25.02.2025 - Il phishing rimane uno dei fenomeni più frequentemente segnalati all’UFCS e che continua a mietere molte vittime. I truffatori si fanno in quattro per rendere quanto più credibile al destinatario il loro messaggio, utilizzando una serie di trucchi per mettere a segno il colpo.
Il phishing e le sue derivazioni mirano fondamentalmente a ottenere informazioni personali (di solito password o dati della carta di credito) ingannando la vittima col fine ultimo di perpetrare ulteriori attività fraudolente. Per estorcere questi dati i truffatori creano siti web fittizi. Il contatto con la potenziale vittima avviene di solito tramite e-mail, ma sempre più spesso anche tramite SMS o telefono.
Di norma, quindi, ci sono due componenti che devono cointeragire: da un lato la presa di contatto (un messaggio di phishing) e dall’altro l’ottenimento dei dati (pagina di phishing su Internet).
Il trucco dei presunti rimborsi
Il trucco dei presunti rimborsi (ad esempio per tasse pagate in eccesso o fatture pagate due volte) ha lo scopo di adescare il destinatario dell’e-mail con la prospettiva di una ricompensa finanziaria. Un’ampia fetta della popolazione paga infatti somme in eccesso per le tasse o per la cassa malati. In determinate circostanze è previsto un rimborso, sicuramente ben accolto da molti. Il phishing dei rimborsi si fonda proprio su questo assunto.
Il trucco dei nomi di marchi più conosciuti
Una variante di phishing segnalata molto frequentemente all’UFCS vede l’utilizzo di marchi come Swiss Post, Swisscom, FFS o SwissPass. Queste aziende contano un’ampia base di clienti in Svizzera e godono di buona reputazione tra la popolazione. Ecco perché i nomi dei marchi più noti sono utili per i truffatori: inviando innumerevoli e-mail di spam raggiungono un vasto pubblico di potenziali vittime, sebbene i malfattori non sappiano se la persona in questione è effettivamente un cliente dell’azienda. L’invio in massa aumenta le probabilità che il messaggio pervenga a qualcuno che, ad esempio, sta effettivamente aspettando un pacco o il cui SwissPass è scaduto.
Il trucco dei mittenti fittizi e non
Purtroppo, l’indirizzo e-mail del mittente può essere facilmente falsificato, in modo che nel programma di posta elettronica del destinatario venga visualizzato un indirizzo del mittente apparentemente corretto. Molti programmi e app, soprattutto sugli smartphone, non visualizzano l’indirizzo del mittente, ma solo il cosiddetto nome visualizzato. In questi casi, sono necessarie alcune conoscenze specialistiche per analizzare le intestazioni delle e-mail e fare chiarezza sulla loro origine.
Tuttavia, esistono anche e-mail di phishing in cui l’indirizzo del mittente è corretto. Un esempio noto sono le e-mail di phishing a nome di «booking.com». Ma com’è possibile? Si può ipotizzare che l’account di un hotel sia stato violato in precedenza e che le e-mail possano ora essere inviate a nome di booking.com. L’UFCS ne aveva già parlato nella retrospettiva settimanale n. 10/2024.
I trucchi con i link di phishing
I truffatori approfittano spesso di siti web violati per mettere a segno i loro colpi. Il link di phishing (URL) di solito non ha nulla a che fare con la supposta azienda a nome della quale viene effettuato il tentativo di phishing.
A volte i malintenzionati registrano anche domini propri o approfittano di offerte gratuite di sottodomini. Tanto basta per il breve periodo di una campagna di phishing e può essere più affidabile di un nome casuale.
Anche solo l’aspetto del link può essere ingannevole. Il link fraudolento può essere riconoscibile su uno schermo ampio:
Sullo schermo più piccolo di uno smartphone invece l’indirizzo è troncato e solo parzialmente visibile: non è un caso che questa sia esattamente la parte che corrisponde al dominio originale della Posta Svizzera («posta.ch»):
Raccomandazioni
- Prestate attenzione se vi viene chiesto di fornire dati personali in e-mail, messaggi di testo o telefonate. In caso di dubbio, visitate il sito web tramite il link ufficiale, non tramite il link contenuto nel messaggio, oppure chiamate l’assistenza dell’azienda;
- Non inserite mai password, codici o dati della carta di credito su una pagina aperta tramite un link contenuto in un’e-mail o in un SMS;
- Se avete inserito una password su una pagina di phishing, modificatela immediatamente per tutti i servizi in cui la utilizzate. Le password di posta elettronica sono particolarmente sensibili;
- Notificate l’URL di phishing su www.antiphishing.ch. Se desiderate una risposta alla vostra segnalazione, utilizzate il formulario di notifica online dell’UFCS;
- Se avete fornito i dati della carta di credito, contattate immediatamente l’emittente per farla bloccare;
- Fate particolare attenzione ai link brevi. Verificate se siete davvero approdati sulla pagina corretta;
- In caso di danni finanziari, l’UFCS raccomanda di sporgere denuncia alla polizia cantonale. Sul sito di Suisse ePolice potete cercare la centrale di polizia più vicina a voi e il relativo numero di telefono.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria:
Ultima modifica 25.02.2025
