Quante volte, la mattina, controllando le email ricevute trovi e cancelli mail fantasiose con oggetto “tentativo di accesso al suo conto corrente” o “Hai un bonifico da 517.000 euro in entrata”?
Una classica mail di Phishing.
Cos’è il Phishing? E’ un tipo di truffa informatica che spesso si verifica con la simulazione di una richiesta via email da parte di un ente che sia banca, posta ecc, che induce ad inserire i propri dati sensibili mediante una scusa verosimile, proponendo un link sul quale, se si clicca, si viene riportati ad un sito spesso fotocopia dell’ente originale.
Il Phishing è la tecnica più conosciuta e utilizzata, ma in questo articolo voglio parlarti di un attacco denominato “man in the middle” letteralmente tradotto “uomo nel mezzo”; questo avviene quando un hacker si intromette in una conversazione già avviata fra due utenti, ovviamente totalmente ignari. L’hacker attua la sua truffa alterando parti della loro comunicazione.
Ultimamente è uscito un articolo sul giornale “La Stampa”, che riporta :
“L’amministratore del condominio «Villa Guerci», in via Tripoli, angolo via Faà di Bruno, fa effettuare alcuni lavori di edilizia a un’impresa di Castelspina. A opera ultimata, il capomastro invia un’email all’indirizzo di posta elettronica con cui, già in precedenza e più volte, aveva intrattenuto corrispondenza con l’amministratore, allegando la fattura in formato pdf, teoricamente più difficile da alterare.
L’amministratore stampa il documento su cui è indicato l’Iban dell’impresa, va in banca e su quel conto paga l’importo di 11 mila euro. Alcuni giorni dopo, però, incrocia l’impresario che con garbo, gli sollecita il pagamento: è una cifra consistente per il suo bilancio, se potesse provvedere… «Ma io ho già saldato il conto» replica l’amministratore.
Controlla e mostra, a prova di assoluta buona fede, le pezze giustificative dell’avvenuto bonifico effettuato in banca. Purtroppo, però, il denaro, partito dal conto del condominio, è stato intercettato lungo il tragitto verso quello dell’impresario e «dirottato» su un altro, aperto su una banca on line, sede a Milano.”
Ti chiederai, com’è possibile questo?
Mentre la pratica è più complessa, la logica attuata è semplice: l’hacker ha violato l’account di posta dell’amministratore di condominio in questione, controllando così tutte le conversazioni per un certo periodo di tempo, entrando e uscendo a piacimento dall’account di posta elettronica dell’amministratore. Tutto questo fino a quando non ha trovato un file allegato davvero molto interessante, la fattura di un fornitore, l’ha aperta, modificando la parte relativa all’IBAN ed ha provveduto a richiudere il tutto rispedendo la fattura modificata con l’IBAN del conto sul quale l’hacker ha pieno accesso.
L’amministratore ha emesso il pagamento che poi è partito si, ma verso chi?
Inutili sono stati i tentativi, da parte della Polizia Postale, di bloccare il pagamento verso il conto corrente errato, anche perché mediamente sotto ad un conto corrente ci sono una serie di triangolazioni per girocontare i soldi altrove, in conti tipicamente non controllati, come ad esempio a Panama. Sono ancora a lavoro gli investigatori, ma rimane attualmente la questione degli 11 mila euro “sfumati”, pagati dai condomini, versati da parte dell’amministratore di condominio ma finiti chissà dove.
Come si può prevenire?
In questo caso specifico ti elenco 3+1 cose da fare assolutamente:
- Cambiare le password periodicamente
- Avere un software sicuro a gestione delle password
- Avere un CRM/software contabilità per memorizzare i dati ricorrenti (es. IBAN del fornitore)
- Non usare password troppo semplici
Qui la parte dolente, usare password come “forzamilan18”, o come spesso noto, date di nascita o nomi dei propri figli, è SBAGLIATO, esistono infinità di programmi che effettuano attacchi ripetuti, basandosi su un database con parole comuni, numeri, o addirittura parole+numeri che tentano in automatico di scoprire la tua password. Scegliere una password alfanumerica complessa eviterà sicuramente immediati problemi, in quanto le combinazioni che tale password venga trovata aumenteranno.
“47rretwd245@” è un esempio di password complessa, contiene numeri, lettere (maiuscole e minuscole) ed un carattere speciale.
Il cambio password periodico, almeno una volta al mese, eviterebbe ancor di più le possibilità di riuscire ad effettuare accessi indesiderati al vostro account, ma come posso ricordare tutte le password? Esistono svariati programmi che diventano di ausilio al nostro scopo, si chiamano in gergo Gestori Password. Ecco alcuni esempi:
- Dashlane: molto intuitivo, possibilità di cambiare più password contemporaneamente, notifiche in caso di violazione account
- KeePass: completamente gratuito, possibilità di portare con se il database tramite chiavetta USB, possibilità di sincronizzare le password con Dropbox o Gdrive
- Zoho Vault: possibilità di organizzare le password condividendole con un team, completamente in cloud, identificazione di sicurezza a due fattori configurabile
Spesso tali programmi però, da soli, all’interno dei processi di studio, possono risultare incompleti senza un buon CRM che sia di ausilio nella gestione dei dati, in questo specifico caso, con il fornitore che richiede il pagamento di una fattura
Al giorno d’oggi i punti di accesso per gli hacker sono divenuti tantissimi, si varia dal pc allo smartphone, passando dalla domotica per arrivare ai robot presenti nella produzione in fabbrica; l’elenco è davvero vastissimo.
Nei prossimi articoli affronterò varie tematiche ed esempi riguardanti la cybersecurity, sia la parte di prevenzione che la parte, ahimè, post attacco, quindi eventuali azioni di recupero o pulizia dei dispositivi.
Proteggersi dai rischi informatici, sia per il vostro studio o per l’aspetto privato, dovrà diventare una priorità, un qualcosa su cui puntare e non quindi essere un rischio per voi e per i dati in vostro possesso.
Cosa ancora più importante, avere uno studio protetto da eventuali attacchi hacker vi permetterà di dormire sonni tranquilli, almeno per quanto riguarda gli attacchi informatici 😉
