello specifico?
Solitamente tramite una comunicazione digitale ovvero via email, via SMS, tramite un social network (Facebook, Twitter, ecc.) o sulle principali piattaforme di Instant Messaging (WhatsApp, Telegram, ecc.).
Generalmente gli attacchi di phishing sono accomunati da una o più delle seguenti caratteristiche:
- errori ortografici nel messaggio;
- comunicazione di una sospensione o blocco di un account senza alcuna spiegazione;
- sollecitano l’esecuzione di un’operazione entro una data di scadenza fittizia;
- contengono URL con domini diversi da quello originale dell’ente;
- richiedono informazioni private.
Cosa fare quando si identifica un'email di phishing?
E’ necessario innanzitutto
bloccare o cambiare la password dell’account compromesso. Se questa operazione non è possibile poiché il criminale ha già preso controllo dell’account, è necessario contattare l’assistenza clienti per effettuare un ripristino manuale della vostra password.
Inoltre, in caso di
richieste di informazioni di credito (bancomat, carta di credito, conti correnti , ecc.) è importante
procedere subito alla sospensione di questi servizi rivolgendosi agli istituti di credito così da prevenire addebiti illeciti. Qualora la password carpita dai criminali sia in uso su altri siti web è consigliabile cambiarla su tutti i siti web, così si evita la compromissione di altre informazioni personali (email, foto, rubrica telefonica, ecc.).
Tra le
best practices, si consiglia di c
ontattare subito l’ente colpito dall’attacco e informarlo che è in corso un tentativo di frode – in questi casi infatti, l’ente è vittima quanto il soggetto che riceve la mail. Dopo la segnalazione, l’ente probabilmente chiederà che gli si inoltri l’email per potersi attivare e contrastare l’attacco.
Inoltre, è utile
segnalare un sito di phishing aiutando altri utenti a non cadere nella truffa. Ogni segnalazione è utile per far vedere il messaggio di avviso riguardo al sito potenzialmente pericoloso: le segnalazioni possono essere inviate, ad esempio, tramite PhishTank, Google Safe Browsing o Microsoft Smart Screen.
Tra i tre, PhishTank permette inoltre di assegnare una valutazione ad ogni segnalazione e di effettuare una ricerca tra tutte le segnalazioni – una funzionalità molto comoda in caso di dubbi sull’autenticità o meno di un sito web. Infine è sempre opportuno segnalare l’accaduto agli organi di stato preposti.
Per un approfondimento, consigliamo la lettura dell'articolo su
cosa fare in caso di ricezione di email contraffatte.