Phishing, Vishing, Smishing e MITB
Cos'è il Phishing?
I malfattori, attraverso messaggi di posta elettronica che simulano una comunicazione inviata dalla banca, invitano l'utente a collegarsi a SCRIGNOInternet Banking attraverso un link, che in realtà punta ad un sito clonato, allo scopo di richiedere i codici di sicurezza ed utilizzarli per scopi fraudolenti. I truffatori possono anche richiedere all'utente di scaricare un file dannoso allegato alla mail. Il Phishing è una delle forme di frode digitale più utilizzate ed efficaci.
Cos'è il Vishing?
Significa Voice Phishing ed è una forma di truffa equiparabile al Phishing che viene effettuata mediante telefonate; i malfattori, fingendosi dipendenti della banca, invitano l'utente a fornire i propri dati o comunicare informazioni sensibili. La voce umana può essere sostituita da un messaggio preregistrato.
Consigli utili sul vishingCos'è lo Smishing?
Significa SMS Phishing ed è una forma di truffa equiparabile al Phishing che viene effettuata mediante SMS; i malfattori invitano l'utente a fornire i propri dati o comunicare informazioni sensibili attraverso un messaggio fraudolento simile a quelli inviati dalla banca.
Anche qui il passaggio di informazioni avviene attraverso un link o un file da scaricare sul proprio smartphone.
Cos'è il Man In The Browser?
Il MITB (Man In The Browser) è una tecnica per mezzo della quale i truffatori inoculano un malware all'interno del motore di ricerca, tramite estensioni o aggiornamenti che vengono proposti come necessari per poter proseguire la navigazione.
Alcuni consigli utili per alzare le difese contro le truffe informatiche
- È importante diffidare di email, telefonate o SMS in cui viene richiesto di comunicare le proprie credenziali di sicurezza (codice utente, PIN e OTP) e i codici OTP plus (che potrebbero essere utilizzati dai malfattori a tutti gli effetti per eseguire un bonifico). Spesso le email di phishing hanno un contenuto sgrammaticato e/o presentano evidenti errori di ortografia. Si raccomanda di non selezionare mai link contenuti in messaggi sospetti;
- Il dominio ufficiale della banca è solamente popso.it (ad esempio popso.it, popso.it/sicurezza, scrigno.popso.it). I link sospetti che rimandano a siti clonati utilizzano domini diverso da popso.it, dove la parola popso non compare o non è inserita nella posizione corretta (ovvero non si trova immediatamente prima di .it). Esempi di siti falsi sono altrodominio.it/sicurezza; popso.altrodominio.it; scrigno.popso.altrodominio.it/ihb/run
- Gli indirizzi di posta elettronica della banca sono riconoscibili dal dominio @popso.it (ad esempio noreply@popso.it, scrigno@popso.it). Gli indirizzi di posta elettronica contraffatti possono utilizzare altri domini nei quali la parola popso non compare oppure non è inserita nella posizione corretta (ovvero non si trova immediatamente dopo @ e prima del suffisso .it). Esempi di indirizzi email falsi sono popso.it@altrodominio.it, noreply.popso@altrodominio.it
È importante prestare attenzione alle tecniche di Social Engineering e ricordare che Banca Popolare di Sondrio non richiede MAI dati sensibili e credenziali di sicurezza a mezzo posta elettronica, chiamata telefonica o messaggi SMS. Segnali, attraverso i canali certificati di Banca Popolare di Sondrio, ogni presunta richiesta di informazioni da parte della banca.