Giappone colpito da 13 milioni di email con false truffe di assistenza tecnica

🛡️ Executive Summary

• La campagna ha inviato oltre 13 milioni di email a destinatari giapponesi usando falsi avvisi tecnici e comunicazioni legate all’ambiente lavorativo.
• I messaggi indirizzano verso pagine fraudolente che simulano problemi informatici e spingono le vittime a contattare falsi operatori di supporto.
• Aziende e utenti devono bloccare domini appena creati, verificare i mittenti e impedire l’installazione di software remoto richiesto telefonicamente.

Trend Micro ha ricostruito una campagna di truffe di assistenza tecnica che ha distribuito oltre 13 milioni di email verso indirizzi giapponesi. L’operazione utilizza comunicazioni in lingua locale e richiami all’attività lavorativa per condurre le vittime verso pagine che simulano problemi di sicurezza, fatturazione o funzionamento del computer. Da quel momento l’attacco abbandona il normale phishing automatizzato e passa alla manipolazione telefonica, durante la quale falsi tecnici tentano di ottenere pagamenti, dati personali o accesso remoto al dispositivo. La comparsa di esche aziendali suggerisce inoltre un possibile ampliamento dai consumatori agli ambienti professionali.

Oltre 13 milioni di email trasformano la frode in un’attività industriale

Il dato quantitativo distingue questa operazione dalle campagne occasionali: più di 13 milioni di messaggi sono stati recapitati a indirizzi giapponesi durante un’attività prolungata e organizzata. Gli aggressori compensano il basso tasso di successo di ogni singola email attraverso un volume estremamente elevato, cercando di raggiungere utenti con differenti livelli di esperienza digitale. Le comunicazioni non si limitano ai tradizionali avvisi secondo cui il computer sarebbe infetto, ma includono temi compatibili con il contesto lavorativo, aumentando la probabilità che il destinatario apra il messaggio durante l’orario d’ufficio e interpreti la richiesta come una procedura interna.

Questa evoluzione rende la minaccia rilevante anche per le imprese: un dipendente convinto di interagire con il supporto tecnico può installare strumenti di controllo remoto, comunicare credenziali o consentire l’accesso a dati aziendali. Il Giappone era già stato colpito da una rete internazionale di falsi call center che aveva portato alla rimozione di 66.000 domini usati nelle truffe di assistenza tecnica, ma il nuovo volume dimostra che il modello criminale resta economicamente sostenibile e facilmente ricostruibile.

Il messaggio serve soltanto a trasferire la vittima al falso operatore

Nelle truffe di supporto tecnico, l’email non deve necessariamente rubare subito una password o installare un malware. Il suo compito principale consiste nel creare urgenza e portare la vittima verso una pagina o un numero telefonico controllato dai criminali. Il sito può mostrare avvisi a schermo intero, messaggi che imitano Windows o prodotti di sicurezza e istruzioni che impediscono apparentemente di chiudere il browser.

Il destinatario viene convinto che il dispositivo sia compromesso, che un abbonamento stia per essere rinnovato oppure che un pagamento debba essere annullato attraverso l’intervento di un tecnico. La telefonata introduce quindi una fase personalizzata: l’operatore adatta il racconto alle reazioni della vittima e la guida nell’installazione di software per l’accesso remoto, nella condivisione dello schermo o nell’esecuzione di operazioni bancarie. Il successo non dipende da un exploit sofisticato, ma dalla capacità di trasformare strumenti legittimi e procedure ordinarie in leve di controllo. Una dinamica simile caratterizza il phishing industrializzato, nel quale servizi come 1Campaign nascondono le pagine fraudolente ai sistemi di revisione e agli scanner pubblicitari.

I servizi cloud legittimi riducono la visibilità dell’infrastruttura fraudolenta

Le campagne di questo tipo utilizzano frequentemente infrastrutture cloud, hosting temporanei e domini che possono essere sostituiti in poche ore. Una pagina pubblicata su un servizio noto eredita parte della reputazione del provider, utilizza certificati HTTPS validi e può confondersi con il normale traffico aziendale. Gli operatori creano così una catena nella quale il messaggio, il redirect, la pagina di allarme e il call center appartengono a componenti separati. Quando un dominio viene bloccato, è sufficiente sostituire il collegamento o pubblicare nuovamente il contenuto su un’altra istanza.

Il ricorso a infrastrutture affidabili non rappresenta una novità: le campagne moderne sfruttano anche piattaforme collaborative, pagine condivise e servizi AI, come dimostrato da LLMShare con falsi download distribuiti attraverso domini riconosciuti di ChatGPT e Claude. Per i sistemi di sicurezza, il nome del provider non può quindi essere utilizzato come criterio sufficiente di fiducia. Occorre analizzare età della risorsa, percorso completo dell’URL, comportamento JavaScript, redirect e coerenza tra il servizio dichiarato e il contenuto effettivamente mostrato.

Le esche lavorative aprono la strada agli ambienti enterprise

La presenza di temi collegati al lavoro rappresenta il segnale più importante dell’analisi di Trend Micro. Le truffe di assistenza tecnica sono tradizionalmente associate a utenti privati, anziani o persone meno abituate a riconoscere avvisi fraudolenti. Un messaggio che richiama policy interne, aggiornamenti, valutazioni del personale o problemi con strumenti aziendali può però raggiungere una platea diversa e sfruttare il timore di interrompere il lavoro. In un ambiente professionale, il danno potenziale aumenta: un software di accesso remoto installato sulla workstation può fornire visibilità su email, portali cloud, applicazioni contabili e reti interne. Anche quando l’operatore mira inizialmente a un pagamento individuale, l’accesso ottenuto può essere rivenduto o riutilizzato per frodi più complesse. Le aziende devono quindi trattare le false richieste di supporto come tentativi di accesso iniziale, non come semplici truffe rivolte ai consumatori. Il personale deve sapere che l’help desk interno non chiede di chiamare numeri contenuti in email non sollecitate e non richiede l’installazione di software remoto attraverso pagine esterne.

La difesa richiede controlli tecnici e procedure interne verificabili

I gateway email devono identificare campagne ad alto volume, mittenti incoerenti, URL abbreviati e domini creati recentemente, mentre i browser aziendali dovrebbero bloccare pagine che simulano avvisi di sistema o richiedono insistentemente una chiamata. Gli strumenti di controllo applicativo possono impedire l’esecuzione di software remoto non approvato, limitando prodotti comunemente abusati dai falsi tecnici. Sul piano organizzativo, ogni richiesta di assistenza deve passare attraverso canali conosciuti e verificabili: portale interno, numero ufficiale o ticket già aperto. Un dipendente che riceve una telefonata sospetta non deve condividere codici MFA, password, dati bancari o controllo dello schermo. Se l’accesso remoto è già stato concesso, il dispositivo va immediatamente isolato, le sessioni devono essere revocate e le credenziali utilizzate durante la connessione devono essere cambiate. La campagna contro il Giappone mostra che il vecchio modello della falsa assistenza non è scomparso: è stato adattato all’email di massa, al cloud e agli ambienti aziendali, assumendo dimensioni compatibili con una vera filiera criminale.