IL PHISHING, COS'E' E COME DIFENDERSI

Il phishing è una truffa digitale, un tentativo fraudolento di impossessarsi dei dati sensibili degli utenti. Avviene principalmente tramite email ingannevoli che, utilizzando il nome o il logo di aziende note, richiedono l’inserimento di username, password, codici fiscali o addirittura codici di accesso ai conti bancari. Se si assecondano queste richieste, i dati inseriti entreranno in possesso di hacker che li utilizzeranno per furti d’identità o pagamenti non autorizzati.

Il phishing può avvenire su diverse piattaforme e con modalità sempre nuove. Tuttavia, ci sono dei tratti distintivi che ci aiutano a identificarlo. In questo articolo abbiamo analizzato come funziona il phishing e come riconoscerlo. Ora concentreremo l’attenzione su come contrastarlo.

Il phishing è un problema che riguarda tutti i browser e i provider di servizi email. La stessa Google ha messo a punto un sistema di sicurezza – chiamato Google Safe Browsing. Questo servizio analizza le pagine web alla ricerca di quelle contenenti programmi o script potenzialmente pericolosi: ogni URL infetto viene quindi registrato nel database di Google ed entra a far parte di una sorta di libro nero e resta virtualmente inaccessibile. Ma oltre al software del colosso americano esistono altri accorgimenti che posso consentirvi di navigare più sicuri:
• mantenere il browser aggiornato. Installando le ultime versioni e inserendo dei filtri anti-spam, il browser riuscirà a prevenire un maggior numero di tentativi di phishing;
• controllare il dominio. Una società o un ente scriveranno sempre con il proprio dominio, controllate che corrisponda a quello ufficiale. Questa verifica non dà la massima garanzia di autenticità ma rappresenta un primo controllo da poter fare. Nel caso poi venga richiesto il click su un link, è utile verificare il dominio al quale il link fa riferimento;
• prima di cliccare “Unsubscribe” pensaci. In ogni caso, prima di cliccare è meglio pensarci due volte. Nelle email di SPAM, se compare un link con su scritto “Unsubscribe” o “Annulla Iscrizione” nel corpo dellla email, molto probabilmente si tratta di phishing, e aprire quel link potrebbe essere una scelta sbagliata;
• evitare le scorciatoie. Se viene richiesto di rinnovare un servizio in scadenza, è meglio non usare i link presenti nella email per farlo. Nel caso in cui la email dovesse sembrare plausibile, ci si può collegare al sito in questione direttamente dal browser, senza usare le scorciatoie proposte. Entrati nel portale, si potrà controllare se i propri abbonamenti vadano rinnovati o meno;
• utilizzare più indirizzi email. Quando ci si iscrive a servizi, o siti web, di dubbia affidabilità, è preferibile utilizzare email secondarie, in modo da non rischiare di contaminare la nostra casella email principale;
• contattare il servizio clienti. Se arriva una email ambigua, e non si capisce con certezza se sia una frode o meno, è meglio contattare il servizio clienti dell’azienda. Sapranno sicuramente chiarire ogni dubbio.

Si consiglia l’attivazione sulla propria casella di posta dei protocolli SPF e DMARC sulla posta in ingresso (e in uscita). Se sei cliente Aruba scopri come fare con questa guida.
Cosa fare dopo un attacco phishing
• Bloccare gli account. Se si cade vittima di un attacco phishing, la prima cosa da fare è bloccare immediatamente l’account vittima dell’attacco.
• Cambiare la password. Nel caso di portali online, bisogna cambiare la password o chiudere direttamente il profilo prima che gli hacker possano accedervi.
• Contattare il servizio clienti. Qualora l’account sia già stato compromesso e non sia più possibile fare il login con i propri dati, è necessario contattare il servizio clienti per ripristinare manualmente i vostri dati d’accesso.
• Contattare la banca. Nel caso di furto di dati bancari invece, va contattato l’istituto di credito per bloccare i servizi coinvolti nella truffa (carte di credito, conti correnti, bancomat, …).
• Avvisare gli enti colpiti. Oltre al recupero dei dati personali, è opportuno segnalare l’attacco phishing agli enti che ne sono stati colpiti, cosicché possano prendere provvedimenti e contrastare la truffa.

Il passo successivo invece, è informare le autorità competenti.
Come segnalare un phishing in corso
Il phishing, seppur possa sembrare una semplice email ingannevole, è un reato vero e proprio, e come tale va considerato.
Nonostante non sia previsto dall’ordinamento penale, il phishing oggi viene giudicato come frode informatica e furto d’identità digitale.
In quanto reato informatico inoltre, va comunicato alla Polizia Postale, che sul suo sito ha disposto uno spazio per le segnalazioni di questo tipo.
La stessa Polizia Postale, sul suo portale, raccoglie gli avvisi ricevuti e classificati come phishing. Consultando quella pagina è possibile farsi un’idea sui tentativi di frode in corso, ed eventualmente avere la conferma che le email ricevute fanno parte di quella categoria.
Come ottenere il rimborso
Anche se dovessero riuscire a sottrarre dati bancari alle loro vittime, non è comunque facile, per gli hacker, spostare somme di denaro dal conto corrente di cui si sono impossessati. Questo perché, le credenziali di accesso agli account di home banking, spesso non sono sufficienti per disporre transazioni. Per quelle operazioni servono ulteriori codici e password.

Qualora dovesse verificarsi la peggiore delle ipotesi, ovvero un furto di denaro, non è ancora detto che la situazione sia irreparabile. Alcuni istituti di credito tutelano i loro risparmiatori tramite una copertura assicurativa sulle transazioni commesse da terzi, e possono quindi garantire un rimborso della cifra derubata.

Il primo passo da fare, quindi, è informarsi sulle garanzie offerte a riguardo dalla propria banca e, nel caso sia possibile, procedere con la richiesta di risarcimento. Per fare ciò è necessario attendere la contabilizzazione dell’operazione, denunciare l’accaduto alle autorità di pubblica sicurezza e successivamente compilare un modulo di contestazione per dichiarare che non si riconosce alcun addebito a partire dalla data del furto.
Un rischio che si può evitare con semplici accorgimenti
In conclusione, esiste una grossa mole di attacchi, ma grazie alle possibili contromisure da adottare – a partire dall’essere consapevoli del phishing, all’impostazione di avvisi anti-phishing, all’education sulla tematica, al monitoraggio e alla verifica dei log, degli abuse ed ulteriori – la percentuale di richieste maliziose intercettate, bloccate e non andate a buon fine supera l’80%.
Sul restante 20% è necessaria una consapevole collaborazione fra i fornitori di servizi e i clienti: leggendo attentamente le email che si ricevono, inserendo i propri dati solo su siti affidabili e evitando di aprire link sospetti, il phishing è un problema che può essere evitato.