{"id":2184,"date":"2018-01-27T08:30:24","date_gmt":"2018-01-27T07:30:24","guid":{"rendered":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/?p=2184"},"modified":"2020-12-27T15:13:01","modified_gmt":"2020-12-27T14:13:01","slug":"tentativo-di-phishing-come-scoprire-se-il-sito-e-contraffatto","status":"publish","type":"post","link":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/tentativo-di-phishing-come-scoprire-se-il-sito-e-contraffatto\/","title":{"rendered":"Tentativo di phishing (come scoprire se il sito \u00e8 contraffatto)"},"content":{"rendered":"\n

Come tutti voi anche io sono bersaglio quotidiano di un qualsiasi tentativo di phishing e mi arrivano decine di email ma oggi vediamo come scoprire se l’url del sito su cui vieni rimandato dal link presente nell’email \u00e8 contraffatto.<\/p>\n\n\n\n

Avevo illustrato tempo fa l’analisi di un’email reale di PayPal per compararla alle tante email di phishing PayPal che circolano e per cercare di capire il metodo da usare per distinguere le une dalle altre.<\/p>\n\n\n\n

Compariamo ora invece un’email reale di CheBanca giratami da un amico, e un’altra email di phishing con un altro link e vediamo le differenze per cercare di illustrare la metodologia che uso anche io per capire se un’email e il relativo sito sono legittimi o contraffatti<\/strong>.<\/p>\n\n\n\n

Analisi di un’email legittima e reale di CheBanca<\/h2>\n\n\n\n

L’email arriva da CheBanca <no-reply@chebanca.it><\/em> che \u00e8 del tutto regolare ma non \u00e8 indice di email reale perch\u00e9 sai bene che il mittente pu\u00f2 essere contraffatto, e non \u00e8 il caso qui che ti spieghi come controllare l’header del messaggio di posta elettronica per capire meglio da dove effettivamente arrivi.<\/p>\n\n\n\n

Ecco come appare nel tuo client di posta elettronica<\/p>\n\n\n\n

\"email<\/figure><\/div>\n\n\n\n

Procediamo nell’analisi.<\/p>\n\n\n\n

  1. Hai visto che il mittente \u00e8 normale ma ha poco valore.<\/li>
  2. Il testo \u00e8 normalissimo testo e non un’immagine, e questo \u00e8 un ottimo indice.<\/li>
  3. Il testo \u00e8 scritto in un italiano assolutamente corretto. Non ci sono errori sintattici o grammaticali. Ottimo indice.<\/li>
  4. La comunicazione non contiene minacce o informazioni di attacchi al tuo account, non ti dicono che devi verificare questo o quello. Si tratta di una normalissima comunicazione da parte della banca.<\/li>
  5. Le icone delle APP e dei social sono tutte funzionanti e portano ai link corretti. Poca rilevanza ma da tenere in considerazione.<\/li>
  6. Nella comunicazione viene spiegato tutto quello che devi sapere. C’\u00e8 un link ma non \u00e8 necessario seguirlo a meno che tu non voglia altre informazioni.<\/li>
  7. Se clicchi sul link vai a finire sul sito reale di CheBanca che \u00e8 chebanca.it<\/strong> e non su un sito con un’url differente o con un altro dominio.<\/li>
  8. Se cerchi su Google il termine “Che Banca” o “CheBanca” capisci che il sito reale \u00e8 chebanca.it e non un altro.<\/li>
  9. Il link, cosa importante, porta al sito chebanca.it e non a una sua sottopagina o sezione strana. Probabilmente dovrai fare il login e poi andare nell’area delle comunicazioni tra te e la Banca, se hai un conto ovviamente, e vedrai questa informativa.<\/li><\/ol>\n\n\n\n

    Posso quindi ritenere che l’email sia vera e legittima e, se proprio non mi fido, invece di cliccare il link, apro una nuova finestra nel browser e batto l’indirizzo del sito CheBanca per entrarci.<\/p>\n\n\n\n

    Analisi di un’email di phishing<\/h2>\n\n\n\n

    Prendo in esame una delle tantissime che circolano e che tentano di fare phishing su Nexi.<\/p>\n\n\n\n

    L’email arriva da Nexi S.p.A – Informazioni utenze <info@fenyokert.com><\/em> e mentre la prima parte potrebbe essere vera, la seconda sicuramente non lo \u00e8 perch\u00e9 il dominio fenyokert.com non \u00e8 sicuramente un dominio di Nexi o CartaS\u00ec.<\/p>\n\n\n\n

    Primo bruttissimo segno.<\/p>\n\n\n\n

    Ecco l’email<\/p>\n\n\n\n

    Gentile titolare,<\/p>

    La informiamo che la sua utenza verr\u00e1 disabilitata per motivi amministrativi in data 15\/01\/2018.
    Per evitare che la sua utenza venga disabilitata lei deve aggiornare i suoi credenziali.
    Per completare la procedura di aggiornamento cliccare il link sottostante.<\/p>

    hxxps:\/\/www.nexi.it\/utenze\/login\/aggiornamento_credenziali?3080338930<\/p>

    Email inviata automaticamente per favore non rispondere a questa email.<\/small>
    In caso di utenza gi\u00e0 disabilitata ci scusiamo per l’eventuale disagio creato.<\/small>
    Nexi S.p.A \u00a9 2018 – Reparto: Utenze & Sicurezza.<\/small><\/p><\/blockquote>\n\n\n\n

    1. In primis l’email contiene gi\u00e0 la solita minaccia di disabilitazioni e problemi vari. Non \u00e8 una semplice comunicazione.<\/li>
    2. Poi mi dicono che la mia utenza verr\u00e0 disabilitata senza neanche una motivazione, e gi\u00e0 questo \u00e8 assurdo ed \u00e8 un segno parecchio strano.<\/li>
    3. L’italiano non \u00e8 corretto a livello sintattico – lei deve aggiornare i suoi credenziali<\/em>.<\/li>
    4. Al limite dovrei controllare le mie credenziali; perch\u00e9 invece mi dicono di aggiornarle?<\/li>
    5. Se il link fosse vero sarebbe al sito nexi.it<\/em> e non a una sua sottopagina perch\u00e9 prima dovrei fare il login e poi eventualmente aggiornare i miei dati. Qui invece ti dicono di andare a una pagina strana con quei numeri alla fine che non vogliono dire nulla e sono messi l\u00ec solo per fare scena.<\/li>
    6. Il sito reale di Nexi \u00e8 nexi.it<\/em> ma curiosamente quando clicchi sul link succede una cosa strana. Prima atterri sul sito h**p:\/\/nexi-online.it\/<\/em> – che \u00e8 assolutamente fasullo – e subito dopo vieni portato a un altro sito dall’url quantomeno ridicolo come
      h**p:\/\/nexi-online-privati-aggiornamento-credenziali-utenze3.otzo.com\/verificaonline\/gtwpage\/index.php<\/em>
      Se non bastassero gli altri questo \u00e8 il segno definitivo che \u00e8 un tentativo di phishing. Vediamo perch\u00e9 analizzando l’indirizzo.<\/li><\/ol>\n\n\n\n

      Se hai letto qualcosa dell’articolo che ho scritto su come si legge un dominio internet, avrai gi\u00e0 capito che il dominio reale dell’indirizzo di cui sopra \u00e8 otzo.com<\/em> perch\u00e9 tutto quello che c’\u00e8 prima \u00e8 un dominio di terzo livello di otzo.com.<\/p>\n\n\n\n

      \u00c8 come se io facessi un terzo livello di tuttosullapostaelettronica.it<\/em> e lo chiamassi nexi<\/strong>.tuttosullapostaelettronica.it<\/em> o aggiornamento-credenziali<\/strong>.tuttosullapostaelettronica.it<\/em>.<\/p>\n\n\n\n

      Potrei farlo tranquillamente ma il dominio rimarrebbe sempre tuttosullapostaelettronica.it<\/em>. Il fatto che si usi un terzo livello \u00e8 perch\u00e9 si cerca di trarti in inganno facendoti leggere qualcosa che possa somigliare a quello che ti stanno chiedendo.<\/p>\n\n\n\n

      In fondo la gente non sta a guardare troppo i particolari e i delinquenti giocano su questo.<\/p>\n\n\n\n

      Approfondimenti<\/h4>\n\n\n\n