Phishing: non tutte le connessioni che iniziano per “https” sono sicure

Tra i consigli che aiutano ad identificare le e-mail di phishing spesso si dice di controllare che i link si riferiscano a connessioni sicure (SSL) ma non è sempre chiaro come possiamo esserne sicuri al 100%.
Una connessione protetta si riconosce prima di tutto dalla presenza della sequenza di caratteri “https://” alla sinistra dell’indirizzo internet ma questo non offre alcuna garanzia.
Infatti un indirizzo che apparentemente inizia per https:// può nascondere un indirizzo non protetto; abbiamo già visto molti casi in cui l’indirizzo visibile non è quello a cui in realtà ci si collega.
Quindi, se ormai avete cliccato, controllate anche l’indirizzo riportato in alto nel vostro browser: se questo non inizia per https:// allora sicuramente siete finiti in una connessione non protetta.

Ma anche questo non basta.

Una connessione di tipo protetto è caratterizzata in linea di massima da due aspetti:
1) I dati che viaggiano tra il browser ed il server sono criptati
2) L’identità del server viene garantita tramite un certificato rilasciato dalla cosiddetta Autorità di Certificazione (CA).

E’ bene sapere però che chiunque può allestire un web server per connessioni SSL e costruirsi ‘in casa’ il cerificato senza ricorrere ad una CA esterna.
In questo caso il browser visualizzerà al momento della connessione un cosiddetto “Avviso di protezione” con alcune avvertenze.
Ad esempio con Internet Explorer avremo un messaggio del tipo:

Nella frase identificata dal punto esclamativo giallo si dice in sostanza che il sito ha sì una connessione SSL ma la CA non può essere elencata tra quelle i cui certificati vengono installati per default con IE.
Quindi la scelta se considerare o meno il sito attendibile è lasciata al navigatore!.
Rispondendo SI la connessione ‘SSL’ può avvenire tranquillamente ma nulla ci dice che il sito è effettivamente sicuro.

Riassumendo: attenzione all’indirizzo nel browser ma anche ad eventuali avvisi o messaggi di protezione al momento della connessione.

Ecco un esempio di phishing che tenta di ingannare l’utente lasciandogli intendere che si tratta di una connessione sicura.

Questa e-mail è phishing

Cagliari, Roma e Milano nella top ten dei siti phishing (www.01net.it)

Il semestrale rapporto Internet Security Threat di Symantec evidenzia la natura criminale degli odierni attacchi informatici con obiettivo il furto di dati personali. Cagliari, Roma e Milano nei primi posti tra le città europee con il maggior numero di siti di Web phishing.

Oggi gli hacker sono veri criminali, che compiono attività principalmente finalizzate al furto di contanti e dell’identità digitale.

Ad affermarlo è stato Antonio Apruzzese, direttore del Compartimento della Polizia Postale e delle Comunicazioni, che, durante la presentazione del semestrale report Internet Security Threat di Symantec, ha evidenziato come si sia passati dall’era del computer crime a quella del computer related crime: oggi i dispositivi informatici non sono altro che un mezzo per compiere alcuni dei più classici atti criminosi, come furti e truffe. “E attualmente le cifre coinvolte iniziano a essere davvero preoccupanti”.

D’altra parte, si tratta di un business di livello planetario che offre grandi opportunità. Per questo motivo le applicazioni create per compiere frodi informatiche nell’ultima parte del 2007 hanno superano quelle “lecite”. Oggi si trovano kit, come Mpack, IcePack, Firepack, Adpack e Noesploit, a prezzi attorno ai 1.000 dollari che consentono di sviluppare abbastanza facilmente del malware.

 “Siamo nell’era del malware as-a-service”, ha commentato Elia Florio, supervisor del security response di Symantec. Il malware creato con tali kit ha come primo obiettivo il furto di informazioni personali.

A riguardo, esiste un mercato sommerso consolidato con un preciso tariffario: i dati più richiesti sono quelli relativi ai conti correnti bancari (22%), che possono avere un valore “commerciale” variabile da 10 a 1.000 dollari. Seguono i numeri di carta di credito, la cui richiesta è in netto calo (lo scorso anno è passata dal 22% del primo semestre al 13% del secondo semestre) e che valgono 0,40 dollari se venduti in quantità (si parla di stock di 500) e salgono a 20 dollari se venduti singolarmente.

Seguono poi le identità complete (nomi, indirizzi e numeri di previdenza si aggiudicano il 9% con un prezzo variabile tra 1 e 15 dollari), gli account di ebay (una new entry che esordisce con il 7% e un valore di 8 dollari ciascuno), scam, mailer, indirizzi di posta elettronica e le password delle e-mail.

Tutte le attività criminose hanno alla base una solida organizzazione, che si compone di alcune figure tecniche e di un più ampio numero di esponenti della criminalità organizzata tradizionale. Spesso sono create società ad hoc che agiscono dall’estero con basisti locali; gli autori del malware si organizzano in gang (sono un numero limitato) che operano per lanciare attacchi localizzati.

Il report di Symantec ha evidenziato che nell’ultimo semestre del 2007 si è avuto a livello mondiale un aumento del 136% nel malware (sono stati circa 500.000 i nuovi esemplari identificati) e il 68% delle minacce è stato indirizzato alle informazioni riservate, principalmente attraverso funzionalità di accesso remoto (86%) e logger da tastiera (76%).

Particolarmente attivo il phishing, che rispetto ai primi sei mesi del 2007 è cresciuto del 5% (i messaggi sono stati 207.547). I brand utilizzati per questo tipo di attacco sono stati nell’80% dei casi quelli del mercato finanziario. In questo settore, va sottolineato, che l’Italia si è particolarmente distinta nel gennaio 2008: è stata infatti oggetto del 45% degli attacchi che hanno utilizzato un linguaggio diverso dall’inglese.

 D’altra parte vantiamo un altro poco edificante successo: a livello europeo siamo molto ben posizionati in termini di Isp vittima di attività maligne e che quindi, loro malgrado, possono contribuire alla diffusione degli attacchi. La dimensione sempre più internazionale che hanno assunto Tiscali, Telecom e Fastweb ha fatto sì che Cagliari, Roma e Milano conquistassero rispettivamente la terza, la sesta e l’ottava posizione nella classifica delle città europee dov’è presente il maggior numero di siti di Web phishing e di computer infettati da bot.

Va comunque ricordato, ha sottolineato Symantec, che alla base del successo degli atti criminosi, ci sono spesso aziende o persone che involontariamente espongono i propri preziosi dati agli attacchi maligni perché non hanno eretto un’adeguata barriera protettiva.

Fonte: www.01net.it