È in corso una campagna di phishing mirata prevalentemente alle pubbliche amministrazioni che sfrutta il servizio di form builder online, fornito dal sito formester.com, per orchestrare la truffa.

Come spiegano gli esperti del Cert-AgID, “è stata segnalata una campagna attiva mirata alle Pubbliche Amministrazioni italiane, con l’obiettivo di rubare le credenziali di accesso agli account di posta elettronica MS Outlook”.

Il phishing, lo ricordiamo, è una delle minacce più insidiose nel panorama della sicurezza informatica. Utilizzando tecniche di ingegneria sociale, gli attaccanti ingannano le vittime inducendole a fornire informazioni sensibili attraverso form online che sembrano legittimi. Questi moduli possono essere creati anche con facilità tramite servizi gratuiti di form builder mimetizzandosi da richieste ufficiali di aziende note o istituzioni finanziarie.

Gli attaccanti creano un modulo online che assomiglia a un servizio legittimo, come il login di una banca o il modulo di reset della password. Quando gli utenti inseriscono le loro credenziali su questi moduli, le informazioni vengono inviate direttamente agli attaccanti.

I dettagli del phishing per il furto di credenziali Outlook

Come riportato dai ricercatori del CERT-AgID, gli aggressori inviano e-mail fraudolente che promettono aggiustamenti salariali o accessi a buste paga elettroniche, inducendo le vittime a scaricare allegati con doppia estensione (.pdf.html) che conducono a pagine di phishing.

Per contrastare tali attività, il CERT-AgID ha condiviso con le Pubbliche Amministrazioni accreditate i relativi indicatori di compromissione per supportare le misure di difesa.

Prevenzione e difesa

Per difendersi dal phishing, è fondamentale educare gli utenti a riconoscere i segnali di allarme di un tentativo di phishing.

Ecco alcuni consigli:

1. Verificare sempre l’URL del sito web prima di inserire dati sensibili.
2. Non cliccare su link sospetti ricevuti via email o messaggi.
3. Utilizzare soluzioni di sicurezza che includono la protezione anti-phishing.
4. Essere scettici riguardo a e-mail che richiedono azioni immediate o contengono offerte troppo belle per essere vere.

Alcuni indizi possono aiutare a identificare un tentativo di phishing:

1. Errori grammaticali o di battitura nell’email o nel sito web.
2. URL che non corrispondono al nome dell’azienda legittima.
3. Moduli che richiedono una quantità eccessiva di informazioni personali.

Conclusioni

La lotta al phishing richiede un approccio multilivello che include tecnologia, educazione e vigilanza.

Mentre le soluzioni tecnologiche possono bloccare molti tentativi, l’educazione degli utenti rimane un aspetto cruciale per prevenire le truffe. Rimanere informati e cauti può fare la differenza nel proteggere le proprie informazioni personali dall’essere compromesse.