15.04.2025 - I social network come Facebook, Instagram, X e Snapchat sono particolarmente allettanti per i cibercriminali, perché gli utenti sono molto attivi su queste piattaforme. Se un truffatore ruba i dati di login, ottenendo quindi l’accesso a un account di social media, può creare post e visualizzare i dati. Le possibilità per un truffatore sono quindi molteplici: può pubblicare annunci pubblicitari, diffondere fake news sulla persona o sull’azienda in questione o persino ricattarla. Spesso i criminali utilizzano l’identità di qualcun altro per attaccare in modo mirato i suoi amici sui social network. Anche questi ultimi diventano a loro volta vittime, innescando una reazione a catena.
Un metodo di attacco segnalato all’UFCS nelle ultime settimane mostra che gli aggressori passano sistematicamente da un account di social media all’altro: grazie ai dati di login rubati, inviano e-mail a nome della vittima per ottenere ulteriori credenziali di accesso, approfittando del fatto che i destinatari conoscono la persona da cui proviene la richiesta. Per aumentare le loro possibilità di successo, i criminali cercano anche di mettere mano alle credenziali di accesso di diversi servizi Internet in un colpo solo. Questo metodo gli consente di compromettere in modo rapido ed efficace un gran numero di account, accelerando così la diffusione dell’attacco e aumentando le possibilità di ottenere informazioni preziose. Dal momento che non viene compromesso un solo account, ma diversi, il danno per la vittima è notevole.
Il concorso
Nelle varianti attuali si riceve una richiesta da un conoscente, che sostiene di partecipare a un concorso di moda o di stile, dove ogni voto conta. Il conoscente sarebbe molto felice se la persona contattata votasse per lui. Poiché la richiesta sui social media proviene da una persona conosciuta, la vittima non ci pensa troppo e clicca sul link indicato. Il sito web che si apre sembra effettivamente una piattaforma di voto per un concorso di moda.
Oltre allo sfondo che si ispira a una sfilata di moda, la pagina mostra anche i nomi delle persone per le quali è già stato votato o quelle che finora hanno ricevuto il maggior numero di voti. Per poter votare, tuttavia, è necessario effettuare il login. Oltre a Instagram, è possibile accedere anche con Facebook o con un account e-mail. Se si osservano più da vicino le immagini dei candidati e le si confrontano con quelle già presenti in Internet, si nota che provengono tutte da banche dati di immagini commerciali. Questo è un chiaro indizio di un sito web fraudolento. L’intero sito web è stato creato solo per impossessarsi delle password delle vittime.
Il metodo perfido
Il metodo adottato dai truffatori è ancora più perfido: al momento della registrazione, qualunque siano le credenziali inserite, si riceve sempre il messaggio che la password è errata. Il motivo potrebbe essere il seguente: se il login con l’account Instagram non funziona, la vittima presume che si tratti di un errore tecnico e prova anche con l’account Facebook. In fin dei conti vuole solo fare un favore all’amica o all’amico e votare per lei o lui. Se anche il login con Facebook non va a buon fine, la vittima tenta di accedere con l’account e-mail. In questo modo, in un colpo solo i truffatori mettono le mani su due account di social media e anche a quello dell’e-mail, con il quale possono persino accedere ad altri servizi e account collegati allo stesso indirizzo e-mail utilizzando la funzione di ripristino della password.
Reazione a catena
Con tutti questi dati, altri amici vengono poi colpiti secondo lo stesso principio, innescando una reazione a catena. I lettori abituali della retrospettiva settimanale conoscono questa procedura: il metodo chiamato «chain phishing», con il quale i truffatori si spostano da un account all’altro, è particolarmente diffuso tra gli account aziendali di Microsoft 365. In ambito privato, il metodo viene utilizzato anche sui social media ed è pertanto necessario agire con particolare cautela.
Raccomandazioni
- Non inserite mai dati personali come password o dati della carta di credito su un sito Internet aperto tramite un link ricevuto via e-mail o SMS.
- Assicuratevi sempre di essere sulla pagina giusta quando vi viene chiesto di inserire le vostre credenziali.
- In caso di dubbio, chiedete al vostro conoscente o alla vostra conoscente se è davvero lui o lei ad avere inviato il messaggio.
- Se avete inserito la vostra password, modificatela immediatamente per tutti i servizi in cui la utilizzate. Utilizzate una password diversa e complessa per ogni servizio.
- Per i servizi che consentono l’autenticazione a due fattori, è necessario attivarla, aumentando così la sicurezza dei dati in modo significativo.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria:
Ultima modifica 15.04.2025
