Gli hacker continuano a lanciare campagne email di phishing per provare a sottrarre i dati dei conti correnti online a migliaia di utenti del Web. L’ultimo esempio di finta email riporta il logo dell’INPS ed è stata scoperta dal CSIRT, il Computer Security Incident Response Team che fa capo alla Presidenza del Consiglio dei Ministri.

Non si tratta di un messaggio curato al 100%, perché è molto incoerente e l’utente attento può accorgersi facilmente che si tratta di una email pericolosa, da cestinare subito. L’oggetto del messaggio, infatti, fa riferimento ad una fattura non pagata ma poi il testo parla di un rimborso da riscuotere. Il mittente dell’email imita l’Agenzia delle Entrate, ma poi nel corpo viene mostrato il logo dell’INPS. Di contro, però, il testo è in buon italiano e senza errori grossolani. Ciò potrebbe significare che dietro questo tentativo di phishing ci sono attori italiani, che stanno sfruttando indirizzi email già a disposizione per lanciare diverse campagne nel tentativo di carpire le informazioni per il login al conto corrente online.

Perché il finto messaggio INPS è pericoloso

Nonostante tutti questi limiti, il finto messaggio dell’INPS rappresenta un pericolo perché chi non è subito attento e clicca sul link inserito nel corpo viene portato ad un sito Web, con server in Russia, che imita bene quello dell’INPS.

Nel finto sito INPS l’utente trova un form da compilare per avere il rimborso (finto, ovviamente): nome, cognome, data di nascita, indirizzo e numero di telefono. A destra c’è il secondo form dove l’utente deve inserire i dati della carta di credito, compresa la scadenza e il CVV di sicurezza.

Come fanno gli hacker a sottrarre soldi all’utente

Il trucco degli hacker è semplice: con tutti i dati forniti dall’utente possono fare un pagamento con la carta indicata, su qualunque ecommerce. L’unico ostacolo è il codice OTP, cioè il secondo fattore di autenticazione richiesto dalla carta di credito per autorizzare il pagamento.

Per questo gli hacker mostrano all’utente una seconda schermata, nella quale viene chiesto di inserire il codice ricevuto sullo smartphone. Se l’utente lo fa, allora il gioco è fatto: gli hacker lo useranno per autorizzare la transazione e dalla carta verranno sottratti i soldi della vittima.