Tempo di lettura: 3 minuti.

Il phishing, come noto, prevede la trasmissione di comunicazioni esca molto verosimili e convincenti che solitamente contengono link verso pagine web per l'inserimento di password e codici personali.

Può capitare di ricevere non solo e-mail ma anche sms e telefonate ingannevoli attraverso cui i malintenzionati cercano di indurre l'interlocutore a condividere dati, credenziali e informazioni sensibili.

In questo articolo si tratterà di un sito trappola intercettato e impiegato proprio a questo scopo che per rubare codici dispositivi sfrutta la finta consegna di una delle carte di debito offerte legittimamente dalla Banca Intesa Sanpaolo ai suoi clienti.

Analisi del sito trappola

La carta di debito XME Card Plus abilitata ai circuiti di pagamento più diffusi è un prodotto di punta che la banca Intesa Sanpaolo sta anche pubblicizzando nella sua pagina ufficiale offrendo una promozione.

Ecco che i criminali informatici colgono l'occasione per allestire un sito truffa con loghi e grafica dell'Istituto bancario da impiegare in una campagna di phishing volta a carpire informazioni e dati finanziari. Nella fattispecie con una falsa richiesta di conferma del proprio indirizzo per la spedizione della XME Card Plus vengono richiesti anche una serie di altri dati riservati.

Nel momento della stesura di questo articolo su Virustotal solo 16 motori di sicurezza segnalano il sito in oggetto, il cui URL richiama il nome della banca, come malevolo.

Il tutto è orchestrato con l'unico vero scopo di convincere il cliente a fornire Codice Titolare, PIN, CODICE O-Key/sms, Nominativo, indirizzo di spedizione e numero di cellulare, compilando un susseguirsi di form che inviano i dati inseriti ad un db presente sullo stesso dominio presidiato dai truffatori.

Leggendo il codice HTML delle varie pagine di richiesta si vede come queste abbiano tutte la stessa struttura in cui i dati dei form vengono inviati tramite POST a pagine PHP. È prevista anche una semplice funzione “controlla()” che verifica che non vengano lasciati campi vuoti durante la digitazione dei dati richiesti.

La seguenza delle pagine

Ecco la sequenza delle pagine che dopo avere raccolto tutte le informazioni necessarie consentono ai criminali informatici di operare indisturbati per conto della vittima e continuare la truffa anche telefonicamente: “Hai aggiornato correttamente l'indirizzo di spedizione della tua XME Card… Attendere chiamata…“

Tutte le pagine presentano pulsanti e link che portano sempre alla pagina corrente visualizzata.

Cosa fare in caso di truffa

Se si sono comunicati per errore i codici della banca online a seguito di un messaggio di phishing, Intesa San Paolo suggerisce di:
– cambiare subito il Codice PIN e contattare la filiale per verificare se sono stati effettuati tentativi di accesso fraudolenti e per bloccare l'utenza, in modo da evitare ulteriori azioni da parte del malintenzionato;
– bloccare i servizi in modo automatico: basta inserire per cinque volte consecutive un codice PIN o un codice O-Key errato. Si potrà in seguito revocare il blocco diretto dei codici rivolgendosi alla filiale di riferimento.

La prevenzione

Ultimamente gli indirizzi a questi siti vengono propinati maggiormente attraverso SMS o falsi operatori telefonici. Purtroppo lo smishing e il vishing possono essere ancora più efficaci rispetto al tradizionale phishing via email a causa della propensione a ritenere che in un breve messaggio o in un colloquio telefonico con operatore non possa celarsi una truffa.

Anche in questi casi occorre la massima tutela puntando sulla prevenzione:

• imparare a riconoscere e-mail ed SMS fraudolenti. Non inserire mai dati personali su pagine raggiunte tramite link o allegati. Solitamente nei messaggi di posta elettronica e SMS di questo tipo l'indirizzo e il numero telefonico del mittente possono risultare contraffatti tramite spoofing;
• non cliccare mai sui link sospetti, non scaricare file allegati;
• non comunicare mai nessun tipo di codici dispositivi e estremi finanziari telefonicamente.