Non so se ridere o piangere: per la prima volta mi vedo recapitare su 5 caselle di posta differenti un tentativo di phishing fatto davvero bene tranne che per qualche piccolo dettaglio (errori grossolani direi) che immediatamente mi ha fatto cestinare le prime due mail arrivate. Protagonista ancora una volta è Poste Italiane ma stavolta niente BancoPosta, si passa sulla PostePay, la carta ricaricabile.

Il contenuto della mail è il seguente:

Le confermiamo che l'operazione di ricarica della carta postepay,
richiesta in data 05/09/2008 alle ore 012.31.00, e' stata effettuata con
successo.
L'importo ricaricato e' stato addebitato sulla sua carta postepay.

Riepilogo informazioni ricarica carta postepay:
Importo ricaricato: 120,00
Commissioni: 1,00
Importo totale: 121,00

Se pensate che sia qualcosa male con la ricarica prego seguire il collegamento qui sotto ed anullare la transzatione
Accedi ai servizi online
La ringraziamo per aver scelto i nostri servizi.

Distinti Saluti
BancoPosta

Gli errori?

• la mail non è arrivata sull’account nomecliente.cognome@poste.it dove le Poste Italiane inoltrano tutte le comunicazioni che riguardano le operazioni fatte tramite il portale poste.it
• poste.it inoltra comunicazione iniziando sempre con “Gentile sig. NOME COGNOME del CLIENTE“ e non con un semplice “Gentile cliente“
• la data di ricarica viene indicata con la modalità americana mm/gg/aaaa anziché gg/mm/aaaa utilizzata da poste.it (modalità italiana)
• l’ora è alquanto improbabile a meno che non si parli di futuro, Star Trek o simili (quello zero di troppo prima del 12 è un errore che poste.it non commetterebbe in quanto utilizza un sistema automatico di tracciamento operazioni)

ed in particolare: la mail non finisce mai con un link allo sportello telematico ma semplicemente con “La ringraziamo per aver scelto i nostri servizi“. Ecco quindi che analizzando proprio l’ultimo paragrafo si notano gli errori grossolani:

• Errore di forma su “Se pensate che sia qualcosa male …”
• Errori di ortografia su “qui sotto ad anullare la transzatione“

Il link riporta alla pagina “zeltverleih-hochstein.de/bancopostaonline.poste.it/bpol/CARTEPRE/” attualmente -fortunatamente- inaccessibile. Firefox chiaramente riconosce il sito contraffatto:

A questo punto parte l’analisi dell’header:

Return-Path: <nonesecure@aol.com>
X-Original-To: info@extenzilla.org
Delivered-To: m6999862@spunkymail-mx10.g.dreamhost.com
Received: from server1037.isdg.de (server1037.isdg.de [217.114.219.163])
(using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
(No client certificate requested)
by spunkymail-mx10.g.dreamhost.com (Postfix) with ESMTP id 62D78FE19
for <info@extenzilla.org>; Fri,  9 May 2008 07:41:29 -0700 (PDT)
Received: from User (adsl-065-015-027-248.sip.mia.bellsouth.net [65.15.27.248])
(authenticated bits=0)
by server1037.isdg.de (8.12.11.20060308/8.12.11) with ESMTP id m49Ebsha031948;
Fri, 9 May 2008 16:37:56 +0200
Message-Id: <200805091437.m49Ebsha031948@server1037.isdg.de>
From: "BancoPosta Postemail" <nonesecure@aol.com>

Si nota quindi che:

• il reale mittente è probabilmente un utente che non ha nulla di meglio da fare con la sua connettività at&t (adsl-065-015-027-248.sip.mia.bellsouth.net)
• ha usato un server con dominio tedesco per mandare la mail (server1037.isdg.de)

Alla pagina aboutus.org/Isdg.de sarà possibile trovare ulteriori informazioni sul server e sul reale proprietario che quasi certamente è all’oscuro di tutto.

Come sempre, state attenti!

Nuova truffa, stesso obiettivo: clienti di Poste Italiane e utenti inesperti in generale. A distanza di pochissimo tempo dall’ultimo caso di phishing ecco arrivare la nuova mail contenente grossolani errori di forma ed un indirizzo di partenza alquanto ridicolo: polizia@postale.it (notare che il sito postale.it non c’entra assolutamente nulla con la vera Polizia).

Gentile Cliente,
Nell'ambito delle misure di sicurezza da noi adottate, controlliamo costantemente le attività del sistema. Durante una recente verifica, abbiamo rilevato un problema riguardante il tuo conto.
Attività insolite del conto hanno reso necessaria una limitazione dell'accesso al conto fino a quando non verranno raccolte ulteriori informazioni di verifica.
Abbiamo deciso di limitare l'accesso al tuo conto fino a quando non verrà completata l'implementazione di misure di sicurezza aggiuntive.
Per controllare il tuo conto e le informazioni che Poste italiane ha utilizzato per decretare di limitare l'accesso al conto, visita il link qui sotto:
https://www.poste.it/online/personale/login-home.fcc?VERIFICA

Se, dopo aver controllato le informazioni sul conto, desideri ulteriori chiarimenti riguardo all'accesso al conto, contatta in nostro sito utilizzando il modulo Contattaci nell'Aiuto.
Nel ringraziarti per la collaborazione, ti ricordiamo che questa è una misura di sicurezza il cui scopo è quello di garantire la tutela degli utenti e dei conti.
Ci scusiamo per gli eventuali disagi.
Cordiali saluti,
Assistenza clienti Poste italiane
----------------------------------------------------------------
© Poste italiane 2007. Tutti i diritti riservati.

Ho volutamente disattivato il link contenuto nel testo in quanto questo puntava a bancopostaonline.mify.net/entra.php, pagina appositamente realizzata per raccogliere le credenziali delle vittime cadute nella trappola.

Gli errori da notare:

• l’oggetto della mail è privo di senso: “Nell’ambito delle misure di sicurezza da noi adottate“.
• “un problema riguardante il tuo conto“: le comunicazioni ufficiali di Poste Italiane riportano sempre e comunque la terza persona. Al cliente viene dato del “lei“.
• ripetizione di conto / limitazione / nuove misure di sicurezza: basterebbe un’unica frase ben impostata ma viene ripetuta per ben 3 volte la stessa cosa utilizzando parole identiche poste in differenti modi.
• “contatta in nostro sito“: tipica traduzione da Google Translate o simili. Se provate a leggere bene la frase noterete che è priva di senso logico.

Ancora una volta l’errore più grosso è sempre lo stesso: Poste Italiane (così come qualsiasi altro istituto bancario italiano) non richiederà mai la conferma delle proprie credenziali con una mail. Se necessario (mai fino ad ora) invierà comunicazione scritta a mezzo posta ordinaria.

Qui di seguito il reale header della mail con tanto di indirizzo e server di partenza:

From - Thu Dec 20 16:45:31 2007
X-Account-Key: account4
X-UIDL: UID3854-1086362196
X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
X-Mozilla-Keys:
Return-Path:
Delivered-To: ilgiova@email.it
Received: from localhost (smtp-in06.email.it [127.0.0.1])
by smtp-in06.email.it (Postfix) with ESMTP id EE6A444018
for ; Thu, 20 Dec 2007 06:25:15 +0100 (CET)
X-Virus-Scanned: amavisd-new at email.it
X-Spam-Score: 4.519
X-Spam-Level: ****
X-Spam-Status: No, score=4.519 tagged_above=3 required=7 tests=[AWL=-0.773,
DATE_IN_PAST_03_06=0.478, HTML_10_20=1.351, HTML_MESSAGE=0.001,
MIME_HEADER_CTYPE_ONLY=0, MIME_HTML_ONLY=0.001, NO_REAL_NAME=0.961,
RAZOR2_CF_RANGE_51_100=0.5, RAZOR2_CF_RANGE_E4_51_100=1.5,
RAZOR2_CHECK=0.5]
Received: from smtp-in06.email.it ([127.0.0.1])
by localhost (smtp-in06.email.it [127.0.0.1]) (amavisd-new, port 10024)
with LMTP id l6ms6TFDq-qO for ;
Thu, 20 Dec 2007 06:25:15 +0100 (CET)
Received: from mail2.kitz.net (217-14-229-34.users.kitz.net [217.14.229.34])
by smtp-in06.email.it (Postfix) with SMTP id A3A9044015
for ; Thu, 20 Dec 2007 06:25:15 +0100 (CET)
Received: (qmail 25588 invoked by uid 0); 20 Dec 2007 02:24:12 -0000
Date: 20 Dec 2007 02:24:12 -0000
Message-ID:
To: ilgiova@email.it
Subject: Nell'ambito delle misure di sicurezza da noi adottate.
From: polizia@postale.it
Content-Type: text/html
X-Antivirus: avast! (VPS 071219-0, 19/12/2007), Inbound message
X-Antivirus-Status: Clean

Riepilogo:

• la mailbox di partenza è un fake, non è stato coinvolto in nessun caso postale.it
• server di partenza: mail2.kitz.net (217-14-229-34.users.kitz.net)
• ip: 217.14.229.34
• whois del dominio: disponibile cliccando qui

Il sito al quale si viene rediretti in caso di click sul link è ora irraggiungibile. Se usate Firefox noterete l’avviso di sicurezza che vi invita ad abbandonare il sito contraffatto. Qui di seguito voglio comunque proporvi le solite informazioni riguardanti la registrazione del dominio:

Registrant:
none
Crone Ave
Anaheim, California 92800
United States
Registered through: GoDaddy.com, Inc. (http://www.godaddy.com)
Domain Name: MIFY.NET
Created on: 21-Apr-03
Expires on: 21-Apr-13
Last Updated on: 01-Nov-05
Administrative Contact:
O, M -NO.SPAM
none
Crone Ave
Anaheim, California 92800
United States
9876543 Fax --
Technical Contact:
O, M -NO.SPAM
none
Crone Ave
Anaheim, California 92800
United States
9876543 Fax --
Domain servers in listed order:
NS1.MIFY.NET
NS2.MIFY.NET

La home page contiene solo due link che puntano a siti in giapponese (credo), funzionanti e che hanno ben poco a che fare con le truffe online.

La raccomandazione è sempre la stessa: STATE ATTENTI.

gen|ti|léz|za – www.demauroparavia.it/47945
s.f.
AU
1 l’essere gentile; indole, carattere gentile: comportarsi con g., g. d’animo
2 azione, parola, modo gentile, cortesia: fare una g. a qcn., usare gentilezze

Due giorni fa mi hanno finalmente consegnato il pro|SERIES® Audio Switch che avevo ordinato la settimana scorsa. Velocità e imballaggio favolosi, fortunatamente. Perchè fortunatamente? Semplice. Come nel più banale dei casi, ancora una volta le Poste Italiane hanno dimostrato di essere degli incompetenti di prima categoria.

Mio babbo è tornato a casa e ha visto questo pacco letteralmente buttato a terra, vicino al portone di casa, con la lettera allegata a mio nome (con dentro la fattura di Skype). La cosa che più mi fa incazzare? Ciascuna famiglia del condominio ha a disposizione una buchetta per la posta particolarmente capiente. Sopra le buchette, per la roba che non ci dovesse stare, c’è un poggiapacchi più spazioso. Si potrebbe mettere qualsiasi cosa li sopra e chiunque passi dal portone, sarebbe in grado di vedere a chi appartiene il pacco e metterlo almeno dentro le scale.

Se vogliamo proprio essere puntigliosi, basterebbe suonare alla signora del primo piano (la gentilissima Maria) che ha sempre ritirato per me i pacchi (solo quando il corriere suona), dandomeli poi la sera quando torno a casa… ma lasciamo stare.

Fortunatamente il pacco è intero e lo switch sembra essere intatto (devo ancora provarlo). *Fanculo* ai postini incapaci.