Mondo
Tutti quanti noi abbiamo imparato, sin da piccoli, ad analizzare – consapevolmente o inconsapevolmente – i gesti, le espressioni facciali e l’intonazione della voce delle altre persone.
Numerose ricerche ci dimostrano che, almeno nel 60% dei casi, dedichiamo maggior attenzione al linguaggio del corpo espresso dal nostro interlocutore piuttosto che a quanto stia effettivamente dicendo. Le informazioni che ricaviamo nell’osservare le altre persone, vengono quindi da noi utilizzate per trarre conclusioni in merito al livello di sincerità espresso da chi sta parlando in quel frangente. Le conclusioni che ricaviamo da tale processo di osservazione, risultano in ogni caso di vitale importanza, in quanto ci possono essere di aiuto per non rischiare di cader vittima di imbroglioni, truffatori o di chiunque altro abbia intenzione di raggirarci.
Potenziali truffe, frodi e raggiri non sono però una minaccia nei nostri confronti solo nella vita “reale”; da diverso tempo, infatti, sono sensibilmente aumentate le truffe “virtuali”, messe in atto su Internet da cybercriminali sempre più agguerriti e spregiudicati. Ciò significa che dobbiamo dotarci delle “armi” necessarie per ben valutare e conseguentemente fronteggiare ogni possibile minaccia informatica presente in Rete, assumendo un atteggiamento quanto mai guardingo. E’ ovvio che, per ciò che riguarda i messaggi di posta elettronica, o nell’ambito dei social network, linguaggio del corpo e intonazione della voce non potranno di certo venire in nostro ausilio; in effetti, in Rete disponiamo solo di testi ed elementi grafici quali potenziali strumenti guida per maturare i nostri giudizi e le nostre conclusioni. Ciò significa che nel mondo “virtuale” non possiamo in alcun modo fare affidamento sui nostri innati istinti?
Così sembrerebbe, almeno a giudicare dalle apparenze. In realtà, Internet presenta altri aspetti e opportunità, di cui possiamo avvalerci per compensare l’impossibilità di utilizzare appieno il nostro istinto più profondo. Tuttavia, affinché ciò possa risultare fruttuoso, occorre imparar a conoscere ciò da cui dobbiamo ben guardarci. E’ altamente improbabile che cybercriminali e truffatori possano sempre inventarsi cose di assoluta novità, ragion per cui, una volta che vi sarete imbattuti in una truffa o in una potenziale situazione di pericolo, farete di sicuro ben tesoro dell’esperienza acquisita, per quanto negativa, utilizzandola in futuro, per discernere eventuali minacce. Il presente articolo vuole illustrare alcuni esempi tipici di queste ultime, fornendo le necessarie indicazioni su come proteggersi. E’ in particolar modo rivolto a coloro che si accingono, o hanno appena iniziato, ad esplorare il mondo di Internet; però chissà, magari gli esempi che riportiamo potranno essere di aiuto anche a qualche veterano della Rete, per imparare qualcosa di nuovo.
Le minacce tipiche della posta elettronica
Nel muovere i primi passi nel mondo di Internet, con ogni probabilità, una delle prime cose che farete, sarà aprire un account di posta elettronica. In effetti, oltre a poter restare in contatto con parenti e amici, un indirizzo di posta elettronica attivo può essere indispensabile anche per acquistare prodotti on-line, o iscrivervi a forum e social network.
Purtroppo, al pari della cassetta postale di casa, spesso piena di volantini e opuscoli pubblicitari che mai vi sareste sognati di richiedere, anche la vostra casella di posta elettronica può venire intasata da una serie di messaggi indesiderati. Basti pensare che ben l’89% di tutte le eMail attualmente inviate è costituito da spam, ovvero messaggi non richiesti che vengono ad offrirvi, ad esempio, la concessione di crediti vantaggiosissimi, oppure pillole di Viagra a prezzi super scontati, e mille altri servizi o prodotti ancora. E non si tratta in alcun modo di offerte lecite; in effetti, molto spesso, tali messaggi contengono link a siti web infettati da virus, Trojan od altri programmi maligni. Essi andrebbero pertanto immediatamente cancellati, e mai aperti, per non permetter loro di danneggiare il vostro computer; così facendo, al limite, l’unico danno che vi arrecheranno sarà quello di dover poi impiegare, da parte vostra, del tempo per l’opportuna rimozione.
Certo, è facile dire che queste eMail debbono essere immediatamente cancellate; talvolta, esse appaiono così allettanti che risulta davvero difficile procedere subito alla loro eliminazione. Del resto, i cybercriminali sono molto scaltri: agiscono in particolar modo proprio in coincidenza delle principali festività dell’anno, Natale, Pasqua, magari in occasione della ricorrenza di San Valentino. Quest’ultima si rivela essere una vera e propria gallina dalle uova d’oro per i malintenzionati: il 14 Febbraio è in effetti il giorno in cui ognuno può liberamente dichiarare i propri sentimenti nei confronti di un’altra persona senza il minimo imbarazzo, anche se si tratta, magari, di qualche lontano conoscente.
Così, se per il giorno di San Valentino vi giungesse un’eMail con l’intestazione ‘I love you’, siete proprio sicuri che non l’aprireste?
Ma i cybercriminali non sfruttano solo le festività ed i temi più caldi dell’attualità. Internet viene spesso descritto come il non plus ultra in materia di entertainment, ed in effetti vi sono moltissimi siti esclusivamente dedicati ad articoli, immagini e video divertenti. Tutti quanti noi amiamo un po’ di distrazione, ogni tanto, ed i cybercriminali giocano proprio su questo fattore psicologico, inviando messaggi dai contenuti intriganti, del tipo ‘Check out this funny video!’ (Dai un po’ un’occhiata a questo divertente video!) o ‘Funny photo!’ (Foto esilarante!). Sia come sia, si dovrebbe sempre resistere alla tentazione di aprire il file in questi casi allegato al messaggio di posta elettronica: in effetti, al 99,99% esso conterrà programmi in grado di danneggiare i dati salvati sul vostro computer, spiare le vostre attività on-line e/o defraudarvi in qualche maniera.
Nel suo articolo “L’evoluzione dello spam: Giugno 2009“, la mia collega Tatyana Kulikova afferma che lo 0,31% di tutte le eMail inviate nell’ambito dell’Internet russa contengono allegati maligni. Questa potrebbe anche non apparire una percentuale particolarmente elevata, ma visto che ogni giorno si registra l’invio delle più svariate tipologie di messaggi spam, il numero totale di eMail infette sarà in ogni caso assolutamente ragguardevole, considerando, in special modo, che ogni singolo messaggio di spam viene inviato a milioni di indirizzi di posta elettronica.
Phishing
Una delle truffe on-line maggiormente conosciute è rappresentata dal phishing. Si riceve, ad esempio, un’eMail che invita a recarsi in un determinato sito (il link viene fornito all’interno del messaggio), dove si dovranno inserire delle informazioni di natura personale, quali password, numero di conto bancario, etc. La suddetta eMail sembra, a prima vista, provenire ufficialmente dalla nostra banca, oppure da eBay, o magari da PayPal, il noto sistema di pagamento on-line. Tuttavia, per quanto il messaggio possa sembrare autentico e convincente, si tratta di un falso; cliccando sul link, e immettendo successivamente le informazioni richieste, i cybercriminali entreranno agevolmente in possesso dei nostri dati sensibili, che utilizzeranno poi per i propri loschi fini.
Numerosi istituti bancari hanno recentemente adottato e messo in atto ulteriori misure di sicurezza per fronteggiare i tentativi di phishing, riuscendo in tal modo ad ottenere una drastica riduzione del numero delle eMail di phishing indirizzate a banche di primaria importanza. Ciò non significa tuttavia, che tale tipologia di truffa non venga più utilizzata; i cybercriminali hanno semplicemente provveduto a modificarne le caratteristiche, tenendosi così al passo con i tempi.
Le eMail di phishing sono ormai divenute un fenomeno di portata internazionale: il testo del messaggio originale viene in effetti tradotto in svariate lingue. I malintenzionati, inoltre, cercano con ogni sforzo di imitare alla perfezione il lay-out e la grafica utilizzati dai maggiori istituti bancari ed enti finanziari nelle proprie eMail ufficiali. Risulta quindi difficile poter distinguere logo e colori utilizzati dai cybercriminali da quelli autentici. Il testo del messaggio di phishing risulterà invece, con ogni probabilità, letteralmente “crivellato” di errori grammaticali ed ortografici, tale da meritarsi subito un bel red flag. Inoltre, anche le eMail che iniziano genericamente con “Caro Cliente”, anziché riportare la corretta indicazione del vostro nome, costituiscono un chiaro indice di tentativo di phishing, tanto più che, al giorno d’oggi, vengono oramai personalizzate addirittura le newsletter. E’ davvero altamente improbabile che una comunicazione di natura ufficiale non rechi direttamente il vostro nome. Gli istituti bancari autentici, infine, di certo non procederanno mai a richiedere il vostro numero di PIN o il numero che autorizza l’effettuazione della transazione (TAN), così come altre informazioni di natura sensibile, e tutto questo men che meno via eMail.
Come abbiamo affermato sopra, non sono esclusivamente le banche a costituire il bersaglio privilegiato degli attacchi di phishing. In questi ultimi tempi, è stata altresì dispiegata in Internet una quantità notevole di eMail di phishing volte a carpire i dati relativi agli account utilizzati dagli utenti nei dei sistemi di pagamento on-line, come PayPal, o per accedere ai siti delle aste on-line, come eBay.
Le eMail di phishing rappresentano attualmente lo 0,94% del volume complessivo di spam circolante in Internet: detto ciò, è incredibile constatare come addirittura il 60% di tali messaggi abbia quale target proprio PayPal. Le eMail di phishing di tale natura minacciano spesso l’imminente chiusura dell’account di cui disponete, poiché, secondo quanto si asserisce, esso non è stato più utilizzato per un certo periodo di tempo. Per mantenere l’account attivo, così recita il messaggio in questione, si dovrà effettuare un determinato login; a tal scopo, l’eMail naturalmente fornisce un apposito e comodo link… Qualora vi si clicchi, verrà visualizzata una pagina il cui aspetto risulterà essere estremamente simile a quello delle pagine web presenti nel sito ufficiale preso di mira dai cybercriminali; in essa, si richiederà di inserire nome utente e password. All’apparenza, tale pagina sembrerà appartenere, in tutto e per tutto, ad un sito ufficiale: in realtà fa parte di un sito contraffatto. Non si devono quindi mai utilizzare quei link presenti all’interno di una eMail che conduca ad una pagina web sulla quale si richiede l’immissione di informazioni sensibili. E’ quindi sempre buona norma utilizzare opportunamente i segnalibri presenti nel vostro browser, oppure inserire di persona l’indirizzo web nell’apposita casella del browser. In effetti, anche se un link vi appare del tutto legittimo ed ufficiale, JavaScript potrebbe sempre poi agevolmente aprire in background un indirizzo del tutto diverso da quello mostratovi.
Se si hanno dei dubbi riguardo all’autenticità di un messaggio ricevuto, è altamente raccomandabile chiamare direttamente al telefono la società in questione, od inviare ad essa un’apposita eMail, per richiedere tutti i chiarimenti del caso. Qualora si opti per questa seconda soluzione, poi, si consideri che in tali casi non bisogna mai rispondere direttamente al messaggio inviatoci, effettuando meccanicamente l’operazione di reply. E’ invece opportuno andare a consultare il sito web della suddetta società, alla sezione “Contatti”, utilizzando poi l’indirizzo o gli indirizzi di posta elettronica in essa riportati. Ciò garantisce che la richiesta di chiarimento inoltrata giunga effettivamente alla mailbox di tale società, piuttosto che ad un indirizzo “invalido” utilizzato dagli scammer o dagli spammer.
Chi vuole riciclare del denaro sporco?
Con la brutta aria che tira attualmente nel campo dell’economia, saranno sicuramente in molti gli utenti in cerca di un lavoro; così, venire a sapere che c’è in giro qualche posto disponibile, fa indubbiamente molto piacere. Supponiamo che riceviate un’offerta di lavoro tramite eMail, la quale, magari, vi promette di poter realizzare degli ottimi guadagni stando tranquillamente seduti a casa vostra, con il minimo dispendio di tempo e di energie. E, anche qualora abbiate già un buon lavoro, l’idea di poter guadagnare dai 1.500 ai 2.000 Euro al mese in più sarà certamente allettante. Ma cosa vi si chiede di fare? Semplice: ricevere delle somme di denaro provenienti da un determinato conto A e trasferirle su un certo conto B tramite Western Union; ovviamente, vi tratterrete una debita percentuale sugli importi movimentati, quale commissione sulle operazioni compiute. Quando qualcosa appare troppo bello o troppo facile, però, è probabile che vi si nasconda dietro qualche brutta sorpresa. Con ogni probabilità, le somme che dovreste provvedere a trasferire, sono frutto di azioni di phishing o di truffe informatiche di altra natura; in pratica, il vostro ruolo nell’operazione sarebbe quello di far sì che il denaro movimentato raggiunga il conto dello scammer o del cybercriminale di turno evitando di passare per vie dirette. In tal modo, mentre le probabilità di poter rintracciare i malfattori divengono davvero esigue, emergeranno in maniera lampante dirette responsabilità da parte vostra nella transazione effettuata. In pratica, così facendo, siete a tutti gli effetti divenuti dei “corrieri” di denaro sporco, colpevoli di riciclaggio, complici nel favoreggiamento di attività criminali. In caso veniste scoperti, potrebbe tranquillamente esservi commissionata una multa esemplare, o addirittura potrebbe essere aperto un procedimento penale nei vostri confronti. Non ci stancheremo pertanto mai di ripetervi che, qualora riceviate eMail di questo genere, l’unica cosa da fare è semplicemente quella di provvedere subito a cancellarle, per quanto le offerte in esse contenute possano apparire allettanti e irrinunciabili.
Scareware
Immaginatevi: state tranquillamente esplorando il web, magari alla ricerca di qualche nuovo sfondo per il vostro desktop. All’improvviso, appare sul schermo un messaggio che vi avverte che il vostro computer è infettato da ben 527 diversi Trojan, virus e worm. Mah, può apparirvi proprio strano: eppure avete un buon programma antivirus installato sul vostro computer, e non avete ricevuto da esso alcuna notifica in merito alla presenza di infezioni o altre minacce informatiche. Chissà…forse il vostro software di sicurezza non funziona bene, o semplicemente si è lasciato sfuggire qualcosa!
Una volta superato lo shock iniziale, andate a controllare meglio il contenuto del messaggio che è comparso sul vostro computer. C’è scritto che, per risolvere il problema che si è (apparentemente) manifestato, si può procedere ad effettuare subito il download di un nuovo software antivirus. Tanto più che si tratta di un programma del tutto gratuito! Passato lo spauracchio, e decisamente sollevati, pensate bene di approfittare dell’imperdibile offerta; scaricate così il programma e lo installate. Lanciate manualmente una bella scansione antivirus ma… sorpresa! Il software appena installato vi avverte di aver rilevato un numero ancora maggiore di infezioni, ma questa volta, il messaggio che vi appare è di tutt’altro tenore. Il malware identificato potrà essere rimosso solo utilizzando la versione completa del prodotto, la quale, guarda a caso, deve essere acquistata. I prezzi oscillano dai 30 agli 80 Euro, come traspare da una rapida occhiata alle pagine del sito web del nuovo “miracoloso” software antivirus. Eh sì, il programma antivirus “ufficiale”, originariamente installato sul vostro computer, sembra proprio aver deluso le vostre aspettative, e così riponete tutte le vostre speranze sulla nuova “soluzione miracolosa”, appena scoperta. Procedete pertanto al relativo acquisto e ne iniziate l’utilizzo: pare che funzioni davvero! La disinfezione è stata eseguita con successo… sembra che tutte le minacce siano state eliminate… ma è proprio così?
Questo tipo di truffa informatica, molto diffusa su Internet:, fa leva sulla paura che il proprio computer possa essere stato seriamente infettato da chissà quali terribili virus. I metodi con cui i programmi scareware di tal genere cercano di minare le certezze degli utenti, insinuandosi subdolamente nei loro computer, sono di vario tipo. Quello più comune prevede che, mentre state tranquillamente navigando in Internet, vi appaia una finestra di pop-up, dalla quale si evince che è in corso la scansione del vostro hard disk. Tale scanning fasullo indicherà la presenza di un numero casuale di infezioni malware, come abbiamo visto sopra. Un metodo un po’ meno usuale è invece costituito dal drive-by-download; semplicemente, mentre state navigando all’interno di un sito web infetto, un determinato software, ovviamente indesiderato, viene scaricato a vostra insaputa sul vostro computer. Quando si tratta di un programma scareware, la sua caratteristica peculiare sarà quella di far apparire sullo schermo, con considerevole frequenza, dei messaggi con i quali si avverte che il computer dell’utente-vittima è infetto. Per ricordarvi la presenza di fantomatiche infezioni (infezioni che in realtà ovviamente non si sono verificate), lo scareware potrà addirittura spingersi al punto di modificare lo sfondo del vostro desktop. Ripristinare l’immagine originale, ovverosia il wallpaper precedente, sarà poi impresa tutt’altro che agevole: il software maligno avrà infatti “sapientemente” provveduto a rimuovere tale opzione dall’apposito menù. Vi sarebbero ovviamente altri metodi per far ciò, ma per metterli in pratica occorrerebbe possedere conoscenze tecniche piuttosto approfondite, cosa di cui non tutti gli utenti certo dispongono. Quindi, ciò che inizialmente si prospettava come la “soluzione miracolosa”, si traduce poi in realtà in un software che non arreca alcun tipo di beneficio all’utente.
Per i cybercriminali, invece, lo scareware costituisce un’ottima fonte di profitto; essi possono “guadagnare” somme consistenti, vendendo licenze fasulle relative a falsi software di sicurezza. Per di più, lo scareware spesso include del software altamente maligno, il quale può essere utilizzato dai malintenzionati per carpire illegalmente l’accesso al vostro computer, e poter effettuare in tal modo il furto dei vostri dati personali (i quali possono essere poi rivenduti); addirittura, il vostro computer potrebbe essere agevolmente trasformato in una macchina zombie, da adibire all’invio di enormi quantità di spam. Sebbene la convenienza di quest’ultima soluzione potrebbe non trasparire immediatamente, le ragioni per cui essa viene applicata sono in ogni caso piuttosto plausibili: gli spammer sono in effetti disposti a pagare anche cifre considerevoli per “comprare” od “affittare” tali macchine, in quanto i computer zombie possono poi garantire un’ampia diffusione dei messaggi spam da essi elaborati. Si tratta semplicemente di uno dei numerosi metodi subdolamente applicati per far soldi nel mondo del cybercrimine.
La denominazione “scareware” trova ampia giustificazione; i criminali informatici producono sforzi davvero considerevoli per far sì che, in primo luogo, i messaggi che appaiono sullo schermo dell’utente risultino davvero convincenti. In secundis, i programmi scareware propinati agli utenti debbono anch’essi avere la parvenza di autenticità; spesso, poi, tali programmi hanno addirittura nomi simili a quelli delle applicazioni antivirus legittime. Tutto ciò è volto a conferire in prima istanza alla truffa informatica un’aria di rispettabilità, che può facilmente trarre in inganno anche gli utenti di Internet più esperti. Quindi, cosa fare in tali circostanze? Assicuratevi innanzitutto che nel vostro computer sia installata una valida soluzione antivirus, che goda di buona reputazione. Quando poi, eventualmente, iniziate a veder apparire sullo schermo del vostro computer dei messaggi come quello evidenziato nella figura 2, non fatevi prendere dallo spavento e, soprattutto, non acquistate in alcun modo il software fasullo che vi viene offerto. Usate invece il programma antivirus autentico presente nel vostro computer, per eseguire una scansione completa di verifica del sistema.
Occhi ben aperti al momento dell’acquisto!
I pericoli occulti delle registrazioni e degli abbonamenti on-line
Al giorno d’oggi il freeware, ovverosia il software gratuito, è stato sviluppato per quasi tutti gli utilizzi che si possano immaginare. C’è di tutto, per tutti i gusti: giochi, media player, client di messaggistica istantanea, ed infiniti siti dai quali è possibile effettuare vari tipi di download. Supponiamo che stiate cercando di reperire dei nuovi software da utilizzare in ufficio, magari per l’elaborazione di testi o fogli di calcolo. Avviate così la vostra ricerca, ed il motore di ricerca vi restituirà immediatamente un’ampia gamma di opzioni disponibili. La prima che compare nella lista dei risultati ottenuti tramite motore di ricerca sembra prometter davvero bene; avete trovato il sito web che fa per voi, ed i file di cui avete bisogno. Il sito, poi, ha un aspetto pienamente professionale, di autenticità, cosicché procedete a cliccare su uno degli appositi link in esso contenuti, senza pensarci due volte. Tuttavia, prima di giungere a scaricare ciò che vi occorre, il sito vi richiede di effettuare una registrazione, immettendo nome, indirizzo ed indirizzo di posta elettronica valido. Per quanto possiate pensare che si tratti di una procedura un po’ inconsueta, avete in ogni caso già sentito parlare dei famosi portali per il download, ai quali occorre registrarsi per poter beneficiare di una velocità di scaricamento dei file più che soddisfacente. E così, magari leggermente irritati, ma già ben esperti per le numerose operazioni di registrazione già effettuate in passato per accedere a negozi on-line, social network e forum, inserite i dati richiestivi su ognuno dei campi presenti. Spuntate poi rapidamente l’apposita casella, fornendo in tal modo il vostro assenso riguardo alle condizioni ed ai termini previsti per l’utilizzo del programma; non vi preoccupate minimamente di andare a leggere tutto quanto con attenzione: in fondo, poi, son sempre le solite cose… Un istante dopo, state già scaricando il programma di cui avete bisogno.
Passa un po’ di tempo… ed ecco la sgradita, scioccante sorpresa: vi è appena giunta un’eMail, in cui vi si chiede di trasferire un importo di ben 96 Euro! Accettando termini e condizioni d’uso, avete inconsapevolmente sottoscritto un abbonamento per 2 anni di supporto tecnico. E, qualora non provvediate a pagare la somma richiesta, verrà fatto ricorso ad azioni legali contro di voi.
E’ stato stimato che il pagamento subdolamente richiesto venga poi effettuato da un 10 – 20% di coloro che rimangono vittime del raggiro . Questo genere di truffa viene messo in pratica in special modo in Germania.
Tuttavia, non bisogna in alcun modo mai farsi intimidire da minacce del genere. Questo tipo di truffa viene praticato per cercare di spillare denaro alle persone facendo leva sul loro naturale e più che comprensibile timore nei confronti della legge. D’altra parte, l’utente è poi ben consapevole di non aver precedentemente letto i termini e le condizioni di utilizzo del programma freeware scaricato (forse ritenendo che la loro comprensione risultasse, come al solito, impresa piuttosto ardua, o magari non avendo proprio mai sentito parlare di possibili ripercussioni negative nel far ciò). Qualora riceviate un’eMail del genere, quindi, fate subito delle ricerche ben mirate, cercando di reperire utili informazioni su casi analoghi che si sono già verificati su Internet; consultate magari anche il vostro avvocato.
Con ogni probabilità, la minaccia arrecatavi non ha alcuna forza legale, od è destinata a rimanere tale, ovverosia una semplice minaccia; sappiate che i cybercriminali saranno in ogni caso più che lieti di “accontentarsi” di quel 10 – 20% di ignari utenti che rimangono regolarmente vittime del raggiro e, spaventati, provvedono ad effettuare il pagamento dell’importo illegalmente loro richiesto.
Le truffe sui siti di social network
Sono in particolar modo i giovani ad essere attratti dal pianeta dei social network, quali appunto Facebook o MySpace. Questi siti permettono, in effetti, di tenersi in contatto con gli amici e di scambiare con loro una gran quantità di informazioni, così come di ampliare ulteriormente ed agevolmente la sfera delle proprie amicizie. Vi sono però anche siti di social network dedicati agli utenti in età più matura, i quali possono essere utilizzati per creare e mantenere ottimi contatti nel mondo degli affari, o semplicemente per ricercare i compagni di scuola di un tempo.
I pericoli, tuttavia, non mancano neppure nell’ambito delle reti sociali, ed indipendentemente dal sito di cui si possa fare uso. Supponiamo che un caro amico richieda il vostro aiuto: probabilmente gli direte di sì, immediatamente. Trasferiamo ora tale situazione nella sfera dei social network: vi trovate dunque a navigare in uno dei numerosi siti presenti in Rete, dedicati appunto ai legami sociali, quando ricevete un messaggio da parte di uno dei vostri più cari amici, il quale vi dice che è rimasto bloccato all’aeroporto londinese di Heathrow, dopo essere stato rapinato e minacciato con un’arma. Non gli è rimasto neppure più un soldo, né la carta di credito, né il biglietto aereo; vi chiede pertanto di inviargli una somma pari a 400 dollari, tramite Western Union, cosicché potrà perlomeno far ritorno a casa, dopo la spiacevolissima disavventura di cui è rimasto vittima.
E’ perfettamente comprensibile che, a questo punto, possiate avere qualche esitazione; perché poi mai i soldi che egli vi ha richiesto debbono essere trasferiti proprio tramite Western Union? Ma il vostro amico insiste: è davvero questa l’unica possibilità che egli ha per poter accedere a tale denaro. Gli chiedete se potete contattarlo al telefono, ma egli vi rivela che i malviventi lo hanno depredato anche del cellulare. Aleggiano ora sempre maggiori sospetti nella vostra mente; il vostro amico pare proprio comportarsi in maniera davvero strana; adopera addirittura parole ed espressioni che non gli avete mai sentito pronunciare prima d’ora. Ma forse è proprio perché in questo momento si trova in una situazione di grande stress e tensione. Siete comunque in ogni caso preoccupati per le difficoltà in cui versa il vostro amico, e, per di più, non vorrete certo avere poi cattiva coscienza, qualora rifiutaste il vostro aiuto. Vi decidete pertanto ad effettuare il trasferimento della somma richiestavi, ed una volta fatto ciò, nessun segnale vi giunge più da parte del “vostro amico”…
Ma cos’è avvenuto in realtà? Questo è un genere di truffa attualmente molto praticato e diffuso; esso risulta, tra l’altro, di grande efficacia, proprio in ragione del fatto che è ancora relativamente sconosciuto. La spiegazione per quanto accaduto nell’esempio sopra narrato è alquanto semplice: in effetti, i cybercriminali, dopo aver ottenuto l’accesso ad un account, cercano in seguito di spillare soldi a tutti i contatti instaurati dal titolare di tale account nell’ambito del sito di social network da egli frequentato. Se siete esperti di reti sociali e le utilizzate con una certa frequenza, sapete bene che in esse si possono avere liste di addirittura centinaia di amici. E’ inoltre impossibile pretendere sempre di sapere dove si trova una certa persona, in un determinato momento; ciò, ovviamente, può venire abilmente sfruttato dai malfattori, per rendere credibili storie da loro inventate di sana pianta.
Esaminando ulteriormente il caso di truffa appena illustrato, vediamo tuttavia come in esso traspaiano ben evidenti, fin dall’inizio, dei segnali inequivocabili di tentativo di frode. In effetti, un europeo bloccato in quel di Londra, difficilmente andrà a chiedere dollari USA ad un altro cittadino europeo. Lo stesso vale per il linguaggio e le espressioni utilizzate dal vostro fantomatico “amico”. Se ricevete un messaggio del genere, procedete subito a contattare il vostro “vero” amico in forma diretta. E se egli vi dicesse, nel suo messaggio, che gli è stato rubato il cellulare, provate a chiamarlo al telefono, in ogni caso: sarete poi piacevolmente sorpresi quando il vostro amico (quello “vero”) vi risponderà. Provate, magari, anche a chattare con lui; vi renderete così conto, definitivamente, che il messaggio da voi ricevuto è ben lungi dall’essere autentico.
Per proteggere il proprio account (o i propri account) di accesso al/ai social network contro abusi di tal genere, è semplicemente sufficiente seguire alcune regole elementari. Una di esse è direttamente relazionata al metodo comunemente utilizzato per resettare la propria password. Quando si effettua la registrazione ad un social network, ci viene spesso proposta l’opzione di rispondere ad una “domanda segreta”. Qualora si dimentichi la propria password, risulterà in tal modo possibile generarne poi una nuova, semplicemente inserendo la corretta risposta alla suddetta domanda. In genere, ci viene proposta una scelta fra tre sole “domande segrete”, domande peraltro di carattere estremamente generico: ad esempio il nome del nostro animale domestico, oppure il nome della prima scuola che abbiamo frequentato. E’ evidente che se abbiamo incluso una di queste informazioni nel nostro profilo o nelle nostre pagine, potrebbe risultare un gioco da ragazzi, per i malintenzionati, ottenere l’accesso al nostro account.
Per aumentare il livello di sicurezza del vostro account, ricordatevi quindi che potete modificare in qualsiasi momento la suddetta domanda “segreta” e la relativa risposta ad essa. Ovviamente, abbiate altresì l’accortezza di non divulgare nei confronti di nessuno, in alcun modo, il vostro login e la vostra password. Assicuratevi sempre, inoltre, di non essere magari rimasti vittima di qualche attacco di phishing (sopra descritto); utilizzate infine, naturalmente, un software antivirus di qualità e costantemente aggiornato: ciò preserverà il vostro computer dalla presenza di Trojan preposti al furto della vostra password, la quale viene poi trasmessa ai cybercriminali di turno.
Twitter: i pericoli delle URL brevi
Dal 2006, anno della sua creazione, Twitter è enormemente cresciuto. Vi sono attualmente più di 25 milioni di utenti, nel mondo, desiderosi di conoscere la risposta al famoso slogan del sito: “What are you doing?”. Twitter è un servizio di social network, con una curiosa peculiarità: il suo specifico formato, ovverosia il micro-blogging. In pratica, ogni utente può aggiornare la propria pagina personale tramite messaggi di testo che abbiano una lunghezza massima di 140 caratteri. Ciò rende ovviamente complesso poter inserire in essi delle URL, in quanto ognuna di esse assorbirebbe già un buon 50% dei caratteri disponibili. Qui, tuttavia, vengono in soccorso alcuni servizi specifici presenti in Internet, a dir la verità non ancora particolarmente noti: essi, difatti, convertono indirizzi lunghi ed intricati in una forma sensibilmente più abbreviata. Tali servizi on-line, che rendono facile e veloce accorciare le URL, generano tuttavia degli inconvenienti: risulta in effetti difficile stabilire dove possa effettivamente poi condurre una URL breve, in forma criptica, e ciò a tutto svantaggio della trasparenza.
I cybercriminali hanno ovviamente colto questa opportunità, cosicché utilizzano i suddetti servizi per convertire in forma breve indirizzi che poi conducono a siti web infetti. Tali messaggi, che possono essere diffusi automaticamente, vi promettono magari di svelarvi ogni possibile verità riguardo ad eventi che hanno fatto sensazione?, quali la morte di un personaggio celebre (es. Michael Jackson). E se c’è penuria di notizie sensazionali, non abbiate timore: i criminali informatici andranno di certo ad inventarsi qualcosa. Si prenda quale esempio il caso della supposta morte di Britney Spears, argomento che ha trovato ampi spazi proprio all’interno di Twitter, nonostante la cantante americana in questione fosse ben viva e vegeta.
Messaggi di tal genere, contenenti link a siti infetti, costituiscono semplicemente un’evoluzione delle truffe praticate via eMail: si cerca sempre, in ogni caso, di approfittare subdolamente del senso di curiosità delle persone. Questo tipo di attività svolta dai criminali informatici ci dimostra quindi che bisogna ragionevolmente diffidare delle URL brevi. Un efficace metodo di protezione è rappresentato da certi strumenti add-on: vi è, ad esempio, un plug-in largamente diffuso su Firefox, il quale permette di riconvertire una URL breve nel suo formato originale, semplicemente posizionando il cursore del mouse sopra tale link. E ciò è sicuramente di buon ausilio per poter stabilire se un determinato link conduca o meno ad un sito affidabile, che goda di buona reputazione nel web.
Film, giochi, musica…e malware
Se state muovendo i primi passi nel mondo di Internet, probabilmente ciò che vi attrarrà maggiormente sarà rappresentato dalla grande disponibilità in Rete di film, musica, programmi TV e giochi per computer. Lasciamo adesso da parte gli aspetti legali della questione, connessi al download di tali contenuti, peraltro ampiamente trattati in altre occasioni; vi sono in effetti altri importanti elementi da prendere nella più debita considerazione. Se siete alla ricerca dei suddetti contenuti, penserete che la via più breve per accedervi è sicuramente quella costituita dai cosiddetti network “peer-to-peer”. Vi scaricate così l’apposito programma che vi permetterà di accedere al network prescelto, grazie al quale potrete reperire ciò che maggiormente desiderate in termini di contenuti multimediali. Ed anche se avete sentito dire, o letto da qualche parte, che
scaricare tali file può comportare il contemporaneo download di programmi malware, colti dall’entusiasmo semplicemente ignorate tali preziosi avvertimenti. Sia come sia, poi, lo fate sempre a vostro rischio e pericolo.
I giochi disponibili per il download in rete contengono spesso dei tool utilizzati per “craccare” ed aggirare le eventuali protezioni di cui è dotata la copia originale del file. Si tratta di strumenti predisposti dagli hacker, magari proprio perché essi ritengono che tutti i contenuti debbano essere gratuiti, oppure perché si desidera in qualche modo impressionare la scena nella quale si muovono i pirati informatici. I file scaricati possono essere associati a programmi malware, che andranno così ad infettare il vostro computer. Naturalmente, i cybercriminali sanno bene che la disponibilità di contenuti gratuiti attira sempre un vasto pubblico; il numero delle potenziali vittime può essere in tal modo sensibilmente accresciuto, ovverosia mascherando i programmi malware in guisa di file particolarmente popolari presso gli utenti della Rete, oppure semplicemente allegando dei contenuti maligni a file di ampia diffusione. Un Trojan utilizzato dai criminali informatici per espletare il furto dei dati di accesso riservati a conti bancari on-line, per meglio dire un “trojan banking”, può essere ad esempio facilmente scaricato assieme ad un gioco per computer: sì, è vero che gli utenti più giovani magari utilizzano raramente il banking on-line, ma il computer da loro impiegato per effettuare il download dei file potrebbe sempre essere quello appartenente ai genitori, i quali di sicuro provvedono a controllare il loro conto on-line con una certa regolarità. Un simile approccio consente così di acchiappare due (o più…) piccioni con una fava.
La probabilità di scaricare del malware tramite un network “peer-to-peer” è quindi piuttosto elevata. Certo, con il download illegale di un film o di un gioco si risparmia il prezzo di acquisto del prodotto; ma scaricare un Trojan deputato al furto delle informazioni relative al vostro conto bancario può magari costarvi centinaia di Euro, e ciò annulla ampiamente la speculazione praticata inizialmente. Non vi è alcun dubbio: l’onestà è la miglior linea di condotta da seguire.
Conclusioni
I cybercriminali sono molto creativi, senza alcuna ombra di dubbio; essi cercano pertanto di perfezionare costantemente le truffe, le frodi ed i raggiri messi da loro in atto, e ciò di pari passo con l’evoluzione delle nuove tecnologie e delle nuove applicazioni dedicate al mondo di Internet. E’ questo il caso, in special modo, delle truffe di vecchio stampo, che vengono riciclate ed adattate in base alle esigenze ed ai cambiamenti registratisi in questi ultimi tempi; l’esempio più lampante di tutto ciò è costituito dal classico messaggio di spam contenente un link ad un sito maligno. Ormai, quasi tutti gli utenti della Rete sanno che non si dovrebbe mai cliccare sul link presente in un’eMail ricevuta da un mittente sconosciuto. Tuttavia, quando tale subdolo metodo è stato trasferito nell’ambito dei sistemi di messaggistica dei social network, il numero delle persone che effettivamente giungono a cliccare sui link maligni è subito cresciuto in maniera esponenziale.
Qualche anno fa, dal tipo di design presente in un sito web si poteva facilmente dedurre se il sito in questione fosse autentico oppure no: errori di ortografia, layout misero, etc., costituivano dei segnali inequivocabili di “falso”. Ma i criminali informatici utilizzano adesso tecniche molto più sofisticate. Qualora sentiate nell’aria odore di truffa, fate subito uso di un buon motore di ricerca, per cercare di reperire ulteriori informazioni in merito; e se si tratta realmente di un tentativo di frode, troverete probabilmente in Rete numerose testimonianze di utenti che sono già rimasti vittima del raggiro. Individuate le informazioni di contatto eventualmente presenti nei siti che ritenete sospetti ed eseguite dei controlli incrociati su altre risorse della rete.
Usate, infine, il vostro buonsenso. Come affermato prima, dubitate giustamente di tutto ciò che a prima vista possa apparirvi troppo bello e vantaggioso… per essere vero! Quando, durante la navigazione in Rete, avvertite un campanello d’allarme, affidatevi al vostro istinto più puro, al vostro innato sesto senso. Una sana dose di scetticismo da parte vostra sarà sempre, difatti, un’ottima soluzione per garantirvi una certa protezione di base contro i tentativi di truffa e frode: naturalmente, a tutto il resto provvederà una valida soluzione antivirus installata nel vostro computer, da tenere in ogni caso costantemente aggiornata.
Il 6 ottobre 2009, a Roma, ore 9.00 – 13.30 appuntamento per il workshop
“Liquidi, veloci, mobili: contenuti digitali e risorse della conoscenza“ .
Promosso dalla Fondazione Luca Barbareschi e organizzato da Key4biz, con il sostegno di Eutelsat.
Parteciperanno i rappresentanti di istituzioni, imprese, enti di ricerca, esperti.