Il phishing è una delle minacce informatiche più diffuse e pericolose. Si tratta di una truffa progettata per rubare informazioni personali, come credenziali di accesso, numeri di carte di credito o dati bancari, tramite comunicazioni ingannevoli. In questo articolo, esploreremo cos’è il phishing, le sue varianti principali e i metodi più efficaci per difendersi.
Cos’è il Phishing?
Il termine phishing deriva dalla parola inglese “fishing” (pescare) ed è un gioco di parole per indicare come i truffatori “pescano” vittime ignare con esche digitali. Solitamente, le truffe di phishing si manifestano attraverso e-mail, SMS, chiamate o siti web fasulli che imitano organizzazioni affidabili. L’obiettivo è convincere la vittima a fornire volontariamente informazioni sensibili, spesso facendo leva su urgenza, paura o fiducia.
Tipologie di Phishing
1. Email Phishing
Le vittime ricevono e-mail apparentemente provenienti da istituzioni legittime (banche, fornitori di servizi, ecc.), che contengono link o allegati malevoli.
2. Smishing (SMS Phishing)
Simile all’email phishing, ma il mezzo utilizzato è un SMS che invita l’utente a cliccare su un link o a chiamare un numero falso.
3. Vishing (Voice Phishing)
Tramite una chiamata telefonica, un truffatore si spaccia per un operatore di un’azienda nota e convince la vittima a fornire informazioni sensibili.
4. Pharming
La vittima viene reindirizzata a un sito web fraudolento che replica quello originale per carpire dati personali.
5. Spear Phishing
Una variante mirata del phishing, in cui il truffatore personalizza il messaggio per una specifica persona o organizzazione, rendendo l’attacco più credibile.
Questo caso in particolare ha colpito un mio cliente, nello specifico i malintenzionati sono riusciti a rubare le credenziali della casella mail aziendale del cliente, successivamente hanno effettuato un inoltro preventivo di tutte le mail in transito su quella casella su una loro casella mail, sono riusciti ad intercettare delle copie di alcune fatture di cortesia, hanno modificato l’IBAN e hanno inviato successivamente la mail con la fattura modificata. Il cliente, non avendo prestato la giusta attenzione alla mail (l’indirizzo mail che ha inviato la fattura era diverso da quello del fornitore in questione e l’IBAN era appunto diverso) ha effettuato il bonifico ai truffatori.
Come riconoscere un tentativo di Phishing
Segnali d’Allarme
- Errori grammaticali: Le comunicazioni ufficiali raramente contengono errori di ortografia o grammatica.
- Richieste urgenti: Messaggi che ti chiedono di agire immediatamente per evitare conseguenze negative.
- Link sospetti: URL abbreviati o che non corrispondono al dominio ufficiale.
- Richiesta di informazioni sensibili: Aziende affidabili non richiedono mai PIN, password o numeri di carta via e-mail o SMS.
Phishing Online in Italia negli ultimi anni: alcuni esempi
Negli ultimi anni ci sono stati diverse truffe phishing, alcune molto elaborate che hanno portato anche a conseguenze legali. Vediamo insieme qualche esempio:
1. Phishing via SMS Poste Italiane (PostePay e BancoPosta)
- Quando: Episodi ricorrenti negli ultimi anni, con picchi nel 2021 e 2022.
- Descrizione: Migliaia di utenti hanno ricevuto SMS apparentemente inviati da Poste Italiane. I messaggi segnalavano problemi con il conto o la carta, invitando a cliccare su un link per risolvere la questione. Una volta cliccato, si veniva reindirizzati a un sito clone dove venivano richiesti dati sensibili come username, password e codici OTP.
- Conseguenze: Molte vittime si sono viste svuotare i conti o sottrarre somme considerevoli tramite prelievi non autorizzati.
Questa truffa in particolare ha portato ad un’importante battaglia legale conclusasi a favore della vittima che ha denunciato Poste Italiane. La giudice ha condannato l’azienda a rifornire il povero mal capitato. Leggi l’articolo completo per i dettali.
2. Truffa del “Finto Cashback”
- Quando: Durante il periodo di lancio del Cashback di Stato (2020-2021).
- Descrizione: I truffatori inviavano email o SMS fingendosi operatori del programma Cashback, invitando gli utenti a fornire IBAN e dati delle carte di pagamento per ottenere il rimborso. Il link conduceva a siti truffaldini progettati per sottrarre informazioni sensibili.
- Conseguenze: Diversi utenti hanno perso denaro a causa dell’accesso non autorizzato ai conti bancari.
3. Truffa “Green Pass”
- Quando: 2021, durante la diffusione del Green Pass in Italia.
- Descrizione: Gli utenti ricevevano email o messaggi SMS con oggetto “Scarica il tuo Green Pass” o “Green Pass sospeso”. Il messaggio conteneva un link che reindirizzava a un sito fraudolento dove venivano richiesti dati personali e di pagamento.
- Conseguenze: Molte persone hanno fornito dati personali e bancari, utilizzati successivamente per frodi.
4. Phishing attraverso campagne di AI e QR Code
- Quando: 2023, in crescita soprattutto nell’ultimo periodo.
- Descrizione: Campagne mirate hanno sfruttato QR Code falsi, inseriti in documenti e email, per convincere le vittime a fornire credenziali. Gli attacchi sono stati spesso associati a messaggi personalizzati, resi più credibili grazie all’intelligenza artificiale.
- Conseguenze: Furti di identità e accesso non autorizzato a sistemi bancari e account personali.
5. Truffa ENEL Energia
- Quando: Diffusa principalmente nel 2021-2022.
- Descrizione: Email apparentemente provenienti da ENEL Energia comunicavano “bollette non pagate” o “rimborsi in sospeso”. Il link portava a un sito falso dove venivano richiesti dati bancari o il pagamento tramite carta di credito.
- Conseguenze: Alcuni utenti hanno effettuato pagamenti non dovuti o fornito dati bancari, successivamente usati per transazioni non autorizzate.
6. Attacco phishing a clienti Unicredit e Intesa Sanpaolo
- Quando: Campagne attive tra il 2020 e il 2023.
- Descrizione: I clienti di Unicredit e Intesa Sanpaolo hanno ricevuto email con oggetto “Accesso sospeso al conto” o “Verifica urgente richiesta”. Venivano indotti a fornire credenziali e codici di sicurezza tramite siti fake che simulavano le pagine ufficiali delle banche.
- Conseguenze: Accesso non autorizzato ai conti e trasferimenti di denaro verso conti esteri.
Strategie per Difendersi
- Diffida dei messaggi non sollecitati
Se ricevi una comunicazione che non ti aspettavi, verifica sempre l’autenticità contattando direttamente l’azienda o l’ente coinvolto. Non cliccare su link o scaricare allegati senza averne accertato la provenienza.
- Controlla i Link prima di cliccare
Passa il mouse (senza cliccare) sul link per visualizzare l’URL. Se l’indirizzo è sospetto o diverso da quello ufficiale, non cliccare. Se sei da smartphone analizza l’url e assicurati che corrisponda al dominio ufficiale.
- Non condividere Informazioni Sensibili
Nessuna azienda affidabile ti chiederà mai di condividere password, PIN o numeri di carte via e-mail, SMS o telefono. In caso di dubbi ti consigliamo di contattare direttamente l’azienda per chiarimenti.
- Usa software Antivirus e Firewall
Mantieni sempre aggiornati i software antivirus e attiva un firewall per proteggere il tuo dispositivo.
- Abilita l’Autenticazione a Due Fattori (2FA)
Questa misura aggiuntiva richiede un secondo livello di verifica, rendendo più difficile per i truffatori accedere ai tuoi account. Consigliamo di abilitarla ove possibile.
- Aggiorna regolarmente i dispositivi
Che tu stia navigando da Smartphone o da PC, installa sempre gli aggiornamenti di sistema e delle applicazioni per proteggerti da vulnerabilità note. Gli aggiornamenti mirano proprio a correggere vulnerabilità di sistema.
- Educa te stesso e i tuoi cari
Informati sui metodi di phishing più comuni e condividi queste conoscenze con amici e familiari. La sensibilizzazione e la conoscenza del problema ti porteranno a riconoscere facilmente i tentativi di truffa di questo tipo. Condividi l’articolo per raggiungere più persone possibili.
Sei caduto in una Truffa di Phishing? Ecco cosa fare
1. Blocca l’Accesso agli Account
Cambia immediatamente le password degli account compromessi e attiva l’autenticazione a due fattori.
2. Contatta l’Istituto Coinvolto
Se hai condiviso dati bancari, avvisa immediatamente la tua banca o il servizio interessato.
3. Segnala o denuncia alle autorità
In Italia, puoi segnalare tentativi di phishing alla Polizia Postale tramite il portale Commissariato di P.S. online.
4. Monitora i movimenti bancari
Tieni sotto controllo il tuo conto per rilevare eventuali operazioni sospette e agire tempestivamente.
Con un po di sensibilizzazione e con una maggiore attenzione è possibile sventare questa tipologia di truffe. Ti è mai capitato di subire queste truffe? O conosci qualcuno a cui è successo? Facci sapere la tua esperienza nei commenti.
Se vuoi restare aggiornato sul mondo della tecnologia seguici sui nostri social (oltre che sul blog) e da smartphone tramite il nostro canale Telegram, oppure il nuovissimo canale Whatsapp, in modo da ricevere una notifica ogni volta che viene pubblicato un articolo, o se abbiamo qualcosa in più da comunicare. #ètempoditecnologia
