In Brasile si aprono nuove frontiere del phishing mobile

Ago 05, 2016 Marco Schiaffino Approfondimenti, Campagne malware, In evidenza, Phishing 0

I truffatori usano semplici SMS per rubare le credenziali di accesso ai servizi di home banking. Un fenomeno in crescita che rischia di causare grossi danni.

L’utente medio ha ormai fatto l’occhio alle email di phishing e, anche se le percentuali delle persone che cadono in trappola (circa il 5%) rimane ancora sorprendentemente significativo, i truffatori sono costretti ad adottare tecniche sempre più sofisticate per ingannare le loro vittime.

C’è però un’eccezione che riguarda chi utilizza i servizi di home banking via telefono cellulare o smartphone. A descrivere il fenomeno è Fabio Assolini, ricercatore del team GReAT di Kaspersky Lab.

Assolini, in un post, descrive un particolare fenomeno di phishing che si sta sviluppando in Brasile, dove l’utilizzo dei servizi di home banking per telefono sta vivendo un’enorme crescita (+138% in un anno) e può vantare più di 33 milioni di utenti.

La tecnica, battezzata SMiShing, prevede massicci invii di SMS simili a quelli usati dalle banche per comunicare con i clienti. Secondo quanto riportato dal ricercatore di Kaspersky, si tratta di una modalità particolarmente appetibile per i cyber-criminali, visto in particolare che l’invio degli SMS ha un costo ridotto (2 centesimi per messaggio) e i database con raccolte di recapiti telefonici sono facilmente reperibili nel Dark Web.

I messaggi, in genere, contengono qualche messaggio moderatamente allarmante del tipo “i dati forniti sono inesatti, il conto potrebbe essere bloccato” e un link a un sito di phishing.

Se questo messaggio arrivasse via email, verrebbe immediatamente filtrato dal software antispam.

La pericolosità della tecnica, come sottolinea Assolini, sta tutta nel dispositivo che viene preso di mira. Stando alle statistiche citate dal ricercatore, infatti, solo il 56% degli utilizzatori di smartphone nel mondo utilizzano un programma antivirus.

I sistemi di home banking in Brasile, inoltre, non prevedono particolari sistemi di sicurezza per i servizi di questo tipo e le operazioni possono essere fatte tramite il semplice utilizzo di username, password e un codice a sei cifre.

L’utilizzo degli SMS, infine, suscita generalmente ben pochi sospetti (meno dell’email) anche a causa dell’abitudine da parte degli operatori bancari di utilizzare proprio questo strumento come canale privilegiato di comunicazione con i loro clienti.

Insomma: uno scenario ideale per i pirati informatici, che stanno spingendo tantissimo su questo tipo di truffa. Al punto che gli stessi siti di phishing prevedono un sistema di verifica del tipo di dispositivo con cui la potenziale vittima si collega.

Se risulta essere un collegamento via computer, la pagina mostra un messaggio di errore e invita l’utente a collegarsi usando il telefono.

Ti colleghi col computer? Niente phishing. Sono apprezzati solo gli smartphone e, possibilmente, senza antivirus.

Le probabilità che il modello venga esportato anche in Italia, per fortuna, è piuttosto remoto. Non fosse altro che per il fatto che i servizi di home banking nostrani (almeno negli ultimi tempi) adottano misure di sicurezza decisamente più efficaci.

Per quanto riguarda la leggerezza nella gestione dei dispositivi mobile e l’abitudine di non usare software di protezione, invece, è tutto un altro discorso…

Condividi l'articolo