Phishing, impersonazione e app false

Ogni segnale di fiducia si può copiare

Considera che cosa ti convince davvero che una pagina sia autentica: il logo, l'impaginazione, un lucchetto nella barra degli indirizzi, un badge di verifica, una posizione alta nei risultati di ricerca, un link condiviso in una comunità dall'aria ufficiale. Ognuno di questi elementi può essere riprodotto o acquistato da un aggressore, di solito a poco prezzo.

I risultati di ricerca sponsorizzati sono un canale di distribuzione ordinario, perché pagare per la prima posizione sul nome stesso di un wallet è legale ed efficace. Le schede negli store possono essere contraffatte. Le estensioni del browser possono imitare l'interfaccia di un wallet. I codici QR sono illeggibili per una persona, per costruzione, e possono puntare ovunque.

L'unico segnale costoso da falsificare è la destinazione stessa. La verifica deve quindi poggiare sul nome host esatto e sul modo in cui ci sei arrivato, non sull'aspetto della pagina. Leggi il dominio completo a partire dall'ultimo punto prima della prima barra: un sottodominio come esempio.com.aggressore.site appartiene ad aggressore.site. Sul telefono, dove la barra degli indirizzi tronca, toccala e leggi tutto.

La trappola della verifica

L'abitudine più importante di questa lezione sta in una frase: non verificare mai attraverso il canale che ti ha contattato. Chiedere al mittente se il link sia autentico, chiamare un numero fornito nel messaggio o cliccare su «contatta l'assistenza» nella pagina sospetta indirizzano tutti il controllo di nuovo verso l'aggressore.

Apri invece un percorso separato che controlli tu. Un segnalibro salvato in precedenza, l'app del fornitore che hai installato deliberatamente o un dominio che digiti tu dopo averlo verificato nella documentazione ufficiale. Poi confronta la richiesta esatta con quanto dice quel canale.

Le organizzazioni legittime non hanno bisogno della tua frase di recupero, di un codice monouso, del controllo remoto del tuo schermo o di un pagamento per mettere in sicurezza il tuo account. L'urgenza è una tecnica, non una prova: una scadenza reale sopravvive ai dieci minuti che servono per verificare, e all'aggressore serve che tu creda il contrario.

Proteggi i percorsi di recupero

Spesso gli aggressori non prendono di mira l'account direttamente. Prendono di mira l'indirizzo email che può reimpostarlo, il numero di telefono che riceve i codici o il backup su cloud che contiene lo screenshot di qualcosa di delicato.

L'account email collegato ai servizi finanziari merita perciò la protezione più forte di cui disponi: una password unica e un'autenticazione a più fattori resistente al phishing, invece degli SMS dove l'opzione esiste. I codici via SMS possono essere intercettati da chi convince un operatore telefonico a riassegnare il tuo numero, ed è una tecnica consolidata, non esotica. Dove un servizio offre una lista di indirizzi di prelievo autorizzati, attivala: così un accesso compromesso non può inviare fondi a un indirizzo nuovo senza un ritardo che noteresti.

Riduci il raggio dell'esplosione

Dai per scontato che prima o poi qualcosa passerà. Una buona progettazione della sicurezza limita ciò che un singolo errore può raggiungere, invece di presumere che nessun errore avverrà.

In pratica significa un wallet di basso valore per le applicazioni sconosciute, tenuto separato dalle disponibilità di lungo periodo; password uniche perché una violazione non si propaghi; e l'abitudine a scollegare i siti e a rivedere periodicamente le autorizzazioni, invece di accumulare permessi aperti all'infinito.

• Fermati appena senti fretta: l'urgenza è l'attacco.
• Apri un canale nuovo che controlli tu prima di verificare qualsiasi cosa.
• Leggi il nome host completo, soprattutto da telefono.
• Installa il software del wallet solo da una fonte che hai verificato in modo indipendente.
• Segnala l'impersonazione senza interagire oltre.