{"id":10329,"date":"2021-12-06T08:00:00","date_gmt":"2021-12-06T07:00:00","guid":{"rendered":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/?p=10329"},"modified":"2022-07-18T14:37:07","modified_gmt":"2022-07-18T12:37:07","slug":"come-identificare-il-phishing","status":"publish","type":"post","link":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/come-identificare-il-phishing\/","title":{"rendered":"Come identificare il phishing"},"content":{"rendered":"\n

Prendo come esempio un’email che mi \u00e8 recentemente arrivata per spiegare come riconoscere il phishing e perch\u00e9 la mancanza di attenzione \u00e8 fatale.<\/p>\n\n\n\n

Il mittente dell’email \u00e8<\/p>\n\n\n\n

cPanel on dominio.it cPanelondominio.it@cqeor.com<\/em><\/p>\n\n\n\n

e l’oggetto dell’email \u00e8<\/p>\n\n\n\n

[ dominio.it ] WARNING The domain “dominio.it<\/em>” has reached their disk quota<\/em>.<\/p>\n\n\n\n

e questa \u00e8 l’email che arriva<\/p>\n\n\n\n

\"un
un avviso falso di cpanel<\/figcaption><\/figure><\/div>\n\n\n\n

Se la paragoni all’avviso reale che vedi sotto, sono del tutto identici se non nella lingua, non discriminante, e in alcuni particolari minimi che possono anche passare inosservati come<\/p>\n\n\n\n

  1. il fatto che non venga menzionato il nome dell’utente sul server<\/li>
  2. lo spazio prima e dopo il nome a dominio<\/li><\/ol>\n\n\n\n

    Nota che il link che viene indicato \u00e8 differente da quello al quale vieni portato quando clicchi e di questa cosa, come segnalato tempo fa relativamente a Thunderbird e il riconoscimento del phishing, ti appare questo avvertimento<\/p>\n\n\n\n

    \"avvertimento
    avvertimento phishing di thunderbird<\/figcaption><\/figure><\/div>\n\n\n\n

    che ti avverte del fatto che stai cliccando su un link con un indirizzo (url) che non corrisponde a dove effettivamente verrai portato. \u00c8 un classico caso di link contraffatto che dice una cosa e ne fa un’altra.<\/p>\n\n\n\n

    Quando clicchi sul link infatti vieni portato a un dominio fatto apposta per sembrare reale, cio\u00e8<\/p>\n\n\n\n

    \"url
    url cpanel falso<\/figcaption><\/figure><\/div>\n\n\n\n

    che ti mostra questo pannello di login, assolutamente identico all’originale.<\/p>\n\n\n\n

    \"login
    login cpanel falso<\/figcaption><\/figure><\/div>\n\n\n\n

    Se inserisci i dati di accesso a Cpanel, li consegni nelle mani di chi non dovrebbe averli e a quel punto sei fregato.<\/p>\n\n\n\n

    Come riconoscere il phishing<\/p>\n\n\n\n

    In questo caso il processo che ho seguito dopo che mi \u00e8 venuto il dubbio, \u00e8 stato di controllare l’email del mittente che, nel caso di Cpanel dovrebbe essere composta da cpanel@nomedominio. Se il dominio fosse dominio.com, l’email sarebbe dovuta arrivare da cpanel@dominio.com<\/em> mentre qui invece il mittente \u00e8 cPanelondominio.it@cqeor.com<\/em> che non c’entra nulla n\u00e9 con CPanel n\u00e9 con il dominio in questione.<\/p>\n\n\n\n

    E questo \u00e8 stato il primo segnale di allarme.<\/p>\n\n\n\n

    Cliccando poi sui link sono finito a questo dominio<\/p>\n\n\n\n

    \"dominio<\/figure><\/div>\n\n\n\n

    che invece avrebbe dovuto essere <\/p>\n\n\n\n

    https:\/\/dominio.com:2083\/?goto_app=ContactInfo_Change<\/p>\n\n\n\n

    Capisco che questa sia una cosa molto tecnica e l’ho detto all’inizio. Se non hai un dominio e non usi Cpanel la cosa non ti tocca minimamente, ma proprio il fatto che sia rivolta a persone che si presume abbiano una conoscenza pi\u00f9 approfondita di queste cose<\/p>\n\n\n\n

    Come capire che questo \u00e8 un phishing?<\/h2>\n\n\n\n

    Innanzitutto diciamo subito che un’email del genere solitamente \u00e8 rivolta a chi ha un dominio registrato su internet e un sistema di gestione che si chiama appunto Cpanel.<\/p>\n\n\n\n

    Quindi non \u00e8 diretta a tutti, nel senso che se non hai un sistema del genere o un dominio registrato, molto probabilmente non ti arriver\u00e0 neppure.<\/p>\n\n\n\n

    Infatti qui siamo in presenza di una versione di phishing pi\u00f9 sofisticata, chiamata Spear Phishing, che non prende di mira chiunque indistintamente ma solo chi ha determinate caratteristiche.<\/p>\n\n\n\n

    Questa email mi \u00e8 infatti arrivata relativamente a un dominio che ho registrato e che utilizza Cpanel. Quando l’ho ricevuta sulle prime mi \u00e8 parsa reale, ma ho fatto mente locale e sapevo bene che su quel dominio era impossibile che ci fosse tutto lo spazio occupato, quindi mi sono fermato e ho analizzato la cosa pi\u00f9 approfonditamente.<\/p>\n\n\n\n

    E qui c’entra uno degli elementi su cui i criminali giocano, la fretta<\/strong>.<\/p>\n\n\n\n

    Se non mi fossi soffermato e avessi cliccato sul link, inserendo poi le credenziali di accesso, le avrei consegnate direttamente nelle mani del criminale<\/strong> che, a quel punto, avrebbe potuto fare quello che voleva con il mio dominio e con il mio sito, email e tutto quello che c’\u00e8 di collegato.<\/p>\n\n\n\n

    Gli elementi da tenere sotto controllo sono sempre gli stessi, il mittente dell’email e soprattutto il dominio.<\/p>\n\n\n\n

    Un avviso vero di Cpanel<\/h2>\n\n\n\n

    Supponendo che il dominio per il quale ti arriva l’avviso sia dominio.it<\/em>, questo arriva da<\/p>\n\n\n\n

    cPanel on dominio.it cpanel@dominio.it<\/em> e ha come oggetto<\/p>\n\n\n\n

    [dominio.it] Avviso sull\u2019utilizzo del disco: l\u2019utente \u201c****\u201d (dominio.it) ha quasi raggiunto la propria quota disco.<\/p>\n\n\n\n

    \"Un
    un avviso vero di cpanel<\/figcaption><\/figure><\/div>\n\n\n\n

    Che come vedi \u00e8 praticamente identico, se non in piccoli particolari, a quello fasullo solo che l’email \u00e8 scritta in italiano e non in inglese, ma questa non \u00e8 una discriminante sufficiente perch\u00e9 come vedi una parte dell’email reale \u00e8 in inglese.<\/p>\n\n\n\n

    Conclusioni sul riconoscimento del phishing<\/h2>\n\n\n\n

    Come ho detto, questo non \u00e8 phishing normale ma spear phishing perch\u00e9 prende di mira solo determinate persone e infatti mi \u00e8 arrivato sull’indirizzo email associato a quel dominio, e l’email riguardava lo stesso dominio quindi \u00e8 stato specificatamente mandato a me perch\u00e9 sapevano che io ero il proprietario di quel dominio (informazioni di pubblico dominio quindi nulla di segreto).<\/p>\n\n\n\n

    Se non fossi stato attento, ed \u00e8 facile che qualcuno che si consideri esperto prenda queste cose sottogamba, avrei regalato l’accesso al mio dominio e alle mie email al criminale di turno con conseguenze che posso solo immaginare.<\/p>\n\n\n\n

    Per questo motivo, tutte le volte che ricevi un’email con un link da cliccare, prima di farlo controlla quei due o tre elementi che ti possono fare capire se sei in presenza di un phishing o di un’email legittima. 30 secondi persi ma un sacco di problemi risparmiati!<\/p>\n\n\n\n

    Come fai a sapere quali sono quei 2 o 3 elementi da controllare?<\/p>\n\n\n\n

    Semplice, acquista il libro Manuale di Autodifesa Digitale e diventerai abilissimo nel farlo!<\/p>\n\n\n\n

    Approfondimenti<\/h4>\n\n\n\n