Phishing e smishing: ACN rileva nuove campagne

Il CSIRT (Computer Security Incident Response Team) dell’Agenzia per la Cybersicurezza Nazionale (ACN) ha rilevato nuove campagne di phishing e smishing. Lo scopo della prima è rubare i dati aziendali attraverso un falso registro delle imprese. La seconda prende di mira gli utenti privati e sfrutta un vecchio trucco, ovvero la mancata consegna di un pacco.

Phishing per rubare i dati aziendali

L’attacco inizia con l’invio di un’email che sembra provenire dal Registro Imprese e delle Camere di Commercio. Il contenuto non è scritto correttamente in italiano, quindi il tentativo di phishing potrebbe essere facilmente identificato. I cybercriminali chiedono con urgenza di inserire o aggiornare i dati aziendali sul portale (falso).

Cliccando sul link presente nel massaggio viene aperta una pagina con nome e loghi del Registro Imprese e delle Camere di Commercio, in cui devono essere inseriti i dati. Al termine viene aperto il sito legittimo per aumentare la veridicità della procedura. Il CSIRT fornisce alcuni utili consigli: non cliccare mai sui link nelle email (aprire direttamente il sito nel browser) e verificare on attenzione il dominio nella barra degli indirizzi.

Smishing per rubare i dati di pagamento

La seconda campagna prevede l’uso degli SMS (smishing), invece delle email. L’ignara vittima riceve un messaggio da un presunto corriere di BRT, in cui è scritto che la consegna del pacco non è andata a buon fine. È quindi necessario usare il link indicato per organizzare un’altra consegna.

Viene mostrata una pagina in cui l’utente deve inserire i propri dati: nome, cognome, indirizzo di consegna, CAP, città, provincia, indirizzo email e numero di telefono. Per la riconsegna è necessario pagare una tariffa di servizio di 1,50 euro. Vengono quindi chiesti i dati della carta: nome del titolare, numero, data di scadenza e codice di sicurezza (CVV/CVC).

Successivamente viene chiesto di inserire il codice OTP inviato via SMS al numero di telefono indicato. Ovviamente tutte le informazioni finiranno nelle mani dei cybercriminali e verranno usate per altre attività illecite. Il consiglio è non accedere ai siti tramite link presente negli SMS e non inserire mai i dati di pagamento in pagine web di cui non sia stata verificata con certezza l’autenticità.