0 Comments
In queste settimane le cronache giornalistiche si sono interessate di una nuova truffa di phishing email che riguarda i dati sanitari, come riportato anche sul sito del Ministero della Salute. Si tratta di false richieste che arrivano sulle nostre cassette postali informatiche, inerenti la necessità di rinnovare la Tessera Sanitaria o per modificare i consensi per il Fascicolo Sanitario Digitale. Nel testo della mail si invita l’utente a cliccare su un link che apre un sito molto simile a quello del Ministero della Salute (Autorità che detiene tali dati), ma la procedura richiede l’inserimento di informazioni personali e sensibili, compresi i dati bancari.
Ovviamente il principale consiglio è quello di non cliccare il link e di cancellare la mail dalla propria casella di posta (anche dal “cestino”). La regola di fondo, valida anche per altre “campagne” simili, è quella di verificare l’indirizzo di provenienza senza fidarsi semplicemente del “nome” che appare nella mail, tenendo a mente che chi detiene (e gestisce) i dati sensibili quali quelli sanitari, sessuali, bancari, religiosi e politici, difficilmente chiede una modifica/integrazione inviando una mail. Fare riferimento, quindi, ai siti ufficiali di tali Autorità, rimane sempre la scelta giusta, evitando così di cadere nelle trappole informatiche che cercano di sfruttare le nostre debolezze.
Nel caso specifico, sia i principali media nazionali che il sito del Ministero della Salute, hanno tempestivamente informato gli utenti della truffa in atto, allertando gli utenti; è anche plausibile, però, che in considerazione delle migliaia di persone che vengono coinvolte in tali truffe, non sempre tutti sono in grado di attivare le giuste contromisure, finendo nella rete degli impostori: in questo malaugurato caso, la nostra raccomandazione è quella di avvisare quanto prima l’Autorità competente e la Polizia Postale (organo di Sicurezza per tali reati), fornendo quante più informazioni possibili.
Il Phishing è una categoria che fa parte della più ampia tecnica informatica del Social Engineering (in italiano Ingegneria Sociale) utilizzata per gli attacchi informatici (ma anche attraverso sms) prevedendo il comportamento delle vittime, allo scopo di far compiere loro in modo inconsapevole, azioni mirate a trafugare informazioni riservate o a violare sistemi informatici.
Gli attacchi phishing vengono effettuati in maniera massiva verso un gran numero di potenziali vittime, avendo gli attaccanti reperito una lista di indirizzi email (oggi relativamente facile da ottenere!) a cui far rivelare informazioni riservate o a far scaricare alla vittima dei malware. Tipicamente l’attaccante si nasconde dietro siti affidabili (Istituzioni, banche, forze dell’ordine), chiedendo l’inserimento dei dati personali e riservati all’interno di schermate web apparentemente simili ed identiche a quelle dell’istituto originale. In genere, i messaggi di phishing hanno toni allarmistici e perentori, minacciando, ad esempio, la sospensione di un servizio o la chiusura dell’account della vittima, se non vengono eseguite le operazioni richieste.
Per difenderci e riconoscerli, possiamo verificare il messaggio di phishing dalla sua impersonalità, senza cioè nome e cognome ma con una dicitura generica (tipo “gentile cliente”); in genere, nella barra dei destinatari non compare nessun indirizzo (perché inviati in blocco a un gran numero di destinatari); infine, sono spesso sgrammaticati perché tradotti in molte lingue ma attenzione, perché questo può anche aiutare l’attaccante, rilevando una vittima poco attenta e facile da truffare!
Come detto in precedenza, la miglior cosa, una volta riconosciuta la mail di phishing, è cancellarla dalla propria casella di posta, sapendo che le Autorità o gli Istituti ufficiali non chiedono mai l’inserimento dei propri dati per email; consigliabile, per avere una certezza assoluta del tentativo di truffa, controllare che la pagina web a cui ci si dovrebbe connettere abbia un indirizzo HTTPS e lucchetto chiuso (connessione protetta), verificando anche che il link a cui ci si chiede di cliccare porti veramente all’indirizzo della pagina web dell’istituto (basta passare il mouse sopra il link, senza cliccarci).