😈 Come funziona il PHISHING (e come ha fregato la TOYOTA)

Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo di phishing. Questo video è diviso in due parti: nella prima vedremo fino in fondo che cos'è il phishing, analizzeremo le varie tecniche e così via, e nella seconda vedremo il caso più eclatante di phishing dove con una sola email sono stati rubati 37 milioni di dollari alla Toyota. Questi due video sono già presenti sul canale, sono però separati, quindi se non volete andare a ricercare prima il primo video poi il secondo potete guardare direttamente questo che unisce i due argomenti. Buona Buona visione! Immaginate di ricevere una mail dal vostro istituto bancario che vi avvisa di un problema urgente sul conto. Vi chiedono di cliccare un link per risolverlo, ma quel link conduce a una copia perfetta del sito della banca, in realtà controllata da criminali. Voi inserite le vostre credenziali di accesso all'online banking che finiscono dritte dritte nelle mani dei criminali che vi hanno inviato la mail. Siete appena stati vittime di un attacco di phishing. Buongiorno a tutti e benvenuti sul mio canale. Oggi parliamo di uno dei tipi di truffa digitale più diffusi al mondo, il phishing. Ma di cosa si tratta in concreto? Partiamo dall'origine stessa della parola. Il termine phishing nasce dall'unione di due parole. La prima è freaking, un un tipo di attacco diffuso a partire dagli anni '60 che sfruttava le linee telefoniche. La seconda è phishing, che in inglese significa pescare, per via di due caratteristiche che ha questo attacco. Uno, il tentativo di farci abboccare a quello che ci viene detto. Il criminale ci mente, cerca di ingannarci e appunto di farci abboccare in modo da ottenere qualcosa da noi. Due, il fatto che solitamente non sono attacchi mirati e sono un po' come la pesca a strascico, mandano la stessa mail a mille persone, sperando Sperando che prima o poi qualcuno ci caschi. In sostanza, i criminali inviano comunicazioni con cui cercano di farci abboccare alle loro richieste, che possono essere di vario tipo. Possono cercare di convincerci a cliccare su un link a un sito web finto che ci richiederà di inserire le nostre credenziali di accesso. Ad esempio, potremmo ricevere una mail che sembra provenire da PayPal, da Google o da qualsiasi sito a cui accediamo di solito, con la richiesta di modificare le credenziali. Cliccando sul link verremo rediretti a un sito che copia l'originale, in cui ci verrà chiesto di inserire username e password, in modo che gli attaccanti possano in qualche modo impossessarsene. Un altro esempio che tutti conosciamo è la cosiddetta truffa alla nigeriana. Riceviamo una mail di un principe nigeriano che ha assolutamente bisogno di un prestanome per sbloccare il proprio conto corrente, e ci chiede la cortesia di dargli solo 2-3.000 euro in cambio di qualche milione che lui ci darà una volta avrà sbloccato il conto. Oppure ancora possiamo ricevere una mail che sembra provenire dall'azienda per cui lavoriamo, con cui ci viene richiesto di installare un aggiornamento di qualche software nel nostro computer. In realtà quello che stiamo scaricando è un virus. In sostanza, il criminale che usa il phishing finge di essere qualcuno che non è e usa questa impersonificazione per farci fare qualcosa. Molto raramente il phishing è fine a se stesso, di solito è semplicemente un tentativo per il criminale di mettere il piede nella porta. Ottenere da noi qualcosa che gli serve per fare un attacco più complicato. Riprendendo gli esempi di prima, il criminale che ci rimanda a un sito web falso lo fa per ottenere le nostre credenziali, che userà poi in seguito per fingersi noi e rubare informazioni o denaro. Il criminale che finge di essere un principe nigeriano lo fa per convincerci a dare una somma di denaro. Il criminale che ci fa invece installare un malware lo fa per infettare il nostro computer e ottenere dei dati, bloccare il nostro sistema o il sistema della nostra azienda e cose questo tipo. In tutti questi esempi ho parlato solo dell'invio di mail, ma ci sono in realtà tantissimi sottotipi di phishing che approfondiremo poi anche magari nei prossimi video, che intanto vi voglio anticipare. Ad esempio, se la comunicazione fraudolenta arriva non via mail ma tramite messaggio, si parla di smishing, cioè SMS phishing. Questi si stanno diffondendo tantissimo anche su WhatsApp. Se invece il criminale ci chiama al telefono, parliamo di vishing, cioè voice phishing, phishing tramite la voce. Molto diffuso purtroppo in Italia, soprattutto contro le persone anziane. Il criminale chiama, si finge un addetto della banca o di qualunque altra cosa e chiede soldi o credenziali. Se invece l'attacco non è fatto a caso, ma il criminale prima fa qualche ricerca su di noi per farci cadere meglio nella sua trappola, allora parliamo di spear phishing, letteralmente pesca con la fioccina, proprio perché Anziché tentare di pescare a caso nel mare, puntano proprio a noi. Pensate che i criminali non perderebbero mai tempo a fare ricerche su di noi per aumentare le probabilità di riuscita dell'attacco. E invece pensate che oltre il 90% delle truffe via internet avviene proprio tramite spear phishing, con un livello di personalizzazione più o meno alto. Se l'attacco invece, oltre a essere personalizzato, è rivolto a qualcuno che ricopre una posizione di spicco, ad esempio all'interno di un'azienda o di un ente pubblico, parliamo di whaling, che letteralmente significa caccia alla balena, perché si cerca di pescare il pesce più grosso, sostanzialmente. Ovviamente questa lista non è completa, sono stati categorizzati tantissimi tipi di phishing, ma diciamo che i punti focali di tutti gli attacchi rimangono sempre gli stessi. 1: come possiamo riconoscerlo? E 2: come possiamo proteggerci? In primo luogo dobbiamo sapere che i criminali che usano questo tipo di attacco normalmente fanno leva sui nostri sentimenti, sia quelli belli che quelli brutti. Nel 2020, per fare un esempio, Molti utenti di Netflix hanno ricevuto un'email che sembrava provenire dalla piattaforma di streaming, quindi da Netflix stesso, e che diceva che il loro abbonamento era stato sospeso a causa di un problema di pagamento. Il link nelle mail conduceva a una falsa pagina di accesso, quindi sembrava proprio Netflix, dove gli utenti inserivano le credenziali che venivano poi rubate e rivendute nel dark web. In questo caso i criminali hanno fatto leva sul sentimento di paura, di ansia di restare senza account, tra l'altro in un periodo di pandemia, dove Netflix ci teneva tutti vivi sostanzialmente. Un altro esempio ancora: nel 2021 dei criminali hanno compromesso gli account Twitter di Elon Musk, Bill Gates e altre celebrità, e hanno pubblicato poi dei tweet fingendosi loro, con cui promettevano di restituire il doppio di qualsiasi somma di Bitcoin venisse inviata a un indirizzo specifico. Qui i criminali hanno fatto più leva su un sentimento di avidità degli utenti, sulla tentazione di fare soldi facili, e forse anche di farsi belli, diciamo, davanti a delle celebrità di aiutarle. Ancora, nel 2022 sono state inviate migliaia di email apparentemente provenienti da Microsoft che avvisavano di un tentativo di accesso non autorizzato. L'email forniva un link per verificare l'account, ma in realtà portava una pagina fake che rubava le loro credenziali. Il tono della mail, che era tipo "accesso sospetto rilevato nel tuo account, verifica immediatamente", faceva leva oltre che sulla paura degli utenti di subire un attacco anche su un senso di urgenza che ha portato le persone a non identificare adeguatamente il mittente, che in realtà era proprio chi li voleva attaccare. Anche sempre nel 2022, fra l'altro dopo lo scoppio della guerra tra Russia e Ucraina, sono state inviate tantissime mail con cui si chiedeva una donazione per aiutare i rifugiati ucraini, soldi che in realtà poi finivano direttamente nelle tasche dei criminali. Questo tipo di attacco faceva leva non su un sentimento cattivo, ma sulla volontà di aiutare il prossimo, quindi proprio di voler fare del bene. Sempre nel 2022, molti utenti hanno ricevuto una mail apparentemente proveniente da un collega o da un conoscente, con un link per aprire un documento su Google Docs. Aprendo il link e accettando i permessi richiesti, davano accesso ai truffatori alle proprie mail. Questo tipo di attacco ha fatto leva sulla naturale curiosità dell'essere umano. Se un conoscente mi chiede di leggere un documento che mi manda, beh, una sbirciata vuoi non darla? Nel 2023 invece sono state inviate mail apparentemente provenienti dall'Agenzia delle Agenzia delle Entrate, con cui si chiedeva di verificare il proprio conto corrente per ricevere dei rimborsi fiscali, rimandando gli utenti in realtà a un sito web in cui inserire le proprie credenziali. Questo sito web, che era ovviamente fasullo. Questo attacco ha fatto leva sul rispetto per l'autorità. Se l'Agenzia delle Entrate ti chiede di fare qualcosa, in genere la fai. La prima cosa da tenere a mente quindi quando riceviamo una mail o messaggio inaspettati è non farsi prendere dall'ansia, dalla paura, dall'urgenza, ma prendersi sempre un po' di tempo per capire chi ci ha scritto e soprattutto perché lo ha fatto. Quando riceviamo una mail sospetta, poi, oltre ovviamente a restare calmi, dobbiamo analizzare bene gli elementi che caratterizzano quel messaggio, perché ci sono degli indizi che ci faranno capire immediatamente che si tratta di un tentativo di phishing. Il primo è come la vostra casella mail filtra il messaggio. Se lo ha messo automaticamente in spam, significa che qualcuno ha segnalato la mail come retta. Questo in realtà purtroppo non ci dà una certezza completa sulla provenienza della comunicazione, perché capita che mail di phishing vengano ritenute legittime dal sistema, così come capita che mail valide finiscano in spam. Un altro indizio importante poi, ma questo lo conosciamo bene o male tutti, è l'ortografia. Una mail che proviene da PayPal scritta in modo sgrammaticato, con un italiano un po' stentato, probabilmente non proviene da PayPal. Se poi magari è tutta in inglese e voi non avete normalmente a che fare per lavoro o altri motivi con persone che parlano solo in inglese, è un campanello d'allarme, dovrebbe suonarvi. Se la mail invece non è stata messa in spam e la grammatica è corretta, come facciamo a capire se è spam? Innanzitutto guardiamo l'oggetto della mail. Le mail di phishing hanno quasi sempre degli oggetti un po' strani. Guardiamo questi esempi. Qui ad esempio c'è una mail di Telepass che mi dice che ho vinto un kit di emergenza per auto, no? Scritta in modo un po' comunque strano. Hai vinto un kit di emergenza per auto, scritto con un font un po' strano, tutto tutto in grassetto. Poi tra l'altro abbiamo la scritta RE all'inizio, no, che vuol dire che stanno rispondendo alla mia mail. Ma io ovviamente non ho mai scritto una mail a Telepass, quindi come fa, come fanno a rispondere a una mia mail, no? Lo fanno questo, lo inseriscono proprio per cercare di bypassare i filtri dello spam. Di solito comunque se vinciamo qualcosa c'è qualcosa che non va. Un altro campanello che poteva scattarmi è che io non ho telepassano, quindi perché dovrebbero regalarmi un kit di emergenza che non sono neanche loro cliente, no? Non ci deve fregare ovviamente il simbolino che vediamo qua del marchio registrato, perché non è assolutamente indice di sicurezza. La mail sopra, idem, no? Tutto grassetto, tutto in inglese, l'emoji del dollaro, tutto strano, parentesi graffe. Tra l'altro vediamo che sembra provenire da me, quindi mi fa un po' strano di essermi mandata da sola una mail che dice che ho ricevuto un deposito diretto di migliaia e migliaia di dollari tra l'altro. Sopra ne vediamo una interessante, perché ovviamente sono in ordine dalla più vecchia, che è quella in basso, fino alla più recente, che è quella in alto. Questa terza è molto interessante perché innanzitutto proviene sempre apparentemente da Telepass. Il contenuto è lo stesso, cioè hai vinto un kit di emergenza auto Telepass. Ma se vedete, nel giro di 2 settimane, dal 12 febbraio al 1° marzo, si sono ingegnati perché questa mail sembra molto più realistica rispetto a quest'altra. Altra. Non c'è il nome, non c'è il re, non c'è grassetto, font strani. Quindi diciamo che sembra molto realistico. In realtà anche questo è la Conad, come oggetto sembra molto realistico, perché al di là dell'utente, perché Conad sbloccato fa un po' strano, però è scritto tutto in italiano. Hai vinto un set Tupperware da 36 pezzi. Non ha caratteri strani e non c'è il mio nome né niente. E poi hanno scelto volutamente qualcosa che potrebbe essere collegato al Conad, no? Cioè, il Conad non mi regala soldi, mi regala un set Tupperware. Poi sicuramente dovrò inserire delle credenziali o qualcosa, ma poi le andiamo a vedere. Le altre due, quella di DHL e quella di Vincent Fred, sono intermedie, perché se ho l'occhio allenato mi rendo conto che è un po' improbabile che una persona che non conosco mi metta nell'oggetto ciao. Tra l'altro, persona che ha un nome inglese ma mi scrive in italiano. Così come mi rendo conto che DHL probabilmente non mi scrive una mail con questo oggetto. Quindi vedo sempre la mail, anziché il mio nome, un numero 1 tra parentesi tonde, che vuole un po' richiamare il concetto di notifica, no? E insomma, è un po' strana, però tutto sommato diciamo che non è così immediato riconoscerla rispetto invece ad esempio questa o quest'altra. Quindi iniziamo ad ingegnarci un Se comunque voi vi accorgete già dall'oggetto che si tratta di mail di phishing, non la aprite, la eliminate direttamente. Perché se era una mail legittima, tranquilli, vi ricontatteranno in altri modi. Non vi preoccupate che l'occasione della vita non la perdete. Io queste le ho aperte unicamente per fini didattici, perché adesso andremo a vedere il contenuto. Prendiamo la mail del Conad, che sembrava realistica, no? Hai vinto un setup per work, eccetera eccetera. Allora, innanzitutto, come vi dicevo già, il nome del mittente un po' strano, perché Conad sbloccato. Ma facciamo finta che sia tutto normale e apriamo la mail. Ignoriamo per il momento questi caratteri stranissimi e andiamo a vedere quello che c'è sotto, perché c'è da dire che molto spesso non prestiamo troppa attenzione a quello che c'è scritto qua. Dovremmo, ma molto spesso mi rendo conto che non è sempre così. Al di là del fatto che ci rendiamo magari conto che la grammatica non è un granché, perché anche se è impaginata molto bene, c'è questo rettangolino molto carino, un regalo per i tuoi pensieri, basta rispondere a qualche domanda, vinci un nuovo marchio. Cosa vuol dire vinci un marchio? A parte questo però, la mail ha una serie di cose che ci possono ingannare, perché obiettivamente siamo abituati, sono cose che siamo abituati a vedere altrove in contesti sicuri. Ad esempio, valutato 4,6 stelle su 5, non 5 su 5, con una serie di recensioni, numero ovviamente a caso. Poi il pulsante Scopri ora, che è interessante perché non ci chiede di scaricare qualcosa o di mettere delle credenziali. Apparentemente ci darebbe, cliccando, solo nuove informazioni. Il colpo da maestro però è questa scrittina qua in fondo. Perché anche facendo i bravi e dicendo guarda, mi sembra strana questa mail, voglio anche disiscrivermi, e clicchiamo quindi poi annullare l'iscrizione, verremo sicuramente in realtà rimandati a un sito malevolo. Ma normalmente noi ci fidiamo delle mail che sotto ci dicono che possiamo annullare l'iscrizione. Ovviamente però cliccando probabilmente verremo mandati chissà dove. E in realtà comunque questa mail, come vi dicevo, si capisce fin dall'inizio chi proviene da dei malintenzionati, per il fatto che se mi arriva una mail dal Conad, io mi aspetto che provenga ad esempio da info@conad.it o qualcosa del genere, no? Vediamo invece il mittente di questa mail, lo vedo un po' da qua, ed è x.fr, tra l'altro, quindi proviene dalla Francia, ma la mail è scritta in italiano, quindi comunque mi fa strano. La stessa cosa, tra l'altro, la vedo anche nella mail del, di Telepass perché vedo return, chiocciola e un sacco di lettere strane che non metterebbero normalmente in una mail, perché come faccio a ricontattarti se hai tutte quelle, quei caratteri strani? Analizziamo però un po' più in profondità. Già intanto vedete che questa è fatta molto meglio. E se vogliamo vedere meglio chi è che ci ha scritto, possiamo cliccare questa frecciolina qua, no? E vediamo una serie di dettagli in più. Allora, innanzitutto, nella parte finale della mail qua c'è agsoftsystems.com, che non c'entra nulla con Telepass. Cioè, in realtà è una società che fa tutt'altro e che non ha nemmeno questo dominio. Quindi anche qui capiamo che c'è qualcosa che non va. Hanno voluto semplicemente mettere il nome di qualcuno che sembra autorevole. Vedo un'altra cosa strana, cioè inviato da e a, no? Uno è inviato da Trusted Sender, cioè mittente affidabile. Questo serve per cercare di oltrepassare i filtri antispam, cercando di far sì che la casella di posta, quando filtra i messaggi, guardi questo campo anziché il primo. E fra l'altro vi do uno spoiler: in questo caso non ha funzionato, perché questa mail io l'ho trovata proprio in spam. Tra l'altro inviata da me stessa, no? Quindi mi fa molto strano, perché io non mi sono inviata questa mail, ma ha cercato semplicemente di per far sì che la mia casella di posta riconoscesse questa mail come legittima, semplicemente. Poi il campo A non contiene il mio indirizzo mail, ma un indirizzo super generico. Da questo capisco che comunque io non ho vinto niente, cioè è una cosa che viene inviata in massa. Al massimo io sarò stata in copia nascosta. Probabilmente han fatto invia a e poi una serie di persone che sono in copia nascosta. Si capisce anche, tra l'altro, dal fatto che c'è un campo mailing list. Quindi vuol dire che io sono inserita all'interno di questa mailing list, molto probabilmente perché questo è un indirizzo vecchio che io uso, vi dico proprio, per semplicemente iscrivermi ai siti di cui non mi fido banalmente. E probabilmente infatti questo indirizzo mail è stato compromesso e venduto nel dark web. Quindi c'è il mio indirizzo mail che è stato venduto, come insieme ad altri indirizzi mail, dentro questa mailing list a qualcuno che sta cercando di fregarci. Vediamo anche un altro esempio. Allora, andiamo a prendere questa mail. Questa è in italiano in realtà, ma vedo già degli indizi che mi fanno capire che si tratta di phishing. Innanzitutto è scritta in un italiano stentato. L'oggetto è un po' strano perché è solo ciao. E come vi dicevo, se non conosco il soggetto, non mi scrivi ciao. Tra l'altro, perché andiamo a vedere che cosa mi vuole dire, mi dice che ho vinto 3 milioni di dollari. Cioè, ho vinto 3 milioni di dollari e tu mi dici solo ciao? No, no, no, tu mi devi dire che ho vinto 3 milioni di dollari già nell'oggetto. Ti scrivo per congratularmi ancora una volta per questo, un premio meraviglioso verrà consegnato al tuo indirizzo mail. Voglio che tu capisca che la lotteria è organizzata, cioè è tutto molto strano, no? Tra l'altro qui mi dice che ho vinto tutte queste cose qua meravigliose e mi dice che hanno raggiunto un accordo per trasferire i fondi tramite bonifico bancario. Contatta la tua banca, pagamento all'indirizzo mail, e mi ha dato una mail. No, se vogliamo vedere una cosa strana, un po' sospetta, è che la firma della mail qua è di David Knott, ma la mail proviene da Vincent Fred. Quindi c'è qualcosa che non va, giusto? Se mi deve scrivere David Knott, mi scrive lui. Ma mettiamo che la mail fosse scritta in modo perfetto, il contenuto a prima vista sembra acquo, perché non mi chiedono di inserire credenziali, non mi rimandano a nessun sito web, no, c'è solo un indirizzo mail a cui scrivere. Chiaramente qui la truffa non parte in automatico, parte nel momento in cui io, convinta di aver vinto 3 milioni di euro senza aver mai partecipato alla lotteria, contatto questo indirizzo mail. Probabilmente perché mi daranno ulteriori informazioni, mi diranno che per sbloccare la vincita probabilmente dovrò fare un piccolo pagamento di 1000 euro per verificare che il mio conto corrente sia valido. E che cosa sono 1000 euro davanti a 3 milione di dollari. Ovviamente, ovvio, noi non rispondiamo, no? E andiamo avanti ad analizzare la mail. Andiamo a vedere il chi la manda. Qui diciamo che l'indirizzo mail non è particolarmente strano, è un indirizzo Gmail normale. Però se vado ad aprire, noto alcune cose. Noto ad esempio che il mio indirizzo mail è in copia nascosta. Vedete, CC, CC è in copia, a CCNA è il soggetto a cui è stata inviata la mail. CCNA vuol dire che loro hanno mandato la mail a me e ad altre persone e non volevano che noi vedessimo a chi era stato inviato. E io faccio una domanda: ma se io vinco 3 milioni di dollari, mi metterà in copia nascosta? No, cioè, non è una cosa che vincono tutti, quindi non mandi una mail di questo tipo. Questa cosa di mettere le mail in CCNA è tipico delle mail di promozione e di phishing, quindi già posso intuire che comunque c'è qualcosa che Un'altra cosa strana è che l'indirizzo mail che ci manda la comunicazione non è lo stesso a cui io rispondo. Che cosa vuol dire? Che se io clicco qua Rispondi, la mail non viene mandata a chi mi ha scritto, ma viene mandata a quest'altro indirizzo web, Online Wire Transfer, che guarda caso è quello che mi chiedevano di contattare proprio nella mail, no? Tra l'altro, ma questa è una cosa che magari non tutti sanno, Tutamail, che è questo indirizzetto qua, è un servizio mail che viene utilizzato per anonimizzare le comunicazioni. Ora io mi chiedo, no, perché un'azienda che mi scrive, un'azienda legittima che mi scrive, dovrebbe contattarmi tramite un indirizzo mail dal quale non si può risalire l'identità del mittente? È un po' strano. Adesso vi mostro un'altra tecnica un po' più avanzata, ma molto interessante. Per queste mail non ci sarebbe neanche bisogno, però la andiamo a vedere comunque. Dunque, prendiamo una mail di phishing. Prendiamo ad esempio questa del Conad, clicchiamo i tre puntini qua a lato e selezioniamo Mostra originale qua in basso. Ok, questa è la mail che dovrebbe provenire teoricamente dal Conad, che noi sapevamo già che non, non è legittima. Però vogliamo comunque vedere un attimo alcune informazioni. Partiamo col guardare l'ID messaggio. Allora, è perfettamente normale che sia una cozzaglia di lettere e numeri perché è email, o comunque sono i server che danno un ID univoco all'indirizzo mail, quindi è normale che sia una serie di lettere, numeri e puntini. Che cos'è che fa strano? Fa strano questo SMTP IN added missing, perché normalmente sono solo numeri e lettere casuali. Io da questo capisco che non proviene da un server ufficiale. Un'altra cosa strana: creato alle. Questo è stranissimo perché una mail dovrebbe essere creata innanzitutto il 1° gennaio 1970, è proprio la data diciamo tipica in tutti i programmi, in tutti i server, no? Se io creo un'applicazione, dico metti una data a caso, metterà 1° gennaio 1970 a mezzanotte. Questa è proprio una cosa tipica, no? In realtà è molto difficile che questa mail di Conad dove che mi dice che ho vinto dei Tupperware sia stata creata il 1° gennaio 1970, che non ero nemmeno nata, non era nata neanche mia mamma. C'è qualcosa che non torna sostanzialmente. Di solito la mail deve essere creata lo stesso giorno che vi è arrivata, e soprattutto qua ci deve essere un lasso di tempo che può essere fra i 5 e i 12 secondi. Già se ci mette più di così è raro, perché vuol dire che è passato da server non proprio ufficiali o è stato bloccato da più filtri antispam. Qua ci ha messo 55 anni, quindi quindi vabbè. Poi vediamo che nel campo da c'è sempre l'indirizzo mail strano che non corrisponde al Conad. E negli altri che abbiamo visto, adesso apriamone un po'. Ecco, guardiamo questa che non l'abbiamo aperta, che mi dice che insomma ho vinto un sacco di cose super belle. Vediamo un attimo. Ecco qua. E anche questo, se vedete, consegnato dopo 65 secondi, quindi ci ha messo tanto tempo. Qui la cosa strana, come vi dicevo, nel campo da è che sembra provenire da me. Non è il mio indirizzo mail questo, ma loro han cercato di far passare la cosa come se provenisse da me. Il campo oggetto, vabbè, qui non lo commentiamo nemmeno, tutte ste parentesi graffe, dollari, eccetera. Andiamo a vedere gli altri campi sotto: SPF, DKIM e autenticazione sono 3 controlli che servono a verificare se la mail è autentica oppure no. Il controllo SPF sostanzialmente serve a verificare se il mittente può mandare delle mail per conto del dominio indicato. C'è scritto "passed" che vuol dire che ha superato questo controllo, ma non vuol dire assolutamente che sia autentico. Basta usare un dominio compromesso o già malevolo e il criminale è a posto. Ad esempio qua lui probabilmente ha piena titolarità di questo dominio, che infatti credo che non voglia nessuno, no? Se invece ad esempio qualcuno hackerasse il mio indirizzo mail e mandasse delle mail per mio conto, passerei Perché comunque il criminale apparentemente avrebbe l'accesso al mio dominio. Se io creo un dominio pure per le mie attività criminali e lo chiamo, non so, www.attivitàcriminali.com e mando email da quell'indirizzo lì, quindi tipo info@attivitàcriminali.com, questo controllo io lo passo, però non vuol dire che io abbia buone intenzioni. Quindi questo ci dice poco. Il controllo DKIM verifica se il contenuto della mail è stato modificato dopo l'invio. E se la firma della mail corrisponde a quella da cui dovrebbe provenire. In questo caso vediamo che ha fallito questo passaggio. Diamo un secondo, andiamo a vederne anche altri. Ad esempio questo di Beans and Fred, ecco qua. Ecco, questo ad esempio l'ha passato regolarmente perché lui ha creato un indirizzo mail valido, un chiocciola gmail.com, e infatti ha passato questo controllo qui sostanzialmente. Per quanto riguarda invece autenticazione, mi dice: questo messaggio non è autenticato, fa' attenzione a questo messaggio perché il mittente potrebbe aver falsificato l'identità nell'intestazione mittente. E quindi vuol dire sostanzialmente che lo stesso filtro, diciamo, automatico, lo stesso controllo automatico dice che probabilmente c'è stato un problema nell'intestazione del mittente. E infatti qui hanno detto che proviene da me, ma in realtà non è così. Questo, la stessa cosa. E invece Fred, il nostro amico Fred, lo passa perché non ha fatto, non ha modificato nulla, ha fatto nome e cognome e un indirizzo mail apparentemente valido. Allora, ci sarebbe in realtà un po' da capire che cosa sono questi 3 controlli, no? Allora, facciamo un esempio per capire meglio. Immaginiamo che il postino ci consegni una lettera strana proveniente da Enel. Il primo controllo che abbiamo visto, l'SPF, verifica l'identità del postino. Se è di Poste Italiane, allora tutto ok. Altrimenti questo questo controllo non lo passa. Come dicevo però, il fatto che la posta sia consegnata da qualcuno di legittimo non ci dice nulla sul contenuto della comunicazione. Cioè, il postino potrebbe anche consegnarmi una lettera che comunque mi vuole truffare, e il postino non lo sa che mi vuole truffare. Questo controllo qui serve a verificare se la lettera è stata contraffatta dopo l'invio. Ad esempio, nel nostro esempio del postino, se vedo che la busta è tutta stracciata e aperta e la lettera dentro non sembra di Enel, due domande me le faccio. Il terzo controllo corrisponde corrisponde a una verifica sulla provenienza della lettera, no? Questo qua. Se il postino è ok e la busta è ok, non è detto comunque che la mail sia stata inviata effettivamente da Enel. E io cosa faccio? Apro la mia busta, vado a controllare ad esempio che il logo sia corretto, che l'impaginazione sia quella solita di Enel, e via dicendo. Se ho ancora dei dubbi, comunque, che cosa faccio? Io contatto il diretto interessato. No? Chiamo Enel e dico: mi avete inviato questa benedetta lettera oppure no? E qui arriviamo un po' al nocciolo della questione, cioè come ci proteggiamo dai tentativi di phishing. Allora, innanzitutto tutte le volte che vedete delle mail sospette le eliminate direttamente, non state neanche ad aprirle, le eliminate. Se avete dei dubbi potete controllare chi le invia nel modo che abbiamo visto prima. A volte vengono inviate mail da indirizzi apparentemente legittimi che però hanno qualche errorino, tipo info@amazon.com o info@google.com. Quindi prestate sempre attenzione anche al campo del mittente, perché a volte si nasconde un errore, noi non ce ne accorgiamo e pensiamo che sia legittima. Anche se la mail poi è perfetta e sembra provenire da un indirizzo legittimo, se vi viene richiesto di inserire le vostre credenziali da qualche parte o di installare qualcosa, contattate il diretto interessato per avere una conferma. Questo è fondamentale. Quest'ultima, la cosa che io vi consiglio di fare più di tutto: adottate un approccio di sfiducia. Anche se vi arriva una mail dal vostro reparto informatico della vostra azienda con cui vi viene chiesto di cambiare le vostre credenziali o di installare un aggiornamento software, voi tirate sul telefono e chiamate il reparto per chiedere se sono stati loro a inviarla. A salvarla. Ci mettete un minuto a salvarvi. Questo ve lo dico anche perché a volte le aziende, per tutelarsi, fanno dei penetration test, cioè ingaggiano sostanzialmente degli hacker buoni che provino ad hackerarli. E una cosa che viene fatta è proprio mandare mail apparentemente legittime per vedere se cliccate da qualche parte. Non è che venite licenziati se lo fate, però serve proprio per capire quanto siete a conoscenza sicurezza, diciamo così, dei rischi che ci possono essere. E allora loro semplicemente cosa fanno? Mandano mail apparentemente dal reparto informatico con cui vi chiedono di cambiare le credenziali. Se voi non fate neanche un controllo e lo fate, l'azienda sostanzialmente saprà che voi siete un po' disattenti dal punto di vista della sicurezza. Ma al di là dell'azienda, perché magari non ve ne frega nulla o non lavorate in un'azienda dove avete a che fare con dei computer, anche proprio per la vostra sicurezza. Se vi arriva una mail da Amazon strana, una mail da PayPal strana, contattate l'assistenza. Andate nel sito ufficiale, quella mail ignoratela, andate nel sito ufficiale, fate contatto assistenza e chiedete se sono stati loro a mandarla, perché è veramente simple as that. Detto questo, spero che il video sia stato utile e che l'abbiate apprezzato. Domani sera pubblicherò un video sul caso di phishing più famoso, una mail da 28 milioni di euro. Quindi non perdetevelo, perché sarà stupendo. Non per loro, ma per noi sì. Una singola email, poche righe di testo e un click, tanto è bastato per sottrarre 37 milioni di dollari a uno dei colossi mondiali dell'automotive. Era il 14 agosto 2019. 2009 e per la Toyota stava per iniziare un incubo digitale fatto di inganni, documenti falsificati e bonifici milionari spariti nel nulla. Ad oggi resta il caso più emblematico di phishing, dove tecnologia e debolezza umana si intrecciano in un crimine quasi perfetto. Ricostruiamo passo dopo passo cosa è successo. Ben ritrovati nel mio canale. Oggi parleremo di quello che forse è il caso di phishing più eclatante che sia mai avvenuto. Se non sapete cos'è il phishing e come funziona, vi invito ad andare a vedere il video che ho pubblicato ieri, in modo che possiate capire ogni aspetto della vicenda di cui parliamo oggi, che ha dell'incredibile. Sì, perché con una sola email congegnata alla perfezione, degli hacker sono riusciti a sottrarre nel nel 2019 oltre 37 milioni di dollari alla Toyota. Ma andiamo con ordine. Nel 2005 la società automobilistica giapponese Toyota Boschoku, all'epoca leader del settore, decide di aprire una nuova sede in Belgio. Questa sede non è pensata per la produzione di nuove auto, ha invece un ruolo di coordinamento di tutte le sedi in Europa e in Africa. La sede belga è l'unica struttura nei due continenti con funzioni amministrative centrali e in quanto tale gestisce transazioni finanziarie multimilionarie con i fornitori della società. Pensate che ben il 70% delle transazioni europee passa attraverso questa sede, che può addirittura autorizzare pagamenti superiori a 10 milioni di euro senza richiedere approvazioni aggiuntive alla casa madre giapponese. In pratica è il bersaglio perfetto. È l'estate del 2019, fa caldo in Belgio e la sede della Toyota, visto che quell'anno Ferragosto cade di giovedì, decide eccezionalmente di allungare il weekend e tenere chiuso anche venerdì 16 agosto. Mercoledì 14, quindi, i dipendenti cercano di chiudere le ultime pratiche per potersi godere poi il meritato ponte. Uno di loro riceve una mail. È una fattura da parte di un fornitore regolare della Toyota che chiede il pagamento di 4 miliardi di yen, corrispondenti a poco più di 37 milioni di $100. La fattura contiene i regolari riferimenti ai contratti in essere tra la Toyota e il fornitore, ma una caratteristica un po' strana: l'IBAN indicato per il pagamento è diverso da quello solitamente usato da quel fornitore. La mail però, per il resto, è apparentemente pienamente legittima, anche se forse l'insistenza e l'urgenza del fornitore nel richiedere il pagamento possono far suonare qualche campanello di allarme. Ma d'altronde ci sta, è quasi Ferragosto, vogliono tutti staccare per qualche giorno. Probabilmente l'urgenza è dovuta a questo. Il dipendente non ci pensa due volte, accetta la fattura e autorizza il bonifico di 37 milioni di dollari. La sera torna a casa tranquillo e il giorno dopo festeggia Ferragosto come se niente fosse. Solo dopo 48 ore dall'esecuzione del bonifico la filiale si accorge dell'anomalia. Anomalia. E a quel punto è troppo tardi, il denaro è stato già trasferito su conti offshore e convertito in criptovalute dagli hacker. Ma come hanno fatto i criminali a congegnare un crimine così perfetto? Vi avverto, nonostante la gravità di questo crimine, trovare informazioni dettagliate sul caso è stato quasi impossibile. E questo per un motivo che in realtà è abbastanza ovvio: le aziende non amano dire in giro di essere state vittime di un attacco hacker, perché ogni volta che si verifica significa sempre che c'è stata una qualche mancanza da parte dell'azienda. Può trattarsi di una formazione non adeguata ai dipendenti sui rischi cyber, di un'assenza di procedure specifiche che avrebbero potuto e dovuto essere implementate, di un mancato aggiornamento, se vogliamo, dei sistemi. Insomma, diciamo che con il senno di poi si tratta quasi sempre di qualcosa di evitabilissimo. In questo caso il punto su cui ancora oggi non è stata fatta piena chiarezza è: come hanno fatto gli hacker a raggiungere una conoscenza così precisa del funzionamento della filiale, tale da riuscire con una singola email a sottrarre in un colpo solo 37 milioni di dollari alla Toyota? Secondo i rapporti di sicurezza eseguiti successivamente, in realtà già qualche mese prima dell'attacco, precisamente a marzo 2019, 2009, Toyota aveva subìto un hackeraggio che aveva comportato il furto dei dati di circa 3 milioni di persone, tra fornitori, clienti e dipendenti. Questo attacco non si ritiene però che sia stato compiuto dalle stesse persone che poi hanno rubato tutti quei soldi. Presumibilmente però è stato proprio tramite questo primo furto di dati che i criminali hanno ottenuto poi le informazioni necessarie sul funzionamento interno della filiale compia, inclusi i nomi dei dirigenti, i processi di approvazione dei pagamenti e i fornitori strategici. Dovete sapere che esiste nel dark web un vero e proprio commercio di dati rubati. Come funziona? Un hacker malevolo, o più correttamente cracker, si infila nei sistemi di un'azienda e fa una copia di tutti i dati su cui riesce a mettere le mani, poi esce dal sistema come se niente fosse. Molto spesso l'azienda non se ne accorge meno. A quel punto prende il pacchetto di dati che ha rubato e li mette in vendita sul dark web, come se fosse un qualsiasi prodotto digitale. Altri cracker possono acquistare il pacchetto e mettere le mani su informazioni che sono molto utili per compiere attacchi di ingegneria sociale. Cosa sono gli attacchi di ingegneria sociale? Sono attacchi in cui l'hacker non sfrutta tanto le proprie competenze tecnologiche quanto le proprie capacità di manipolazione delle persone. Persone. In pratica raccoglie tutte le informazioni che può su una persona o su un'azienda, poi impersonifica qualcun altro, crea un pretesto valido per contattare la sua vittima e la inganna. Nei migliori attacchi di ingegneria sociale la vittima non si accorge nemmeno di essere stata truffata. Perché dico che questo è un caso di ingegneria sociale? Se ci pensate, l'hacker che ha sottratto i soldi ha fatto unicamente due cose: 2 cose: 1) ha messo le mani sulle informazioni dell'azienda e le ha studiate in modo approfondito; 2) ha mandato una mail. Sono entrambe cose che chiunque di noi sarebbe in grado di fare. Anche entrare nel dark web è obiettivamente facile, anche se io personalmente ve lo sconsiglio. Le informazioni che ha utilizzato l'hacker riguardavano tantissimi micro aspetti della Toyota e della gestione dei pagamenti. È stato un attacco congegnato veramente alla perfezione. In primo luogo, il criminale ha individuato la filiale perfetta per eseguire l'attacco, ovvero l'unica al di fuori della casa madre in grado di autorizzare pagamenti multimilionari. Ha poi scoperto chi era il dipendente che si occupava dei pagamenti, quello incaricato proprio di ricevere le fatture, controllarle e poi autorizzare i bonifici. Ha individuato un fornitore strategico che fosse solito emettere fatture con importi molto alti, in modo che la richiesta non destasse sospetti. Ha messo le mani sui contratti in essere tra la Toyota e il fornitore, in modo da poter indicare nella fattura il numero di contratto che legittimava il pagamento. Ha osservato le fatture emesse dal fornitore, in modo da poterne emettere una pressoché identica e in un giorno del mese in cui era possibile che venisse richiesto il pagamento. Insomma, aveva tutte le informazioni per impersonificare alla perfezione il fornitore. Non tutte le informazioni erano all'interno del pacchetto rubato a Marzo. Ad esempio, sappiamo da fonti interne all'azienda che i criminali sapevano cose che i dipendenti si erano detti solo tramite mail scambiate tra di loro, quindi sicuramente aveva accesso anche alle loro caselle di posta. Queste fonti hanno rivelato che tra marzo e agosto si sono verificati altri micro attacchi di phishing per sottrarre credenziali di accesso agli indirizzi mail. Toyota comunque ha fatto di tutto per scoprire chi si nascondesse dietro all'attacco e per tentare di recuperare fondi, ma praticamente in vano. A collaborato anche con l'Europol per tracciare i flussi finanziari, con le autorità lituane dove erano registrati i conti fraudolenti, e con gli exchange di criptovalute per individuare i portafogli blockchain dei criminali. Nonostante questi sforzi, sembra che la Toyota sia riuscita a recuperare solo un 15% più o meno di quanto rubato, ma non ci sono ulteriori informazioni in merito. So che di fronte a un attacco così perfetto sembra impossibile che l'azienda potesse fare qualcosa per evitarlo, ma non è Facendo un'analisi, diciamo, post mortem dell'attacco, ci rendiamo conto di due accorgimenti che la Toyota avrebbe potuto e dovuto implementare, come effettivamente ha fatto poi in seguito, per evitare il furto. Innanzitutto avrebbero dovuto implementare sistemi di autenticazione a più fattori per l'accesso agli indirizzi mail. Il criminale aveva pieno accesso a tutte le caselle di posta pur essendo dotato solo di un indirizzo e della password. Password. Con un sistema di autenticazione a più fattori, che sono quelli ad esempio con cui si manda una notifica sul cellulare del proprietario della casella per autorizzare l'accesso, l'hacker non sarebbe riuscito a entrare. Inoltre, dopo l'attacco di marzo, avrebbero dovuto cambiare tutte le credenziali di accesso, anche se in realtà questo non lo conto come accorgimento perché non è chiaro quando l'azienda abbia effettivamente preso conoscenza di questo furto di dati. Ma la cosa in assoluto più banale era fare un controllo incrociato con il fornitore al momento della richiesta pagamento. Se un fornitore con cui l'azienda si interfaccia spesso cambia improvvisamente l'IBAN, deve esserci una policy che prevede che il dipendente, prima di autorizzare il pagamento, quantomeno chiami il fornitore per chiedere conferma delle nuove coordinate bancarie. In questo caso un altro fattore importantissimo per la riuscita dell'attacco è stato il tempo. Non è un caso che la mail, che probabilmente era pronta da settimane, sia stata inviata proprio in piena estate e il giorno prima di Ferragosto, quando i dipendenti sono più stanchi, hanno una sorta ha le latenze più basse e pensano solo alla grigliata del giorno dopo. Yes, se ve lo state chiedendo, sì, anche in Belgio festeggiano il Ferragosto. Se in questo contesto arriva una mail a un dipendente, mail che apparentemente pienamente legittima, che insiste per un pagamento rapido, magari proprio perché giorni seguenti la filiale sarebbe stata chiusa, è normale che il dipendente chiuda un occhio davanti agli aspetti strani della mail e autorizzi velocemente il pagamento? Comunque la Toyota ha imparato subito la lezione. Entro 6 mesi dall'attacco l'azienda ha implementato nuove misure di sicurezza come ad esempio la conferma telefonica per qualsiasi modifica alle coordinate bancarie, l'autenticazione a più fattori su tutti gli account aziendali e soprattutto una formazione anti-phishing con simulazioni per i dipendenti. Questo perché anche se l'azienda si dota di strumenti di sicurezza avanzati, il fattore umano rimane sempre l'anello debole. Come dimostrato dall'attacco, non esiste un sistema automatico che possa sostituire innanzitutto la necessità che i dipendenti adottino una mentalità di sospetto nei confronti di ogni richiesta anomala, e in secondo luogo la formazione continua per far fronte a minacce che diventano sempre più sofisticate. Bene, se questa storia ti è piaciuta lascia un like e iscriviti al canale. Ci vediamo la prossima settimana con nuovi video.