Ehilà, ma bentrovato! Come dici? Mi hanno arrestato? Beh, no, qui si parla di indagato per una serie di crimini che certamente sono importanti e che dovrebbero farmi finire al fresco per molto, moltissimo tempo, ma sono certo che se dessi retta al documento allegato e rispondessi al mittente, potrei cavarmela con qualche spicciolo, una sgridata e una pacca sulla spalla. Impazzito? Non più del dovuto, mai stato probabilmente sano del tutto, ma è solo un’introduzione a quello che è il “nuovo” (ormai in giro da un po’) giro truffa con pesca delle vittime a strascico.

Forze armate, crimini importanti, lettere di convocazione in PDF che riportano loghi che NON dovrebbero, addirittura in una di queste ci ho anche trovato una toppa anziché un’immagine pulita e originale del logo.

Tra BPM e RNDS

I primi non sono certo i Battiti Per Minuto che la fanno da padrone nelle tracce musicali, la seconda non è la sigla di una nota emittente italiana erroneamente scritta. Ora che abbiamo chiarito i fondamentali, posso dirti che si tratta di acronimi che identificano rispettivamente la “Brigata Protezione Minori” (che ho scoperto essere un organo realmente esistente in Francia, o almeno così scrivono qui) e il Registro Nazionale dei Reati Sessuali (e sì, hai fatto caso bene al fatto che non corrisponde neanche l’acronimo!), un qualcosa che – a meno di essere smentito da amici e lettori che lavorano nel settore – non mi pare ancora esista in Italia.

Ora, ricordi quel mio vecchio articolo che parlava di video compromettenti catturati mentre ti trastullavi durante la visione di filmati zozzi? È del 2019 e ha mietuto una quantità di vittime impressionanti, lo trovi ancora su questo blog: Di video compromettenti, riscatti Bitcoin e ondate di phishing.

In pratica è come essere tornati indietro nel tempo, aver compreso che toccare i tasti giusti (e non vale solo per noi italiani) può portare a dei risultati e – aggiungendo una sana dose di paura dovuta agli organi di Polizia chiamati in ballo – aver così deciso di miscelare sapientemente gli ingredienti ottenendo un tentativo di truffa “nuovo“, che possa fare la giusta breccia e portare così all’errore l’utente che si trova dall’altro lato del monitor. Ti propongo due banali esempi tra i tanti che abbiamo ricevuto in azienda, trovi i file originali in PDF qui (questo in realtà è arrivato come file immagine e l’ho trasformato io in PDF per tenerlo da parte) e qui:

Il suo successo è determinato perciò dal fatto che le potenziali vittime credano al contenuto del documento allegato, iniziando così una discussione con un soggetto terzo che di certo non appartiene alle forze dell’ordine citate nel documento. È nel corso di quella discussione che si arriverà poi a un’eventuale estorsione di denaro e/o furto di dati che potrebbe dare origine ad altri tipi di attacco.

Scoppia quasi la testa a pensare a quante vittime del primo attacco (quello del 2019) gli aggressori siano realmente riusciti a far scucire del denaro (per lo più obbligando l’acquisto di Bitcoin, oscillazioni di mercato comprese), e per lo stesso motivo mi fa paura – nonostante il web sia ormai pieno di avvisi, anche ufficiali (seppur su Facebook, cosa che fatica ad andarmi giù) – questa nuova pesca a strascico, lì fuori c’è una marea di gente poco esperta e che si può mettere in difficoltà con poco.

I documenti allegati a questo tipo di email sono scritti abbastanza bene, contengono pochi errori e potrebbero ingannare un occhio non esperto. L’email in sé non contiene alcun collegamento o malware, ed è il motivo principale per il quale l’email passa indenne al controllo di antispam e antivirus. Un dettaglio importante – basta farci caso – è l’indirizzo del destinatario che non compare mai “in chiaro“, nei campi A o CC, bensì all’interno del CCN, perché la stessa email arriva a centinaia di indirizzi contemporaneamente, partendo spesso da nuovi indirizzi mittenti di posta elettronica puliti, non ancora segnalati, quindi per ora funzionanti, quasi sempre su Gmail.

Sono quindi in arresto?

No. Magari però sei colpevole sul serio, in quel caso non sarò certo io a perdonarti, rivolgiti al direttore lassù in alto (e spera che le FdO non ti scoprano mai, sul serio, anche se io continuerò a sperare l’esatto contrario), dovrai solo ignorare l’email ed evitare di prendere contatti con il mittente che è in attesa che qualcuno abbocchi.

Vuoi comunque sentirti più tranquillo? D’accordo, ti ripropongo i passaggi che avevo già partorito nel 2019:

• Vuoi cambiare password? Non è necessario, ma fallo se ciò ti fa sentire più sicuro. Ti ricordo che sarebbe opportuno utilizzare password diverse per ogni servizio, non facilmente riconducibili a te, ma non necessariamente e/o per questo motivo troppo complesse, dai un’occhiata a questo mio vecchio articolo in merito. Se non sai come ricordarle tutte o come gestirle al meglio, ti consiglio di leggere L’ecosistema “KeePass based”: gestire password tra più sistemi. Rispetto al 2019 io posso dirti che nel frattempo sono diventato cliente “mai più senza” di 1Password.
• L’antivirus è cosa buona e giusta. A prescindere dalla tua scelta (vendor / prodotto), è sempre bene averne uno aggiornato e permettergli di effettuare scansioni complete programmate (quotidiane se possibile, settimanali come minimo). A questo puoi associare, nel caso già non lo facesse lui, un software antispam e uno antimalware (come MBAM), da utilizzare di tanto in tanto per capire se ci sono ospiti scomodi (anche se non troppo) a bordo della macchina. Ti interessa un mio articolo sul mondo Antivirus con consigli annessi? Me lo scrivi per cortesia nei commenti di questo articolo?
• Il browser è il centro della tua quotidianità. Non mi importa se sei pro o contro Firefox, se sei fanboy di Google o chissà quale altro prodotto, l’importante è utilizzare un browser costantemente aggiornato e sicuro, evita Internet Explorer e passa almeno al nuovo Edge (basato sul progetto Chromium, mi sta piacendo molto), proteggiti ulteriormente utilizzando componenti aggiuntivi che non permettono di essere tracciati durante la navigazione.

Letture e conclusioni

Ottenere il tuo indirizzo di posta elettronica e bersargliarlo con attacchi di questo tipo è cosa ormai assai semplice. Se non sei tu a inserirlo in moduli (e quindi database) facilmente attaccabili e dai quali ottenere informazioni facilmente rivendibili, saranno altri a farlo per conto tuo (senza necessariamente la tua autorizzazione). Esempi pratici di ciò sono quelli discussi da Troy Hunt quasi quotidianamente.

Ti ho parlato già in passato di strumenti come HIBP o Firefox Monitor, trovi qualche informazione in più in questo vecchio (ma ancora valido) articolo: Firefox Monitor ti avvisa in caso di furto credenziali.

In caso di dubbi, sai già cosa fare, l’area commenti è lì che ti aspetta.

#StaySafe

Immagine di copertina: Bermix Studio on Unsplash

Condividi l'articolo con i tuoi contatti: