Truffe online
Instagram, così ci rubano l’account
Tempo di lettura: 4 minuti. Un messaggio fraudolento, inviato tramite messaggistica, ci richiede una richiesta di aiuto apparentemente innocua
Secondo la descrizione fatta da Mobile World, una campagna fraudolenta sarebbe in corso su Instagram veicolata tramite un messaggio di richiesta di aiuto inviato da un contatto per una assistenza apparentemente innocua.
Noi di Matrice Digitale abbiamo voluto capire meglio di cosa si tratta e quali rimedi adottare per proteggersi.
Come funziona il raggiro
Nel testo del messaggio, lo scammer afferma di non essere in grado di accedere al proprio account da un secondo telefono. Chiede pertanto aiuto alla potenziale vittima, pregandola di condividere con uno screenshot il link ricevuto via SMS.
In realtà il collegamento ipertestuale in oggetto della discussione potrebbe consentire di effettuare il login al social network senza essere in possesso di alcuna credenziale, secondo un metodo di ripristino legittimo previsto dalla stessa piattaforma per confermare la titolarità dell’account.
Infatti il criminale in tal modo, già in possesso del numero di telefono della vittima (ad esempio precedentemente carpito con tecniche di ingegneria sociale) sfruttando il servizio di assistenza “richiedi un link di accesso a Instagram“ che non richiede password, potrebbe attivare la procedura per inviare via sms il link alla vittima stessa. Successivamente ricevendo (come richiesto) un feedbak con lo screenshot, potrebbe pertanto in autonomia procedere a reimpostare illecitamente l’accesso all’account del legittimo proprietario, rubandone di fatto la proprietà.
Ecco riassunto lo schema seguito dall’attaccante:
- fa una ricognizione dei numeri di cellulare target;
- richiede un falso supporto all’interlocutore prescelto;
- richiede a Instagram, per conto della vittima, un link di accesso senza password fornendo il numero cellulare del target (Instagram invia un link via SMS al malcapitato);
- richiede alla vittima uno screenshot del messaggio SMS contenente il link;
- sfrutta l’accesso tramite link senza password di Instagram per prendere possesso dell’account della vittima.
Purtroppo, è oramai assodato come le truffe sui social network non siano più una novità, pertanto è sempre bene prepararsi al meglio per evitare di cadere vittima delle frodi.
Cosa potrebbe accadere
Abbiamo chiesto un commento al consulente informatico forense Paolo Dal Checco.
“Nella mia attività d’informatico forense ricevo quasi quotidianamente richieste di aiuto da clienti cui sono stati sottratti i profili Instagram, Facebook ma anche di altri social network, spesso a causa di protezione insufficiente sui loro account. Ciò che succede dopo il furto del profilo può variare dal ricatto all’utilizzo dello stesso per compiere altre frodi, per caricare materiale pedopornografico e far disabilitare l’account, per attivare campagne di marketing o altro ancora. Tutte attività che possono anche arrivare a far chiudere l’account.”
Come difenderci
“La protezione totale non esiste” , continua Dal Checco, “ma sicuramente è importante abilitare l’autenticazione a due fattori, con un’App come Google Authenticator oppure direttamente dall’App su smartphone del social network che intendiamo proteggere. Ovviamente non basta, dobbiamo anche in ogni caso fare attenzione ai link che riceviamo, perché una pagina di phishing può superare la protezione 2FA banalmente facendo inserire alla vittima il secondo fattore. Per questo motivo, mai cliccare su link anche se ricevuti da amici o contatti, né fornire codici o link che abbiamo ricevuto, anche se la richiesta arriva da persone fidate, dato che il loro profilo potrebbe a sua volta essere stato compromesso.
Mai condividere i codici di autenticazione
“Così come avviene per Whatsapp – ove il furto dell’account spesso si verifica proprio con la ricezione di un SMS con un codice di autenticazione e la richiesta da parte di un nostro contatto di girarglielo – ” , rimarca l’esperto, “anche per Instagram è possibile tentare il recupero dell’account tramite messaggi di testo e, quindi, convincere la vittima a inviarci ciò che ha ricevuto: per questo motivo, mai inviare codici ricevuti a terzi e molta attenzione anche quando li si inserisce in un sito web.”.
Non sottovalutare mai le notifiche di avvertimento
“Altro errore comune” , conclude Paolo Dal Checco, “che incontro durante le attività di perizia informatica per vittime di furto di account, il sottovalutare le notifiche di avvertimento che i social network inviano quando rilevano qualcosa di anomalo sul profilo. Una richiesta di conferma su di un accesso avvenuto, ad esempio, dagli Stati Uniti, ma siamo in Italia, non consideriamolo come un errore o una seccatura ma prendiamolo come un segnale di allarme che, se interveniamo subito, può farci risparmiare il furto del profilo.“
Raccomandazioni
Alla luce di tutto Matrice Digitale raccomanda pertanto di:
- Fare attenzione ai messaggi che richiedono accessi ad account o pagamenti;
- Attivare l’autenticazione a due fattori per garantire un metodo di controllo aggiuntivo per l’accesso all’account oltre all’inserimento di una password;
- Non usate mai un link di accesso ricevuto attraverso un messaggio inaspettato;
- Verificare sempre l’identità del mittente prima di rispondere ai messaggi;
- Contattare sempre direttamente i vostri contatti tramite altri canali, qualora si ricevano da questi strani messaggi;
- Usare sempre un programma antivirus su tutti i propri dispositivi desktop e mobile.
Nel caso di specie, qualora fosse troppo tardi e i dettagli siano già stati comunicati è consigliabile quanto prima correre ai ripari per riprendersi il controllo del proprio account, reimpostando immediatamente la password (se ancora possibile) oppure richiedendo un codice di sicurezza/assistenza seguendo le istruzioni riportate dalla procedura guidata di Instagram nella schermata di accesso.
Hai subito una truffa online? Vuoi segnalarci un reato o un sito Internet illegale nel clear o nel dark web? Scrivi alla nostra redazione.
Sicurezza Informatica
Arresti in Europa per una Truffa da 645 Milioni di Euro nel Caso JuicyFields
Tempo di lettura: 2 minuti. Un’operazione coordinata ha portato all’arresto di 9 sospetti nella frode d’investimento JuicyFields da 645 milioni di euro.
Una vasta operazione di polizia, supportata da Europol e Eurojust, ha portato all’arresto di nove sospetti coinvolti nella frode d’investimento “JuicyFields”, una delle più grandi truffe di crowdsourcing legate alla coltivazione di cannabis a scopo medicinale. Gli arresti sono il risultato di un’indagine congiunta che ha coinvolto più di 400 agenti di polizia in 11 paesi.
Dettagli dell’Operazione
Il giorno dell’azione, l’11 aprile 2024, sono stati eseguiti nove mandati di arresto e 38 perquisizioni domiciliari. Durante l’indagine e l’operazione, sono stati sequestrati o congelati beni per un totale di circa 8.921.000 euro, tra cui 4.700.000 euro in conti bancari, 1.515.000 euro in criptovalute, 106.000 euro in contanti e 2.600.000 euro in beni immobili. Sono stati inoltre sequestrati veicoli di lusso, opere d’arte, vari oggetti di lusso, nonché un gran numero di dispositivi elettronici e documenti.
Il Caso JuicyFields
JuicyFields è stata pubblicizzata come una piattaforma di crowdsourcing per la coltivazione, la raccolta e la distribuzione di piante di cannabis per uso medicinale. Gli investitori, che dovevano investire almeno 50 euro, erano stati attratti con la promessa di profitti elevati dalla vendita di marijuana a compratori autorizzati. Nonostante le promesse di rendimenti annuali del 100% o più, la piattaforma non ha mai rivelato come avrebbe raggiunto tali risultati. Alla fine, si è rivelato un classico schema Ponzi, dove i soldi degli investitori venivano usati per pagare i rendimenti agli investitori precedenti, piuttosto che per generare profitti legittimi.
Implicazioni Legali e di Sicurezza
L’intera operazione ha richiesto una coordinazione significativa a causa della complessità della frode e della vasta gamma di paesi coinvolti. Il team di investigazione congiunto, guidato dalle autorità di polizia tedesche e spagnole, dalla Gendarmerie francese e supportato da Europol, ha dovuto ricostruire una complessa rete di evidenze digitali per preparare questo ondata di arresti. Un obiettivo ad alto valore, ritenuto uno degli organizzatori principali dello schema, è stato rintracciato nella Repubblica Dominicana e arrestato con la collaborazione delle autorità locali.
Ruolo di Europol
Europol ha avuto un ruolo cruciale nell’indagine, coordinando le operazioni e fornendo supporto analitico su misura. Inoltre, ha condiviso i risultati delle indagini finanziarie e altre informazioni di intelligence con i paesi coinvolti. Il giorno dell’azione, Europol ha dispiegato ufficiali con uffici mobili in varie località globali per assistere con la coordinazione delle misure coercitive legali.
Questa operazione dimostra l’efficacia della cooperazione internazionale nel combattere le frodi online complesse e transnazionali. Inoltre, evidenzia l’importanza per gli investitori di rimanere vigili e scettici di fronte a opportunità d’investimento online che sembrano troppo belle per essere vere.
Truffe online
Truffa dei buoni SHEIN da 300 euro, scopri come proteggerti
Tempo di lettura: < 1 minuto. La truffa dei buoni SHEIN da 300 euro sta facendo nuovamente vittime in Italia, con un’impennata di segnalazioni soprattutto su piattaforme come TikTok. In questo articolo, esploreremo le dinamiche di questa truffa e ti forniremo consigli utili su come difenderti.
Il ritorno della truffa SHEIN
Dopo essere stata affrontata nel corso del 2023, la truffa delle fake gift card SHEIN è tornata a far parlare di sé, con una nuova ondata di attacchi tra marzo e aprile 2024. Questa volta, i truffatori stanno sfruttando i social media per raggiungere le loro vittime.
Come funziona la truffa
I malintenzionati contattano le persone tramite social media, email e WhatsApp, proponendo la possibilità di vincere buoni del valore di 200, 300 o 500 euro spendibili su SHEIN. Tuttavia, dietro queste promesse si cela un inganno: i link forniti reindirizzano a siti falsi che imitano il vero sito di SHEIN. Una volta lì, viene chiesto agli utenti di compilare sondaggi o fornire dati sensibili, con la falsa promessa di ricevere i premi promessi. In realtà, gli hacker possono accedere ai dati delle carte di credito o di debito degli utenti, utilizzandoli per effettuare transazioni non autorizzate.
Come proteggerti
Per evitare di cadere vittima di questa truffa, è importante seguire alcuni semplici accorgimenti. In primo luogo, ricorda che SHEIN non richiede mai pagamenti tramite email, ma solo attraverso la sua applicazione ufficiale. Inoltre, controlla sempre che i contatti da parte di SHEIN avvengano tramite account ufficiali, identificabili dai domini di posta elettronica @shein.com o @sheingroup.com. Infine, evita di cliccare su link inviati da mittenti sospetti e non fornire mai dati sensibili a siti web non affidabili.
Consigli
La truffa dei buoni SHEIN continua a rappresentare una minaccia per gli utenti di internet, ma seguendo alcuni semplici accorgimenti è possibile proteggersi efficacemente. Ricorda sempre di prestare attenzione ai segnali di allarme e di verificare l’autenticità delle comunicazioni prima di fornire qualsiasi tipo di informazione personale online.
Truffe online
CERT-AgID scopre campagna di Phishing mirata alle PA tramite Email di Outlook
Tempo di lettura: 2 minuti. Il CERT-AgID avverte di una campagna di phishing che prende di mira le PA italiane, cercando di rubare credenziali di Outlook tramite email ingannevoli.
Il CERT-AgID (Centro di Certificazione dell’Agenzia per l’Italia Digitale) ha rivelato dettagli su una campagna di phishing attualmente in corso, mirata specificamente alle Pubbliche Amministrazioni italiane. L’obiettivo degli aggressori è di sottrarre credenziali di accesso agli account di posta elettronica MS Outlook, camuffando le loro email fraudolente da comunicazioni ufficiali di reparti HR o contabilità.
Metodologia dell’attacco
Le email di phishing inviate fingono di informare i destinatari su presunti aggiustamenti salariali o accessi a buste paga elettroniche. Questo approccio è calcolato per attrarre l’attenzione dei destinatari e convincerli ad agire, aprendo gli allegati o seguendo link dannosi.
Oggetto dell’email: “Avviso di adeguamento delle buste paga di marzo” Allegato: presenta una doppia estensione .pdf.html, indicando un tentativo di mascherare un file HTML come un innocuo PDF.
Indicatori di Phishing
Per riconoscere questi tentativi fraudolenti, il CERT-AgID mette in evidenza alcuni campanelli d’allarme:
- Sollecitazioni all’azione urgente.
- Allegati sospetti con doppie estensioni.
- Richieste di inserimento credenziali.
- Uso di un linguaggio generico e presenza di errori grammaticali.
Meccanismo dell’Allegato
Una volta aperto l’allegato, l’utente viene indirizzato a una pagina di phishing che simula l’aspetto di una legittima richiesta di login, tentando di catturare le credenziali inserite.
Tecniche di Abuso
Gli aggressori hanno abusato dei servizi di Form builder online, come il sito gratuito formester.com, per creare e gestire le pagine di phishing, rendendo più semplice la raccolta delle informazioni inserite dalle vittime.
Indicatori di Compromissione (IoC)
Per assistere le Pubbliche Amministrazioni nella difesa contro queste minacce, il CERT-AgID ha condiviso gli Indicatori di Compromissione rilevati, facilitando l’identificazione e il blocco di ulteriori tentativi di phishing.
Raccomandazioni
Il CERT-AgID sottolinea l’importanza della vigilanza e dell’adozione di buone pratiche di sicurezza, come il controllo accurato di email e allegati, la verifica dell’attendibilità delle richieste di login e l’uso di soluzioni anti-phishing, per proteggere le infrastrutture delle Pubbliche Amministrazioni da questi attacchi.
- Inchieste2 settimane fa
Papa Francesco sarà al G7 e l’Italia festeggia il DDL AI
- Cyber Security1 settimana fa
ACN: tutto quello che c’è da sapere sulla relazione annuale 2023
- Robotica2 settimane fa
Perché i Robot non riescono a superare gli animali in corsa?
- L'Altra Bolla2 settimane fa
Reddit rivoluziona l’E-Commerce con Dynamic Product Ads
- Economia1 settimana fa
Apple, Regno Unito vuole più sicurezza informatica e l’Europa indica iPadOS Gatekeeper
- L'Altra Bolla2 settimane fa
ByteDance “chiuderà TikTok negli USA piuttosto che venderlo”
- Editoriali6 giorni fa
Chip e smartphone cinesi ci avvisano del declino Occidentale
- Economia5 giorni fa
Internet via satellite: progetto europeo IRIS² in grande difficoltà