scam
“Per festeggiare abbiamo deciso di regalare ai nostri fan X bitcoin! Non devi far altro che trasferire 0,01 bitcoin in questo wallet e otterrai a cambio 0,1 bitcoin!” Ecco un esempio di scam che riguarda le criptomonete.
Naturalmente, dopo aver trasferito le vostre criptomonete sul wallet indicato, nessuno vi ricompenserà con altri bitcoin. Gli scammer pubblicano questi tweet per poter guadagnare soldi facili (e, siccome i bitcoin garantiscono un certo grado di anonimato, è difficile risalire ai truffatori). “Ma chi ci casca?”, starete pensando. In molti purtroppo, perché la truffa sembra essere proposta da una persona di cui potersi fidare.
Breve excursus delle truffe su Twitter che coinvolgono le criptomonete
Le truffe che riguardano le criptomonete sono venute alla luce per la prima volta quando gli scammer si sono spacciati per Elon Musk, CEO di Space X e Tesla, il quale sembrava che regalasse Ethereum in qualsiasi situazione, dal lancio del nuovo razzo Space X alla produzione di una nuova Tesla.
Elon Musk utilizza molto Twitter per fare delle dichiarazioni o per temi riguardanti le relazioni pubbliche, e sono oltre in 20 milioni a seguirlo su questo social. Gli scammer hanno creato account che prendevano in prestito il suo nome e il suo avatar, oltre al fatto che l’account aveva un nome simile a quello originale (@elonmask invece di @elonmusk, per esempio). Mediante questi account, i cybercriminali rispondevano ai post originali di Musk promuovendo offerte e regali di criptomonete che utenti poco attenti scambiavano per messaggi autentici di Musk.
La tecnica ha funzionato abbastanza e questo genere di truffa ha iniziato ad attirare l’attenzione, arrivando al punto che Twitter, come misura preventiva, ha deciso di bloccare gli account in cui fosse presente il nome Elon Musk.
Gli scammer sono quindi passati a sfruttare il nome di altre personalità su Twitter, come Bill Gates, Pavel Durov (creatore di Telegram e di vk.com), Vitalik Buterin (creatore della criptomoneta Ethereum) e tanti altri. Hanno impiegato bot per condividere maggiormente i link di spam, per seguire altri account falsi, dare like e fare retweet, il tutto per promuovere queste truffe su larga scala. I ricercatori di Duo Security hanno scoperto una grande rete di bot dove gli account tra di loro condividevano link, follow e retweet.
Il passo successivo è stato l’hackeraggio di account verificati, con lo scopo di sembrare ancora più convincenti. Se un certo Ælon Müsk propone l’ennesimo crypto-regalo, può
apparire molto più convincente e allettante se ci sono account verificano che rispondono positivamente all’offerta, affermando di aver ricevuto i bitcoin come promesso. Ad esempio, tra gli account hackerati si annovera quello di una personalità appartenente al consolato indiano a Francoforte o quello di un membro della compagnia di consulenza Capgemini.
Alcuni scammer hanno provato a cambiare il nome di alcuni account verificati hackerati, affinché sembrassero simili a quello di Elon Musk (aggiungendo la lettera “o” in cirillico, per evitare che Twitter se ne accorgesse e procedesse al blocco dell’account), sempre per poter promuovere queste truffe e legittimarle maggiormente.
L’ultima tecnica? Annunci provenienti da account verificati
In questa fase dell’evoluzione della truffa, i cybercriminali hanno iniziato a sostituire i tweet normali con annunci sulla piattaforma, pubblicati a nome degli account verificati (e falsi) e dello stesso tipo di cui abbiamo parlato nel precedente paragrafo. Ha la sua logica: gli annunci su Twitter possono non prevedere i commenti, per cui non c’è modo di mettere in guardia le potenziali vittime.
Ma ora è stato fatto un ulteriore passo in avanti. Le tecniche più recenti hanno reso la truffa ancora più convincente: è stato compromesso l’account Twitter di Target ma, invece di pubblicare un tweet normale (che sarebbe stato visto facilmente da dipendenti e follower di Target), gli scammer hanno deciso di creare un annuncio per promuovere la truffa.
E il tutto sembrava molto convincente perché:
- Era un annuncio ufficiale;
- L’annuncio proveniva dall’account verificato ufficiale di Target.
Probabilmente Target non sarà l’ultima vittima di questo tipo di attacco, per cui state sempre in guardia a non fidatevi di chi vi offre criptomonete in questo modo, indipendentemente da chi sia la personalità in questione.
Aggiornamento del 15 novembre, 2018
Come avevamo previsto, Target non è più l’ultima vittima. È stato compromesso anche l’account Twitter delle app G Suite di Google per lo stesso scopo: pubblicizzare un’altra truffa che coinvolge le criptmonete.
Va sottolineato che ora tra le vittime dell’hackeraggio dell’account ci sono anche personalità non appartenenti al mondo IT o della tecnologia. Sono stati hackerati, infatti, gli account di un nostro tennista, l’account della catena di cosmetica The Body Shop, l’account di una squadra universitaria spagnola e tanti altri.
Tutto ciò ci porta a darvi un altro consiglio. Se siete in possesso di un account Twitter (soprattutto se si tratta di un account verificato), dedicate del tempo a salvaguardarne la sicurezza. Assicuratevi che state utilizzando una password unica, lunga e complessa e che sia attiva l’autenticazione a due passaggi. Infine, se volete saperne di più su come proteggere il vostro account, Twitter, vi consigliamo di dare una lettura a questo post.
Consigli