Apparentemente, non c’è riposo festivo per i cybercriminali. Anzi, spesso la loro “tredicesima” si realizza anche nel periodo delle festività di Natale, grazie ad alcune campagne di phishing che periodicamente si ripetono con l’intento di colpire quanti più soggetti possibili.
Analizziamo le principali, ricordando che gli strumenti più utilizzati sono tanto l’e-mail quanto gli SMS (c.d. smishing).
Il “pacco in arrivo” (stricto sensu), altro non è che una finta comunicazione di spedizione in arrivo, con il layout grafico di uno spedizioniere noto (se avviene tramite e-mail), la quale invita a cliccare un link per maggiori informazioni o ottenere il tracking.
In alcuni casi viene anche comunicato un “problema” con la spedizione (ad es. un blocco doganale, o una mancata consegna), così da indurre la vittima designata ad aprire il link al fine di risolvere la criticità segnalata.
Ovviamente, in periodi di festività natalizie, è più frequente che ci siano spedizioni in transito e dunque il destinatario della comunicazione potrebbe non dubitare della genuinità della stessa (in alcuni casi, poi, potrebbe proprio star attendendo una spedizione proprio da quel corriere).
Il link potrebbe portare in una landing page contraffatta, contenente grafica e loghi del corriere, con l’invito ad inserire i propri dati per sbloccare la spedizione (rubando così i dati personali, o le credenziali), effettuare un piccolo pagamento per risolvere il problema doganale (prelevando ben più del poco importo necessario), o altrimenti scaricare qualche tipo di allegato/file (contenente un malware).
Cosa consigliamo di fare in questi casi?
Non aprire il link, ma andare sulla pagina del corriere ed inserire il numero di lettera di vettura o di spedizione per verificarne l’autenticità, ed utilizzare gli strumenti messi a disposizione dal portale per gestire tutte le eventuali criticità della spedizione. In caso di dubbi, non rispondere all’e-mail o all’SMS, ma contattare il servizio clienti del corriere indicato chiedendo lumi sul da farsi.
Un ulteriore tentativo di phishing diffuso, soprattutto durante le festività, è quello del “pagamento non andato a buon fine” relativamente a qualche acquisto online o portale di e-commerce particolarmente famoso.
Come sopra, si punta sulla frequenza di acquisti online del periodo e sull’elevata probabilità che la potenziale vittima possa, per l’appunto, aver compiuto tale operazione, dunque non dubiti circa la genuinità della richiesta.
Anche qui, la contraffazione copre anche la grafica e i loghi del portale onlinee richiede alcune azioni per sbloccare il proprio conto (un sempreverde, con cui si forniscono al cybertruffatore gli accessi ai propri strumenti di pagamento), rinnovare il pagamento (che non sarà certo destinato all’acquisto), o altrimenti scaricare una guida per risolvere la criticità (contenente un malware).
Cosa consigliamo di fare in questi casi?
Come sopra: non aprire alcun link né allegato, verificare direttamente sul portale della piattaforma lo status dei propri ordini e pagamenti e, se del caso, contattare il servizio clienti aprendo un ticket.
Ovviamente, esistono molteplici altre declinazioni di queste frodi online. Possono riguardare buoni sconto, vincite di premi o scadenze da rispettare. La leva emotiva utilizzata è il desiderio (di un guadagno) o la paura (di una perdita) e induce ad agire, senza prima pensare attentamente che si stanno fornendo le proprie informazioni a un destinatario non verificato.
È prevedibile e tutta italiana, invece, un’imminente campagna di phishing a tema cashback.
Si consiglia di prestare dunque particolare attenzione alle comunicazioni provenienti tramite SMS ed e-mail riguardanti eventuali problemi di inserimento di un metodo di pagamento, transazioni non registrate o similari, adottando un approccio prudenziale e andando a verificare direttamente nei canali istituzionali (App, sito, forum) la genuinità della comunicazione.
