La settimana 31 in retrospettiva

10.08.2021 - Il numero di segnalazioni giunte all’NCSC la scorsa settimana è nuovamente nella media. Da una segnalazione relativa a un sito Internet clonato è emerso un nuovo modus operandi per analizzare le abitudini della clientela di aziende svizzere. Inoltre, sono stati di nuovo comunicati dei presunti tentativi di consegna di pacchi per indurre le vittime a installare un malware. Questa volta, invece di utilizzare nomi di aziende fittizie, gli aggressori si sono spacciati per La Posta Svizzera.

Estranei raccolgono dati sulle abitudini della clientela di aziende svizzere

La scora settimana all’NCSC è stato segnalato un caso particolare. Cercando su Google un determinato fiorista di Berna, come primo risultato è apparso un annuncio con un dominio simile a quello del negozio cercato, ma con la cifra «1» alla fine. Al posto del sito Internet «www.blumenmaarsen.ch» l’annuncio riportava l’indirizzo «www.blumenmaarsen1.ch». Cliccando sul link si apriva una copia identica al sito vero. Sul sito fasullo erano disponibili tutte le pagine ed era anche possibile effettuare ordini e pagare. Diversamente da quanto si potrebbe pensare, lo scopo non era rubare i dati delle carte di credito. Anche il processo di pagamento era identico a quello del sito autentico. I pagamenti venivano effettivamente svolti tramite il vero fornitore di servizi con versamento al venditore e al termine dell’intero processo i fiori sarebbero stati davvero consegnati.

Dall’analisi è emerso che il sito clonato conteneva un codice supplementare appartenente all’azienda statunitense builtwith.com. L’azienda è tra l’altro specializzata nell’analisi comportamentale dei visitatori di siti di e-commerce. La natura dei dati rilevati da builtwith.com non è stata oggetto di una verifica approfondita dell’NCSC. Al momento non è ancora chiaro chi abbia clonato i siti Internet di diverse aziende svizzere per analizzare le abitudini della clientela. Da ulteriori indagini dell’NCSC è emerso che non si tratta di un caso isolato. Infatti, sono stati clonati anche i siti di aziende attive in altri settori, sempre con lo stesso modus operandi (indirizzo Internet con «1» finale e codice di builtwith.com).

In seguito al reclamo da parte del fiorista interessato e l’intervento dell’NCSC, l’organismo di registrazione svizzero SWITCH ha disattivato il sito fasullo.

I risultati delle ricerche su Google sono quasi sempre preceduti da vari annunci. Questi annunci sono sempre indicati come tali e gli inserzionisti pagano per comparire in cima alla lista dei risultati. Come mostra il caso appena descritto, gli annunci su Google possono essere contraffatti.
Perciò occorre prestare attenzione nella ricerca su Google, in particolare con gli «Annunci».
In quanto titolari di un sito Internet, dovreste verificare di tanto in tanto se tramite i motori di ricerca figura tutto in modo corretto. Può capitare che i siti Internet seri vengano falsificati in modo da far apparire le offerte fasulle tra i primi risultati di una ricerca.

Vecchia truffa in una nuova veste: chiamate che annunciano una consegna, ma ora a nome della Posta Svizzera

Nel resoconto della settimana 12 di quest’anno l’NCSC ha già parlato degli hacker che si spacciano per collaboratori di una società di corrieri. In tale occasione le vittime vengono contattate telefonicamente e indotte a firmare i presunti documenti di spedizione inviati in precedenza via e-mail. Così facendo, gli aggressori cercano di convincere le vittime ad aprire un documento PDF. Il link del PDF nasconde però un malware. Il software dannoso inviato può variare, ma generalmente si tratta di un trojan bancario. Finora gli hacker hanno usato nomi di aziende fittizie, come Swiss Express Service o simili, creando anche i relativi domini attraverso i quali avvenivano la comunicazione e l’invio dei documenti con malware. Ora queste aziende fittizie sembrano però suscitare viepiù dubbi presso le vittime, il che riduce le probabilità di successo degli aggressori. Questo potrebbe essere uno dei motivi per cui la scorsa settimana gli aggressori hanno cambiato tattica contattando le vittime a nome della Posta Svizzera.

Anche le mail inviate sembrano provenire dalla Posta Svizzera. Per la vittima diventa dunque più difficile individuare la truffa, ma il link a Google Docs dovrebbe far scattare il campanello d’allarme. La Posta Svizzera non salverebbe mai un documento su Google Docs, ma userebbe la propria infrastruttura. Le imprese serie mettono a disposizione i documenti nel loro spazio clienti e non su piattaforme esterne.

Diffidate delle e-mail che ricevete inaspettatamente.
Chiedete al mittente di confermare l’invio dell’e-mail con allegato. Contattatelo telefonicamente al numero riportato sul sito ufficiale dell’azienda e non usate mai quello indicato nell’e-mail.
Non cedete alle pressioni di aprire un link o un documento inviato via e-mail oppure di comunicare dati personali.
Impostate un filtro che blocchi tutti gli allegati di e-mail che potrebbero contenere macro (ad es. in formato Word, Excel o PowerPoint).