Phishing 101: la tua guida ufficiale

Stai usando internet? Nell’arco di soli 7 minuti, potresti essere preso di mira da diverse centinaia di attacchi phishing. Il phishing – ovvero, quando l’hacker cerca di rubare agli utenti, via e-mail, via link o attraverso allegati ingannevoli, i dati del conto in banca, i codici segreti o le password personali –  è vecchio quanto lo stesso Web.

Queste e-mail sono create per ingannare l’ignaro utente e possono presentarsi in vari modi: sotto forma di notifica di un social media, come estratto conto bancario o allerta anti-virus. Le strategie degli hacker sono diventate col tempo sempre più affinate e le loro e-mail assomigliano sempre di più alle allerte reali. Negli ultimi anni, i truffatori  hanno provato a simulare le notifiche di Facebook, PayPal ed Apple e dall’inizio dell’anno, hanno fregato agli utenti 687 millioni di dollari.

All’inizio di quest’anno una di queste frodi phishing ha imperversato su Facebook ed ha cercato di convincere gli utenti che il loro account era stato compromesso. Gli hackers hanno inviato messaggi a tutti  gli amici degli account Facebook infetti  invitandoli a cliccare su un link dall’aspetto sospetto. Una volta che gli utenti hanno cliccato, la frode cerca di spingerli ad inserire alcune informazioni personali, tra cui il loro numero di carta di credito e la data di scadenza. .

Per la propria sicurezza on-line, gli utenti devono fare molta attenzione nel momento in cui hanno a che fare con strane email. Pensare – o meglio – leggere, prima di cliccare, è la chiave per evitare di essere truffati.

Molto spesso, i messaggi di phishing cercano di attirare la tua attenzione con la paura. “Sospettiamo una transazione non autorizzata sul suo conto”: questo è un esempio delle più comuni mail di phising. Gli aggressori cercano costantemente di convincere le loro vittime a registrarsi a versioni fasulle di siti web per ottenere informazioni importanti, come la password, il codice del conto in banca e gli indirizzi e-mail.

Gli utenti di Twitter dovrebbero stare attenti e diffidare anche dei falsi tweet di phishing e evitare di cliccare su link di dubbia provenienza, twittati da utenti sconosciuti. Così come per le e-mail, gli aggressori hanno iniziato ad operare sui più popolari social network, twittando link maligni che possono essere facilmente offuscati tramite tecniche di accorciamento degli URL, il che rende praticamente impossibile valutarne la sicurezza.

In generale, gli utenti dovrebbero porre estrema attenzione prima di cliccare su qualsiasi link sospetto ricevuto via email e su tweet da utenti sconosciuti, ed ignorare, cancellare o segnalare tali messaggi. Twitter permette agli utenti di bloccare gli utenti pericolosi o segnalarli come spam, mentre Gmail permette agli utenti di segnalare le email come spam o phishing.

Se sei stato ingannato e ti sembra di aver cliccato su di un link phishing, fai attenzione a non inserire nessuna informazione personale, come la tua password. Se hai il sospetto di essere stato truffato, cambia immediatamente la password per quel sito – e quelle di ogni altro sito che condivideva la stessa password.

Per prevenire il phishing, la Federal Trade Commission incoraggia l’uso di firewall, software antivirus e anti-spyware aggiornati, mentre la U.S Computer Emergency Readiness Team ricorda agli utenti di fare attenzione agli URL quando si inseriscono informazioni personali. E’ facile pensare di essere sul sito giusto, ma per venire truffati basta una sola lettera leggermente diversa nell’indirizzo web (es. www.faceboook.com). Su molti browser, le connessioni sicure cifrate da SSL sono segnalate da un lucchetto verde all’estrema sinistra della barra URL. Questo dà una ulteriore indicazione sulla loro legittimità e sicurezza.