Phishing: la sottrazione di informazioni nel web.

Uno dei fenomeni potenzialmente dannosi, assieme alla trasmissione di virus, nel web.

Cos'è di preciso il phishing?
Il Phishing è una sottrazione indebita di dati. Proviene da "fishing" (pescare) che indica il meccanismo di chi lancia un'esca appetitosa alla quale far abboccare una preda e agganciarla con un amo o una trappola.
I dati personali sono protetti dalla privacy (nome, cognome, residenza, e-mail, numero di cellulare, stato civile, ecc...), ma non solo questi sono dati che possono essere rubati tramite il phishing, infatti anche password e identità virtuali possono essere rubate.

Furto d'identità?
Il furto d'identità è un reato, è spacciarsi per qualcuno realmente esistente ma non esserlo. Una volta che una identità viene rubata chi ne entra in possesso può sfruttarla per fare pagamenti, commettere reati o azioni sanzionabili lasciando che le colpe ricadano sulla identità rubata.
Nel web rubare una identità virtuale è più semplice rispetto alla realtà; anche se ogni giorno soprattutto gli istituti di credito cercano di migliorare la sicurezza delle transazioni on-line e le identità vengono verificate più volte.

Come si può rubare una identità?
Se pensiamo semplicemente a un codice fiscale italiano basta sapere nome, cognome, data e luogo di nascita per ottenere un codice fiscale valido riconducibile a una persona. Oggi con il codice fiscale si possono eseguire diverse operazione, dall'acquisto di farmaci alla richiesta di documenti o alla intestazione di aziende o beni. Chi ruba una identità vule solo eseguire una operazione senza che essa possa essere riconducibile a lui. Spesso sono azioni illegali.

Quali sono i dati che possono essere rubati?
Tutti i dati che un utente inserisce cadendo in una trappola di phishing vengono rubati, per poi essere utilizzati a sua insaputa:
Nome e Cognome più data e luogo di nascita per un codice fiscale.
Username e password di un home-banking per accedere ai conti personali.
E-mail che congiuntamente al codice fiscale permettono di intestare domini o eseguire acquisti via internet.
Numeri di carta di credito.
Numeri di assicurazione.
Numero di targa di veicoli.
Stato di famiglia.

Come funziona il phishing?
Solitamente il phishing iniza attraverso uno spam che non viene bloccato, messaggi di posta elettronica che fanno leva su sentimenti istintivi che allarmano l'utente e lo spingono nella trappola. Solitamente chi costruisce un boccone appetibile di phishing fa leva su allarmi o sentimenti:
comunicazioni della banca riguardo nuove impostazioni, comunicazioni che la carta di credito è stata bloccata o utilizzata, finti avvisi di pagamento, adescamenti sessuali o di vincite inesistenti... finti messaggi che vogliono attirare l'utente in un sito trappola.
La trappola è di solito un sito, ben costruito, che da la parvenza di un sito professionale e spesso è un clone modificato di un sito reale. Possono essere riproduzioni di siti di istituti bancari, della posta, di carte di credito, di appuntamenti, di social network...
Una volta che l'utente è attirato in trappola gli viene chiesto di confermare, annullare, modificare, sottoscrivere inserendo i propri dati (nome, cognome, data di nascita, nome utente e password, numero di carta di credito, numero di assicurazione o di targa di un veicolo, ecc...).
A questo punto il sito trappola raccoglie e registra i dati, visualizza un messaggio che tranquillizza l'utente ("la sua sottoscrizione è andata a bon fine", "la sua carta è stata sbloccata", ecc...) per evitare che l'utente si insospettisca e prenda provvedimenti per bloccare il processo.
In fine l'utente viene reindirizzato sul sito reale (dell'istituto di credito, delle poste, della carta di credito, ecc...) per convincerlo che tutto è a posto e così renderlo ignaro della sottrazione di dati avvenuta.

Come difendersi?
Una regola importante è trattenere la propria curiosità e non allarmarsi. Le comunicazioni dagli istituti di credito avvengono solo all'interno delle aree protette di home bankling (dopo avere immesso username e password sul sito originale dell'istituto). Così avviene anche per le carte di credito. Se si è nel dubbio tutte le banche o chi fornisce carte di credito ha un numero di telefono per i clienti pronto a rispondere a ogni domanda.
Diffidate sempre dagli indirizzi che non conoscete.
Diffidate sempre da messaggi scritti in italiano non corretto.
Diffidate sempre da messaggi che richiedono l'inserimento di username e password e controllate sempre di essere nel sito giusto, nel dominio originale.
Diffidate da comunicazioni di notizie importanti, solitamente tali notizie non vengono inviate via e-mail.
Non agite d'istinto e raccogliete informazioni per altre vie (una telefonata di verifica è sempre buona cosa).
Diffidate dai link presenti all'interno delle e-mail provenienti da indirizzi che non conoscete.
Diffidate dagli allegati alle e-mail provenienti da indirizzi che non conoscete.
Cercate di verificare se le informazioni nelle e-mail sono vere; se non potete appurare la verità non procedete oltre solo in base a ciò che è scritto nel messaggio.
Diffidate da messaggi che promettono forune inaspettate, vincite, blocco di carte di credito, facili incontri, vantaggi gratuiti.

Quali sono i tipi di messaggi di phishing?
Non vi sono purtroppo limiti; dalle più classiche comunicazioni da banche o istituti di credito, alle comunicazioni della posta; dalle vincite inaspettate in concorsi mai sentiti a fantomatici problemi di accesso o database rinnovati. Purtroppo si sono visti anche phishing legati a messaggi umanitari o di aiuto a persone che soffrono; messaggi che si sono rivelati fasulli solo per raccogliere dati.
La maggior parte di phishing si concentrano su operazioni finanziarie o legate al denaro, ma esistono anche phishing per il solo furto di identità che poi vengono utilizzati per truffe o reati informatici.

"Errore della banca a vostro favore" esiste solo nel Monopoly; i creatori di phishing sono sempre molto attivi e pieni di fantasia, è bene sempre avere un approccio critico e ragionato ai messaggi provenienti dalla rete per evitare di cadere vittime del phishing.