In Internet il furto d'identità è purtroppo un fenomeno molto diffuso. Al riguardo, i criminali hanno escogitato una miriade di tecniche, varianti e stratagemmi. Ecco come potete proteggervi.
Non c'è quindi da stupirsi che per il furto di dati i malintenzionati utilizzino metodi sempre più raffinati e difficili da riconoscere. I criminali con conoscenze approfondite d'informatica penetrano in sistemi di terzi per rubare quello che possono. Nello specifico, le possibilità sono quasi illimitate. Ma quali sono le tecniche più frequenti adottate dai truffatori? E come potete proteggervi? Qui di seguito presentiamo i tre metodi più frequenti per il furto di dati.
Lo spoofing (ingl.: manipolazione, truffa, inganno) raggruppa diversi metodi d'inganno per mascherare la propria identità. Gli «spoofer» sono criminali che applicano speciali tecniche per aggirare le procedure di autentificazione e identificazione (non solo in rete), in modo da far apparire lettere ed e-mail false come autentiche. Per farvi un'idea: è come aprire la cassetta delle lettere, trovarvi una lettera con il mittente, ma non essere sicuri al 100% che quest'ultimo sia effettivamente l'autore della lettera.
Questo metodo si rivela efficace soprattutto in caso di e-mail, poiché il Simple Mail Transfer Protocol (SMTP) utilizzato in tale ambito non richiede un'autenticazione. Lo spoofing permette anche di manipolare i pacchetti IP in modo da far sembrare affidabile un mittente. Questo tipo di cybercriminalità ha fatto la sua apparizione nel 2006, soprattutto nel campo delle applicazioni web, ed è denominato «phishing».
Il phishing è uno dei metodi più diffusi e longevi utilizzati dai cybercriminali in Internet. «Phishing» deriva dall'unione delle parole inglesi «password» e «fishing» e viene pronunciato «fishing». Questa tecnica permette di rubare dati o di installare software dannosi sul dispositivo della vittima. A tale riguardo, come quando si va a pescare, i malintenzionati gettano l'esca sotto forma di e-mail false (abitualmente di aziende e fornitori di servizi rinomati), chiedendo di eseguire diverse operazioni, quasi sempre di cliccare su un link infetto. I malcapitati che abboccano e che non si accorgono in tempo del pericolo diventano facili prede e subiscono il furto di dati. Infatti, sul pc o sullo smartphone viene spesso installato automaticamente un software dannoso (keylogger, trojan o ransomware) capace di consentire, talvolta con effetto immediato oppure gradualmente su un periodo più lungo, l'accesso ai dati personali. Oppure si viene dirottati su un sito dove vengono richiesti dati personali come ad esempio quelli per il login a banche, account e-mail o shop online. Poiché le e-mail false sono spesso (quasi) identiche a quelle di istituzioni e aziende rinomate (ad es. DHL, UPS, banche, Posta ecc.) proprio in questi casi ¨bisogna essere costantemente e particolarmente prudenti.
Una forma insidiosa del semplice phishing è lo «spear phishing», una variante più avanzata in cui i cybercriminali configurano la comunicazione in funzione del destinatario. In questo caso, vengono prese di mira soprattutto persone che rivestono una posizione interessante (nella contabilità, CEO, CFO).
Anche in caso di pharming (termine inglese derivante dall'unione delle parole «phishing» e «farming», ovvero agricoltura), cliccando sul link di un'e-mail si viene dirottati su una pagina dove viene chiesto di rivelare dati personali (dettagli sulla carta di credito, indirizzo ecc.). Tuttavia, in caso di pharming non solo viene falsificata la pagina web su cui si viene indirizzati, come nel phishing, ma tramite la manipolazione del file host si ottiene anche la falsificazione dell'URL stesso.
Esempio: inserite www.dhl.ch e tramite la manipolazione di un file host verrete dirottati, senza accorgervene, su una pagina falsificata. Per garantire il successo di questa operazione, precedentemente sul vostro dispositivo (di solito il PC) verrà installato (ad es. tramite un allegato e-mail infetto) un malware che esegue in background e inosservato la manipolazione. La cosa perfida del pharming è che non è possibile tutelarsi neanche con la massima attenzione, come il controllo di un URL pervenuto tramite e-mail, è possibile proteggersi.
Benché oramai si assista ad attacchi di phishing senza errori di ortografia o incongruenze di formattazione, conviene leggere sempre attentamente le e-mail di presunti erogatori di servizi o imprese. Prestate attenzione a eventuali errori di ortografia e grammatica. Controllate in modo accurato anche l'aspetto esteriore (errori di formattazione, font sbagliati, loghi pixelati e inattuali, mittente dubbio ecc.). Eliminate immediatamente le e-mail sospette, non aprite allegati e non cliccate su alcun link, per quanto allettante possa sembrare.
Il mittente vi dà del «tu» o del «lei» e quale forma utilizzava in passato? Se notate delle differenze rispetto al passato, è richiesta prudenza. Un altro indicatore potrebbe essere l'utilizzo di un appellativo per un gruppo di persone («Gentili signore, egregi signori») al posto di quello personale («Buongiorno, signora XY»).
I cybercriminali affermano spesso e volentieri che è necessario un vostro immediato intervento. Nella maggior parte dei casi si tratta soltanto di uno stratagemma. State in guardia se viene richiesta l'immediata comunicazione di dati, ad esempio abbinata alla minaccia di conseguenze gravi. Non lasciatevi mettere sotto pressione e chiedetevi sempre: un'azienda seria farebbe una simile richiesta? Sicuramente un'azienda seria non richiederebbe mai la comunicazione dei vostri dati personali tramite e-mail o telefono. Abitualmente queste false e-mail sono caratterizzate da ulteriori elementi rivelatori elencati al punto 1 («Ortografia, formattazione e design») o al punto 2 («Appellativo»). Controllate quindi nuovamente l'intero messaggio e segnalate immediatamente le e-mail sospette al vostro provider comunicandogli che si tratta di attività di phishing.
Accanto al nome del mittente è visualizzato anche l'indirizzo e-mail dell'autore. Un rapido controllo vi permetterà di accertare il mittente dell'e-mail e se lo stesso è identico all'autore indicato nell'e-mail. Se non dovesse essere così, occorre procedere con attenzione. Ad esempio, nel messaggio viene comunicato che un pacco può essere ritirato presso la Posta, DHL o altri. L'e-mail è stata però inviata ad es. da un indirizzo Gmail. Poiché i malintenzionati sono in grado di mascherare il vero indirizzo e-mail, quest'ultimo non può essere preso in considerazione come unico elemento di sicurezza.
Per proteggervi da allegati infetti, virus e trojan occorre installare un programma antivirus efficace e un software antimalware affidabile. Se non si conosce la fonte e il motivo dell'invio, la miglior strategia è comunque di non aprire allegati e-mail. Una gestione oculata del computer contribuisce ad aumentare l'efficacia dei programmi antivirus. Questo significa quindi che bisogna evitare siti dubbi e non aprire mai e-mail sospette.
Occorre prestare attenzione che l'indirizzo nella barra degli indirizzi del browser sia corretto. A prima vista un indirizzo può sembrare corretto e dopo averlo riletto attentamente risultare invece falso. Esempio: «paypaul.com» invece di «paypal.com». È inoltre importante visitare soltanto pagine con l'icona del lucchetto (simbolo di blocco) nella barra degli indirizzi, poiché questo significa che la connessione HTTPS è sicura e indica che molto probabilmente il sito web dispone di un certificato sicuro e aggiornato. Questo riduce il rischio di attacchi. Nonostante gli sforzi degli operatori di server DNS di utilizzare metodi sicuri e raffinati per proteggere i visitatori dei siti, bisogna purtroppo sempre fare i conti con un rischio residuo.
Un altro punto importante: bisogna imparare a leggere correttamente gli URL. Infatti, è importante sapere che il link https://google.com.phishing.ch/qualcosa/qualcosaltro/article.html non porterebbe a una pagina di google.com bensì a phishing.ch.
Non dimenticate che la Posta, le banche e altre imprese e fornitori di servizi seri non richiederanno mai dati personali tramite e-mail. Soprattutto le banche non esigeranno mai dai loro clienti di confermare i dati di accesso all'E-Banking o di mettere a disposizione i dati del conto tramite e-mail. Siate vigili. Se venite a contatto con un'e-mail sospetta in cui si pretende di essere della Banca Cler, mettetevi immediatamente in contatto con noi e non rispondete all'e-mail.
Per la presa di contatto utilizzate sempre i canali che conoscete (indirizzi e-mail, numeri di telefono) e mai i dati indicati nel messaggio.
Questa lista non è esaustiva. Nessuno dei punti menzionati può essere considerata una garanzia di essere attrezzati contro la cybercriminalità.
Se sospettate di essere stati vittima di furto di identità e/o di aver rivelato eventualmente i vostri dati bancari a terzi, bloccate immediatamente il vostro accesso all'E-Banking. Potete farlo facilmente in modo autonomo (cfr. sotto), altrimenti contattate il Supporto E-Banking allo 0848 845 245.
Ecco come bloccare il vostro accesso all'E-Banking della Banca Cler
• Effettuate il login con un altro dispositivo.
• Cliccate su «Servizi», «Impostazioni», quindi su «Bloccare l'accesso».
Importante: il blocco si riferisce esclusivamente al rispettivo numero di identificazione. Se avete altri conti o depositi con altri numeri di identificazione, questi non verranno bloccati.
