Introduzione al phishing

Il phishing (abbreviazione delle parole inglesi « fishing », in italiano pesca, e « phreaking », che designa il pirataggio di linee telefoniche), hameçonnage, è una tecnica fraudolenta utilizzata dai pirati informatici per recuperare delle informazioni (generalmente bancarie) dagli internauti.

La tecnica del phishing è una tecnica di « ingenieria sociale' » che consiste nello sfruttare non una falla informatica ma bensì quella « umana » frodando gli internauti attraverso una mail che sembri provenire da una società di fiducia, solitamente una banca o un sito commerciale.

La mail inviata da questi pirati usurpa l'identità di una società (banca, sito di commercio elettronico, ecc.) e li invita a connettersi in linea con un link di ipertesto e ad aggiornare delle informazioni che li riguardano in un formulario di una pagina web fittizia, copia perfetta del sito originale, con il pretesto ad esempio di un aggiornamento del servizio, un intervento di supporto tecnico, ecc.

Nella misura in cui gli indirizzi elettronici sono raccolti per caso via Internet, il messaggio ha generalmente poco senso dato che l'internauta può non essere cliente dalla banca dalla quale il messaggio sembra provenire. Ma sulla quantità dei messaggi inviati, capita che il destinatario sia effettivamente cliente della banca.

Quindi, attraverso il formulario, i pirati riescono ad ottenere gli identificativi e le password degli internauti oppure i dati personali o bancari (numero cliente, numero di conto corrente, ecc.).

Grazie a questi dati i pirati sono capaci di trasferire direttamente il denaro su un altro conto oppure di ottenere ulteriori dati necessari utilizzando intelligentemente i dati personali così raccolti.

Come proteggersi dal phishing?

Quando ricevete un messaggio proveniente a priori da un istituto bancario o da un sito di commercio elettronico è necessario porsi le seguenti domande :

• Ho comunicato io a questo istituto il mio indirizzo mail?
• La mail ricevuta ha degli elementi personalizzati che permettono di identificare la sua veridicità (numero cliente, nome dell'agenzia, ecc.)?

Si consiglia inoltre di seguire questi consigli :

• Non cliccate direttamente sul link contenuto nella mail, ma aprite il vostro navigatore e digitate voi stessi l'URL di accesso al servizio.
• Diffidate dei formulari che richiedono informazioni bancarie. E' raro, se non impossibile, che una banca vi chieda delle informazioni così importanti con una semplice mail. Nel dubbio contattate direttamente la vostra agenzia per telefono!
• Quando inserite delle informazioni sensibili, assicuratevi che il navigatore sia in modalitàdi sicurezza, cioè che l'indirizzo nella barra di navigazione cominci con https e che un piccolo lucchetto sia visualizzato sulla barra di stato in basso del vostro navigatore, e che il dominio del sito nell'indirizzo corrisponda effetivamente a quello annunciato (attenzione all'ortografia del dominio)!

Ulteriori informazioni

• Anti-Phishing Working Group