Modulo 3 · 3.4
Phishing via SMS, chat, telefono e codici QR
Modulo 3: Riconoscere il phishing · Tempo di lettura: 12 minuti
Obiettivo della lezione: dopo questa lezione saprà riconoscere il phishing al di fuori della posta elettronica: tramite SMS e app di chat, al telefono (anche con una voce clonata), tramite codici QR e tramite una raffica di notifiche di accesso, e saprà come verificare ogni canale.
Concetti chiave: smishing, truffa del falso amico in difficoltà, vishing, spoofing dei numeri, falso helpdesk, voce clonata, quishing, bombardamento MFA
Perché gli altri canali funzionano così bene
Tutto quanto visto nella lezione 3.1 vale anche qui: urgenza, autorità, paura, curiosità e ricompensa. Ma al di fuori della posta elettronica questi trucchi funzionano spesso ancora meglio:
- Al telefono si legge in fretta. Lo schermo è piccolo, gli indirizzi vengono troncati e spesso si è nel bel mezzo di qualcos'altro.
- C'è meno tecnologia che aiuta. Un server di posta controlla SPF, DKIM e DMARC e dispone di un filtro antispam. Per SMS, chat e telefono tutto questo è molto più limitato.
- Sembra più personale. Un messaggio in un'app di chat o una voce al telefono ispira più fiducia di un'e-mail.
- È in diretta. Chi chiama può insistere, aumentare la pressione e guidarLa passo dopo passo.
Il riflesso resta lo stesso: si fermi, verifichi tramite un canale Suo e chieda conferma. Ciò che cambia a seconda del canale è come si effettua questa verifica.
SMS e chat: smishing e truffa del falso amico in difficoltà
Lo smishing è il phishing tramite SMS. I truffatori si spacciano per un'organizzazione da cui potrebbe aspettarsi un SMS: un corriere, la banca, un ente pubblico, il Suo fornitore di energia. Secondo il NCSC olandese, lo stesso avviene tramite app di chat come WhatsApp e Telegram.
Un esempio tipico:
Servizio corrieri: il Suo pacco non ha potuto essere consegnato per indirizzo incompleto. Pianifichi una nuova consegna:
https://koeriersdienst.track-nl.example/z8K
Legga il link come nella lezione 3.2: il dominio registrabile è track-nl.example e quindi non koeriersdienst.example del corriere. Su un telefono questo è ancora più difficile, perché si vede solo l'inizio. Tenga premuto un link per vedere l'indirizzo completo, oppure non lo apra e si rechi Lei stesso sull'app o sul sito del corriere.
Il numero o il nome del mittente non dimostrano nulla. I mittenti di SMS e i numeri di telefono possono essere falsificati (spoofing). Un messaggio falso può quindi comparire nello stesso filo di SMS insieme a messaggi reali di quel mittente. Anche un nome conosciuto sopra un messaggio non è quindi una prova.
La truffa del falso amico in difficoltà avviene tramite app di chat:
Buongiorno, questo è il mio nuovo numero, il telefono si è rotto. Può pagare una cosa per me? Gliela restituisco domani. Deve essere fatto oggi stesso.
In un'azienda lo stesso trucco si presenta come messaggio del "direttore" o di "un collega" con un nuovo numero, che chiede rapidamente un pagamento o buoni regalo. Verifichi: chiami o scriva alla persona sul numero vecchio e conosciuto, oppure ponga una domanda a cui solo la persona reale può rispondere.
Il telefono: vishing, falso helpdesk e voci clonate
Il vishing (voice phishing) è il phishing per telefono. Sono diffuse tre forme.
Il finto dipendente bancario. Qualcuno chiama a nome della banca o del "reparto antifrode": ci sono pagamenti sospetti, il Suo denaro deve essere "messo al sicuro", oppure Le viene chiesto di comunicare un codice o approvare un pagamento nell'app della banca. Sullo schermo talvolta compare addirittura il numero reale della banca. Anche questo può essere falsificato. Una banca reale non chiede mai i codici di accesso né di trasferire denaro su un "conto sicuro".
Il falso helpdesk. Qualcuno chiama a nome di un fornitore di software, del Suo provider internet o della Sua azienda IT: il computer è infetto, c'è un problema con l'account. Le chiede di installare un programma per poter osservare da remoto. Così facendo prende il controllo del computer. L'NCSC olandese lo dice in modo semplice: non dia mai a qualcuno, così su due piedi, l'accesso da remoto ai Suoi dispositivi.
La voce clonata. Con l'IA si può imitare una voce a partire da registrazioni audio, ad esempio tratte da un video o da una segreteria telefonica. Una voce clonata del Suo direttore o di un familiare può quindi chiamare con una richiesta urgente. Non può quindi più fidarsi ciecamente delle Sue orecchie.
Cosa funziona in tutti e tre i casi:
- Riagganci non appena avverte pressione o Le vengono chiesti codici, denaro o accesso. Non è scortese.
- Richiami Lei stesso un numero che ha cercato personalmente o che già possedeva: il retro della carta bancaria, il sito ufficiale, la Sua rubrica. Non il numero indicato da chi chiama.
- Concordi una domanda di controllo o una parola d'ordine con le persone che possono chiederLe del denaro, come la direzione e la contabilità. Stabilisca anche che i pagamenti non avvengono mai sulla sola base di una telefonata (lezione 1.2).
Codici QR: il quishing
Un codice QR è semplicemente un link che non si può leggere. Il quishing è il phishing tramite codice QR. Due forme:
- In strada o in un ambiente fisico. Un adesivo con un codice QR falso applicato sopra quello vero, su un parcometro, una colonnina di ricarica, un menu o un manifesto. Si pensa di pagare tramite l'app del parcheggio, ma si inseriscono i dati della carta su un sito falso.
- In un'e-mail o un PDF. "Scansioni questo codice per confermare la Sua casella di posta." Un codice QR in un'immagine non è verificabile con il mouse. E lo si scansiona con il telefono, dove gli indirizzi si leggono peggio.
L'NCSC olandese consiglia tra l'altro di:
- Non scansionare un codice QR privo di testo o immagine di accompagnamento, e prestare attenzione ai codici in luoghi pubblici.
- Verificare se il codice è davvero stampato sul manifesto o sul cartello, oppure se è stato applicato un adesivo.
- Usare uno scanner che mostri prima l'indirizzo o il dominio di destinazione. Nelle versioni più recenti di Android e iOS, la fotocamera lo fa automaticamente.
- Se non riconosce l'indirizzo, non proseguire. Non inserire password o dati di pagamento se non è sicuro che il sito sia autentico.
Osservi l'anteprima dell'indirizzo mostrata dalla fotocamera e guardi il dominio registrabile, esattamente come nella lezione 3.2. Su un parcometro può anche usare l'app ufficiale di parcheggio o l'indirizzo riportato sul cartello stesso.
Bombardamento MFA: quando il telefono continua a suonare
Molti servizi inviano, al momento dell'accesso, una notifica al telefono: "Sta cercando di accedere? Approva o rifiuta." Se un malintenzionato ha già la Sua password, proverà ad accedere ripetutamente. Il telefono riceve una notifica dopo l'altra, a volte nel cuore della notte. Questo si chiama bombardamento MFA (anche MFA fatigue). L'aggressore spera che, per irritazione o per errore, prema su Approva. A volte chiama o scrive anche come "helpdesk": "Stiamo ripristinando il Suo account, prema Approva."
Cosa fare:
- Non approvi mai una notifica che non ha avviato Lei stesso. Nemmeno se qualcuno glielo chiede.
- La consideri un allarme. Una notifica di accesso inattesa significa che qualcuno è in possesso della Sua password. Cambi subito la password di quell'account, tramite il sito o l'app stessa.
- Controlli le sessioni attive e disconnetta le sessioni sconosciute (lezione 2.5).
- Scelga una forma più robusta di autenticazione a due fattori (2FA), se disponibile. Con la corrispondenza numerica (number matching) deve digitare nell'app un numero mostrato nella schermata di accesso; una notifica senza quella schermata davanti non può quindi essere approvata per sbaglio. Passkey e chiavi di sicurezza (lezione 2.4) sono ancora più sicure, perché non funzionano su un sito falso.
Nella pratica: ecco come si presenta
In Mio WebOké, nella sezione sessioni attive, vede dove e quando ha effettuato l'accesso, e può disconnettere altre sessioni (manuale WebOké 3.6). Altri servizi, come il Suo programma di posta, il gestionale contabile o Nextcloud, hanno una panoramica simile nelle impostazioni di sicurezza dell'account. Controlli lì per primo dopo una notifica di accesso inattesa.
Riepilogo
- Al di fuori della posta elettronica funzionano gli stessi trucchi, ma c'è meno tecnologia di aiuto e si legge più in fretta.
- Un numero o un nome del mittente sullo schermo non dimostrano nulla: possono essere falsificati.
- Al telefono: riagganciare, richiamare Lei stesso su un numero conosciuto, non dare mai codici, denaro o accesso da remoto. Anche una voce conosciuta può essere stata clonata.
- Codici QR: controlli la presenza di adesivi, faccia mostrare l'indirizzo dalla fotocamera e legga il dominio registrabile.
- Una notifica di accesso inattesa è un allarme: rifiuti, cambi la password, controlli le sessioni.
Quiz
Esercizio
Esercizio A3.4: leggere un codice QR senza aprirlo. Il programma mostra un codice QR. Lo scansioni con la fotocamera del telefono, ma non apra il link. Legga l'indirizzo mostrato dalla fotocamera e inserisca il dominio registrabile, indicando se aprirebbe o meno il link. Il programma verifica la risposta.
Esercizio D3.4: accordi per telefono, chat e notifiche di accesso. Definisca con il Suo team degli accordi su come richiamare, su una domanda di controllo o una parola d'ordine, e su cosa fare in caso di notifica di accesso inattesa. Verifichi poi sul Suo telefono se la fotocamera mostra l'indirizzo di un codice QR prima di aprirlo.
Esercizio D3.4: Accordi per telefono, chat e notifiche di accesso
Ecco come procedere: (1) Si accordi con le persone che effettuano o approvano i pagamenti che una richiesta di denaro, una modifica di IBAN o di codici non viene mai eseguita solo tramite telefono, sms o chat. Il richiamo avviene sempre su un numero presente nella propria amministrazione o rubrica. (2) Concordi una domanda di controllo o una parola d'ordine per le richieste urgenti della direzione o di familiari. Non scriva mai la parola d'ordine in formato digitale dove un malintenzionato possa leggerla. (3) Stabilisca cosa deve fare ciascuno in caso di una notifica di accesso inaspettata o di una serie di notifiche: rifiutare, segnalare, cambiare la password, controllare le sessioni (lezione 2.5). (4) Verifichi sul Suo telefono se la fotocamera, durante la scansione di un codice QR, mostra prima l'indirizzo e lo apre solo dopo aver toccato lo schermo. Usi a tale scopo un codice QR proveniente da una fonte propria e conosciuta (per esempio un codice creato da Lei stesso per https://www.example.com). (5) Verifichi se la Sua app di chat e i Suoi account principali dispongono di una protezione aggiuntiva che non sta ancora utilizzando (per esempio l'autenticazione a due fattori (2FA) con un PIN, l'abbinamento dei numeri nelle notifiche di accesso, o una passkey) e la attivi.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per approfondire
I passaggi descritti negli articoli di WebOké valgono per l'ambiente WebOké; presso altri fornitori il funzionamento è simile.
- Guida WebOké 3.6: Visualizzare ed effettuare il logout dalle sessioni attive
- Guida a Nextcloud 3.6: Visualizzare, revocare o cancellare da remoto dispositivi e sessioni
- NCSC (Paesi Bassi), Phishing via SMS ("smishing"): https://www.ncsc.nl/phishing/sms-phishing-smishing
- NCSC (Paesi Bassi), Come riconoscere una falsa telefonata?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
- NCSC (Paesi Bassi), Codici QR: https://www.ncsc.nl/phishing/qr-codes
- Polizia Postale e delle Comunicazioni, segnalazione di frodi e phishing: https://www.commissariatodips.it/