Gmail sotto attacco – Come riconoscere e difendersi dagli attacchi di phishing
Proprio quando Gmail stava aggiornando le proprie protezioni, con l’aggiunta di un avviso nel caso si clicchi su un sito malevolo, e dopo il crash dell’applicazione What’s app ora arriva l’epidemia che ad oggi ha raggiunto oltre 1 milione di contatti in tutto il mondo, lo 0.01% degli account del colosso statunitense.
In questi giorni gli utenti che utilizzano il servizio email di Google stanno ricevendo un messaggio con un allegato che invita gli utenti a cliccare su un link collegato a una pagina ospitata da Google, dove sono elencati gli account di posta elettronica legati all’utente chiedendo di sceglierne uno e di procedere con il download di Google Docs.
Dando il consenso, l’app in questione sviluppata dai cyber criminali otterrà il completo controllo dell’account oltre che delle email e dei contatti, riuscendo a entrare in possesso di dati salvati sul dispositivo estremamente delicati e sensibili come credenziali, foto e documenti di varia natura.
Anche se l’episodio può essere considerato come un banale attacco spam, gli addetti ai lavori avvertono riguardo la serietà della questione: “Gli account delle vittime vengono letteralmente controllati da terze parti, ciò vuol dire che anche i dati più sensibili, come quelli finanziari, sono a disposizione di chiunque” spiega Justin Cappos, professore di cyber-sicurezza all’Università Tandon di New York.
Tramite Twitter, Big G ha rilasciato un comunicato invitando i propri utenti a non aprire il messaggio di posta in questione e contestualmente ha avviato un’indagine per capire da dove possa essere partito l’attacco: “Invitiamo a non cliccare sull’allegato, è meglio segnalare l’attacco a Google così che si possano prendere dei provvedimenti”.
Riconoscere un tentativo di phishing, comunque, non è così complicato. Solitamente contengono messaggi allarmanti (del genere “Verifica il tuo account” oppure “Se non rispondi il tuo account sarà chiuso in 48 ore”), invitano a inserire informazioni personali e credenziali web in portali esterni e, soprattutto, sono scritti in un italiano poco corretto. I messaggi di phishing, infatti, sono scritti in inglese e tradotti con strumenti web: raramente la forma del testo sarà corretta e ciò dovrebbe far risuonare nella testa dell’internauta un vero e proprio campanello d’allarme.
Ad oggi gli esponenti di Google hanno fatto sapere che: “Ci siamo attivati per proteggere i nostri utenti contro una mail di phishing che impersona Google Docs e abbiamo disabilitato gli account colpevoli. Abbiamo rimosso le pagine fake, rilasciato aggiornamenti tramite ‘Navigazione Sicura’ e il nostro team sta lavorando per evitare il verificarsi futuro di simili episodi di spoofing. Invitiamo gli utenti a segnalare le email di phishing al team di Gmail”.
Una nuova tipologia di attacco phishing
Per evitare che tutti i tentativi di attacco phishing “classici” fossero respinti al mittente, gli hacker hanno messo a punto nuove metodologie offensive. Una di queste sfrutta una falla nei sistemi di riempimento automatico dei vari browser (Chrome, Opera e Safari, ma anche di plugin come quello di LastPass) per trafugare informazioni senza che l’utente se ne rendesse conto. La scoperta è dell’esperto di sicurezza informatico finlandese Viljami Kuosmanen, che ha fornito alcuni esempi sul funzionamento di questo trucco tanto semplice quanto ingegnoso.
Utilizzando i sistemi di riempimento automatico dei browser, infatti, dà modo ai gestori dei siti e dei portali web di raccogliere dati e informazioni personali senza informare l’utente. Anche se un portale richiede l’inserimento del nome e del cognome o solamente dell’indirizzo di posta elettronica, il gestore del sito avrà accesso anche agli altri dati del sistema di completamento automatico. In questo modo, senza rendersene conto, si stanno “regalando” dati personali senza che gli hacker debbano impegnarsi più di tanto.
Per proteggere le informazioni personali online sarebbe consigliabile utilizzare il riempimento automatico solo su portali “certi”, oppure disattivare completamente la funzionalità e avere la certezza che nessuno potrà accedere ai nostri dati in maniera così semplice. Ecco come fare:
- Disattivare riempimento automatico Chrome.
Cliccare sul pulsante con tre puntini in verticale nell’angolo in alto a sinistra, scegliere la voce Impostazioni e successivamente Mostra impostazioni avanzate. Nella sezione Password e moduli togliere il segno di spunta in corrispondenza di “Attiva la compilazione automatica per compilare i moduli web con un click” - Disattivare riempimento automatico Safari.
Accedere alle Preferenze e, nella sezione Completamento automatico, togliere la spunta di selezione in corrispondenza di tutte le informazioni che non si vogliono condividere con la funzionalità - Disattivare riempimento automatico Opera.
Dal Menu scegliere la voce Riservatezza e sicurezza e scorrere l’elenco sino a trovare la sezione Autocompletamento. Qui togliere la spunta alla voce “Attiva l’autocompletamento dei moduli nelle pagine web” per disattivare completamente la funzione
Come difendersi dal phishing
Se si è alla ricerca di segreti o strumenti anti–phishing assolutamente infallibili Le armi di difesa degli utenti contro questa forma di truffa informatica si basano tutte (o quasi) sul buon senso.
Prima di tutto bisogna pensare che un’istituzione seria non chiederà mai i dati personali di un utente tramite email. Per questo bisogna controllare scrupolosamente che l’indirizzo del mittente e il link corrispondano perfettamente al sito web ufficiale e non contengano qualche “errore di battitura”. Una delle tattiche utilizzate dai phisher è quella di utilizzare url civetta, dove la differenza tra gli indirizzi dei due siti è di una sola lettera (paipal.com anziché paypal.com, ad esempio). Per avere la certezza che il proprio account non corra alcun pericolo, è buona norma utilizzare la pagina di login usuale, evitando di accedere tramite il link presente nel messaggio di posta elettronica.
Con il passare degli anni e il crescere dei tentativi di attacco phishing, i provider di posta elettronica e le software house che sviluppano client email hanno dotato i loro prodotti di filtri antispam e antiphishing che proteggono l’incolumità dell’internauta. Non sempre, però, le maglie dei sistemi di sicurezza riescono a intercettare le email truffaldine: per questo bisogna fare comunque molta attenzione: il superamento dei sistemi di sicurezza non è affatto sinonimo della veridicità del mittente.
La stessa Google ha messo a punto un sistema di sicurezza – chiamato Google Safe Browsing – che prova a estirpare il phishing direttamente dalle radici. Questo servizio analizza le pagine web alla ricerca di quelle contenenti programmi o script potenzialmente pericolosi: ogni URL infetto viene quindi registrato nel database di Google ed entra a far parte di una sorta di moderno Indice dei libri proibiti (in questo caso dei siti proibiti), e resta virtualmente inaccessibile agli internauti. La lista è messa a disposizione anche di sviluppatori terzi con delle API specifiche – Google Chrome, Mozilla Firefox e Apple Safari utilizzano il tool antiphishing per garantire maggiore sicurezza ai loro utenti – mentre gli utenti possono verificare la sicurezza di un sito o di una pagina web visitando questa pagina e sostituendo la stringa mysite.com con l’URL della pagina o del sito da controllare.
