Truffe online
Avviso di scadenza Norton. Attenti alla truffa del falso abbonamento!
Tempo di lettura: 4 minuti. Una notifica allerta sul rischio di restare senza protezione da malware qualora non si proceda all’aggiornamento del prodotto
Sono ripresi i tentativi di phishing che sembrano essere un avviso di scadenza dell’abbonamento a Norton Internet Security e che in realtà hanno invece l’obiettivo di rubare soldi ai malcapitati.
Il messaggio “IL TUO ABBONAMENTO SCADRA’ ” sembra provenire da Norton, uno dei fornitori leader di antivirus, e notifica all’utente il rischio di non ricevere più aggiornamenti automatici per la protezione dalle minacce malware e dei furti d’identità se non si procede al rinnovo dell’abbonamento del pacchetto aggiornato.
L’utente viene quindi invitato ad accedere ad una falsa pagina del vendor per procedere all’acquisto del prodotto. Cliccando sul tasto “RINNOVA ORA” infatti si viene indirizzati verso una falsa pagina “https://safeprotection[.]site/c/9306721” (il portale ufficiale di Norton per l’Italia è https://it.norton.com/).
La pagina di landing (visualizzabile sia in versione desktop che su dispositivi mobili) altro non è che una riproduzione molto verosimile del portale legittimo.
Il pacchetto di punta dell’azienda “Norton 360 Deluxe” viene sponsorizzato con uno sconto promozionale (offerta a scadenza) del 50% (per un totale di €54,00) previa nuova iscrizione con l’inserimento di diversi dati personali obbligatori (Nominativo, indirizzo, telefono, email).
Analisi della pagina di Landing
Il sito falso in oggetto (“https://safeprotection[.]site”) possiede un certificato SSL rilasciato dall’autorità di certificazione non-profit Let’s Encrypt e risiede in un dominio registrato dall’hosting provider Go Daddy per conto di un soggetto non identificato.
(Il certificato SSL del sito ufficiale “https://it.norton.com” è rilasciato dall’autorità di certificazione DigiCert mentre il relativo dominio risulta registrato per conto della NortonLifeLock dal provider MarkMonitor)
Inserendo i propri dati sul form in calce alla pagina per effettuare la nuova iscrizione, una volta cliccato il tasto continua, questi verranno in realtà inviati tramite il metodo “POST” su un server in ascolto sullo stesso dominio e utilizzati dagli attaccanti per scopi facilmente immaginabili.
Da ulteriori analisi degli script iniettai all’interno del codice html della pagina si è potuto inoltre constatare che vengono fatti dei controlli di integrità sui dati inseriti nel modulo di iscrizione ed è prevista anche una configurazione per la visualizzazione della stessa pagina sui principali browser.
Un altro dettaglio osservato è che tutti i menu presenti nell’homepage non sono cliccabili. L’unico tasto che risulta attivo è quello in giallo “ISCRIVITI ORA” che rimanda tramite un attributo “href=#scroll” sempre al modulo d’iscrizione in calce alla pagina.
La pagina di cash out
Una volta confermato il form di iscrizione, l’utente viene reindirizzato verso una pagina (terza) di cash out per il versamento della presunta quota promozionale dovuta per il rinnovo. Leggendo attentamente le clausole a corredo si attiverebbe in realtà un non meglio specificato abbonamento (non si sa a cosa!).
In tutti i casi la compilazione e la conferma del modulo “Pagamento sicuro“, successivamente ad un controllo di integrità dei valori della carta di credito inseriti, portano verso una pagina di errore che invita a riprovare l’operazione (in realtà con i dati appena inseriti, i truffatori possono procedere per conto del titolare a qualsiasi tipo di acquisto, limitato solo dal plafond disponibile della carta di credito).
Essendo oramai già stati memorizzati tutti i dati e recapiti dell’utente, non si può escludere che la truffa possa ulteriormente proseguire anche per via telefonica, SMS, messaggistica istantanea o posta tradizionale.
Hai subito una truffa online? Vuoi segnalarci un reato o un sito Internet illegale nel clear o nel dark web? Scrivi alla nostra redazione.
Truffe online
CERT-AgID scopre campagna di Phishing mirata alle PA tramite Email di Outlook
Tempo di lettura: 2 minuti. Il CERT-AgID avverte di una campagna di phishing che prende di mira le PA italiane, cercando di rubare credenziali di Outlook tramite email ingannevoli.
Il CERT-AgID (Centro di Certificazione dell’Agenzia per l’Italia Digitale) ha rivelato dettagli su una campagna di phishing attualmente in corso, mirata specificamente alle Pubbliche Amministrazioni italiane. L’obiettivo degli aggressori è di sottrarre credenziali di accesso agli account di posta elettronica MS Outlook, camuffando le loro email fraudolente da comunicazioni ufficiali di reparti HR o contabilità.
Metodologia dell’attacco
Le email di phishing inviate fingono di informare i destinatari su presunti aggiustamenti salariali o accessi a buste paga elettroniche. Questo approccio è calcolato per attrarre l’attenzione dei destinatari e convincerli ad agire, aprendo gli allegati o seguendo link dannosi.
Oggetto dell’email: “Avviso di adeguamento delle buste paga di marzo” Allegato: presenta una doppia estensione .pdf.html, indicando un tentativo di mascherare un file HTML come un innocuo PDF.
Indicatori di Phishing
Per riconoscere questi tentativi fraudolenti, il CERT-AgID mette in evidenza alcuni campanelli d’allarme:
- Sollecitazioni all’azione urgente.
- Allegati sospetti con doppie estensioni.
- Richieste di inserimento credenziali.
- Uso di un linguaggio generico e presenza di errori grammaticali.
Meccanismo dell’Allegato
Una volta aperto l’allegato, l’utente viene indirizzato a una pagina di phishing che simula l’aspetto di una legittima richiesta di login, tentando di catturare le credenziali inserite.
Tecniche di Abuso
Gli aggressori hanno abusato dei servizi di Form builder online, come il sito gratuito formester.com, per creare e gestire le pagine di phishing, rendendo più semplice la raccolta delle informazioni inserite dalle vittime.
Indicatori di Compromissione (IoC)
Per assistere le Pubbliche Amministrazioni nella difesa contro queste minacce, il CERT-AgID ha condiviso gli Indicatori di Compromissione rilevati, facilitando l’identificazione e il blocco di ulteriori tentativi di phishing.
Raccomandazioni
Il CERT-AgID sottolinea l’importanza della vigilanza e dell’adozione di buone pratiche di sicurezza, come il controllo accurato di email e allegati, la verifica dell’attendibilità delle richieste di login e l’uso di soluzioni anti-phishing, per proteggere le infrastrutture delle Pubbliche Amministrazioni da questi attacchi.
Notizie
Quattro persone denunciate per Truffa Online di una macchina agricola
Tempo di lettura: < 1 minuto. La Polizia Postale di Isernia denuncia quattro individui per truffa online e falsità documentale, sottolineando i rischi degli acquisti su Internet.
In seguito alla denuncia presentata da un cittadino della provincia di Isernia, vittima di una truffa online legata all’acquisto di una macchina agricola, la Polizia Postale ha condotto un’indagine che ha portato alla denuncia di quattro individui. Due di essi sono accusati di truffa, ricettazione e riciclaggio, mentre gli altri due di falsità in registri e notificazioni.
Il caso
La truffa è stata messa in atto tramite un falso annuncio su una piattaforma di acquisti online, pubblicato sul profilo social di un individuo che si spacciava per un militare, dichiarando di vendere la macchina agricola a nome del suocero. La vittima è stata indotta a credere nella legittimità dell’offerta anche a causa di un link, inviato tramite WhatsApp da un presunto corriere, che garantiva l’avvio della spedizione e la sua imminente consegna.
Dopo aver effettuato il bonifico richiesto, il denunciante non ha ricevuto la merce e si è reso conto di essere stato truffato.
Indagine e risultati
Nonostante le difficoltà investigative, aggravate dall’uso da parte dei criminali di un conto corrente attivato online con un documento d’identità rubato e numeri di telefono registrati a nome di persone inesistenti, gli investigatori della Sezione operativa sicurezza cibernetica di Isernia sono riusciti a risalire all’identità di due dei truffatori, scoprendo che questi erano già noti per fatti analoghi.
L’operazione ha inoltre portato alla denuncia di due responsabili di un punto vendita che avevano attivato le schede telefoniche utilizzate dai truffatori a nome di soggetti inesistenti.
Questo episodio sottolinea l’importanza della vigilanza quando si effettuano acquisti online e l’efficacia delle forze dell’ordine nel perseguire i responsabili di truffe su Internet, nonostante le sfide poste dall’anonimato e dalla complessità delle tecnologie digitali.
Segnala una truffa a Matrice Digitale
Notizie
Campagna spam SubdoMailing sfrutta sottodomini di grandi marchi
Tempo di lettura: 2 minuti. La campagna “SubdoMailing” sfrutta sottodomini di grandi marchi per inviare milioni di email di spam al giorno
Una campagna di frode pubblicitaria di vasta portata, denominata “SubdoMailing”, sta utilizzando oltre 8.000 domini internet legittimi e 13.000 sottodomini per inviare fino a cinque milioni di email al giorno, generando entrate tramite truffe e malvertising. Questa operazione sfrutta sottodomini e domini abbandonati di aziende note per inviare email malevole come scoperto dai ricercatori Guardio Labs.
Poiché questi domini appartengono a società affidabili, riescono a bypassare i filtri antispam e, in alcuni casi, a sfruttare le politiche email SPF e DKIM configurate che indicano agli gateway email sicuri che le email sono legittime e non spam.
Tra i noti brand vittime di questo hi-jacking di domini si trovano MSN, VMware, McAfee, The Economist, Cornell University, CBS, NYC.gov, PWC, Pearson, Better Business Bureau, Unicef, ACLU, Symantec, Java.net, Marvel e eBay. Cliccando sui pulsanti incorporati nelle email, gli utenti vengono indirizzati attraverso una serie di reindirizzamenti, generando entrate per gli attori della minaccia tramite visualizzazioni pubblicitarie fraudolente, per poi arrivare a falsi giveaway, scansioni di sicurezza, sondaggi o truffe di affiliazione.
La campagna SubdoMailing mira a domini e sottodomini di organizzazioni rispettabili, tentando di dirottare principalmente tramite hi-jacking CNAME e sfruttamento dei record SPF. Negli attacchi CNAME, gli attori della minaccia cercano sottodomini di marchi rispettabili con record CNAME che puntano a domini esterni non più registrati, per poi registrarli a loro nome tramite il servizio NameCheap.
Il metodo SPF prevede l’esame dei record SPF dei domini target che utilizzano l’opzione di configurazione “include:” puntando a domini esterni non più registrati. L’opzione include di SPF viene utilizzata per importare i mittenti email consentiti dal dominio esterno, ora sotto il controllo dell’attore della minaccia.
Questa operazione sfrutta generalmente i domini dirottati per inviare email spam e di phishing, ospitare pagine di phishing o contenuti pubblicitari ingannevoli.
Guardio Labs attribuisce la campagna a un attore della minaccia chiamato “ResurrecAds”, che scandaglia sistematicamente il web alla ricerca di domini che possono essere dirottati, assicurando nuovi host e indirizzi IP e effettuando acquisti di domini mirati.
- Economia1 settimana fa
Calo vendite smartphone: luce in fondo al tunnel
- L'Altra Bolla1 settimana fa
Telegram raccoglie $330 Milioni mentre X affronta problemi di Shadowbanning
- L'Altra Bolla1 settimana fa
Meta riduce costo abbonamento
- Inchieste6 giorni fa
Elezioni: Google finanzia il Ministero della Verità, Meta alle prese con i Watermark AI
- Notizie5 giorni fa
Sicurezza full-optional: garanzia di un Cloud di qualità
- Economia1 settimana fa
Svolta IA in Microsoft e Google Deep Mind: entrano Mustafa Suleyman e Liz Reid
- Economia3 giorni fa
Apple, Meta e Google nel mirino dell’UE per non conformità al DMA
- Economia3 giorni fa
Chi è Jay Graber? CEO del social decentralizzato BlueSky