Phishing: un'e-mail per rubare i vostri dati di home banking
Il phishing è una truffa informatica che permette di carpire, attraverso un'e-mail, i dati di accesso personali alla propria banca online. Ecco come avviene. Arriva nella vostra casella di posta elettronica un'e-mail che sembra provenire dalla vostra banca e vi dice che c'è un imprecisato problema al sistema di "home banking". Vi invita pertanto ad aprire la home page della banca con cui avete il conto corrente gestito via web e di cliccare sul link indicato nella mail.
Subito dopo aver cliccato sul link vi si apre una finestra (pop-up) su cui digitare la "user-id" e la "password" di accesso all'home banking. Dopo pochi secondi, in generale, appare un altro pop-up che vi informa che per assenza di collegamento non è possibile la connessione. A questo punto qualcuno è entrato in possesso dei vostri dati e può fare operazioni dal vostro conto.
E' una truffa, denominata "phishing", nata in Spagna e Portogallo e in seguito segnalata dalla polizia locale a quella italiana. Si è diffusa, infatti, anche nel nostro Paese e il raggiro consiste nell'acquisire "user-id", "password", nome dell'istituto di credito ed eventuali altri dati immessi dall'ignaro utente. Così grazie a quel primo pop-up che ha registrato i dati, il conto corrente viene svuotato con bonifici fatti a società fantomatiche.
La polizia Postale ha fina dall'inizio sollecitato l'Abi (Associazione bancaria italiana) ad invitare le banche ad avvertire i propri clienti di non digitare i codici personali nel caso dovessero ricevere questo tipo di e-mail.
Il fenomeno del phishing che in realtà non coinvolge solo le banche ma in generale le varie aziende che si occupano di e-business è oggi considerato la parte dello spam più in crescita in tutto il mondo e colpisce sia le aziende che i consumatori.
Proprio per questi motivi Microsoft, e-Bay e Visa hanno deciso di dar vita al Phish Report Network: una sorta di database che raccoglie le informazioni utili per identificare le e-mail truffaldine che arrivano agli utenti di tutto il mondo e che consentirà di stilare una lista nera dei siti del phishing a cui sono stati attribuiti molti tentativi di truffa.
Non illudetevi che queste semplici regole vi rendano assolutamente invulnerabili: tanto per cominciare, coprono principalmente la navigazione in Internet, che oggigiorno è la fonte principale di attacchi informatici, ma non coprono la sicurezza fisica del computer.
Inoltre la sicurezza assoluta è una chimera. Un aggressore deciso ed esperto, che prenda di mira specificamente voi, è in grado di aggirare queste precauzioni basilari e probabilmente è in grado di aggirare qualsiasi precauzione, ricorrendo anche a tecniche non strettamente informatiche (corruzione, pedinamento, infiltrazione nell'organizzazione, furto materiale del computer, eccetera).
Ma la realtà è che il pericolo più frequente e probabile per l'utente medio è costituito da attacchi non mirati, in cui l'aggressore spara nel mucchio, sperando di trovare vittime facili, e chi spara è uno dei tantissimi aspiranti vandali che appestano la Rete. Questo comporta due cose:
• non pensate di essere un bersaglio poco interessante e che quindi a voi non possa capitare: siamo tutti bersagli, a prescindere da chi siamo e che dati abbiamo.
• adottare queste regole permette di respingere con sicurezza la maggior parte degli attacchi più comuni.
Per capirci, queste regole sono sufficienti a farvi evitare tutti i più recenti attacchi informatici che hanno fatto notizia ultimamente e a tenervi al riparo anche dalla stragrande maggioranza degli attacchi futuri.
La brevità di questo documento, concepito come "miniposter" da appendere al muro come promemoria, mi impedisce di spiegare a fondo molti aspetti della sicurezza. .
Queste regole non hanno la pretesa di essere le Tavole della Legge: sono semplicemente consigli basati sulla mia esperienza e sui suggerimenti raccolti ascoltando chi ne sa più di me, temperati dall'esigenza di renderli pratici e comprensibili anche all'utente non esperto.
Queste regole non hanno durata eterna. Sono valide al momento in cui le scrivo (la data è indicata all'inizio della pagina). Purtroppo, con l'evolversi (e talvolta devolversi) della tecnologia, rimedi un tempo sicuri diventano inutili e affiorano altri nuovi rischi.
Queste regole si applicano a TUTTE le connessioni Internet. Non importa se siete connessi tramite cellulare, su linea telefonica normale, su ADSL oppure con il cavo a fibre ottiche: si tratta di regole generali valide in ogni caso.
Le regole in breve (da stampare e appendere al muro)
Dodecalogo di sicurezza informatica
- Installate un buon firewall.
- Installate un buon antivirus, tenetelo costantemente aggiornato e usatelo su tutti i file che ricevete.
- Fate il backup (almeno) dei vostri dati. Fatelo spesso. Fatelo SEMPRE.
- Installate gli aggiornamenti (patch) di Microsoft.
- Non installate software superfluo o di dubbia provenienza.
- Non usate Internet Explorer e Outlook Express. Sostituiteli con prodotti alternativi più sicuri come Firefox e Thunderbird.
- Tenete disattivati ActiveX, Javascript e Visual Basic Scripting. Riattivateli soltanto quando visitate siti di indubbia reputazione.
- Non aprite gli allegati non attesi, di qualunque tipo, chiunque ne sia il mittente, e comunque non apriteli subito, anche se l'antivirus li dichiara "puliti".
- Non fidatevi dei link a banche o negozi forniti da sconosciuti. Possono essere falsi e portarvi a un sito-truffa. Usate invece i Preferiti o il copia-e-incolla, oppure digitateli a mano, in un browser sicuro.
- Rifiutate la posta in formato HTML e non mandatela agli altri. Usate il testo semplice, molto più sicuro.
- Non distribuite documenti Word: trasportano virus e contengono vostri dati personali nascosti.
- Non fidatevi dei messaggi di allarme diffusi da stampa generalista, amici e colleghi, e non diffondeteli, se non sono documentati.
.
