Phishing: come funziona

Il phishing è una tecnica illegale, che si usa per rubare dati, informazioni e in generale l'identità di una persona, attraverso un semplice meccanismo di truffa telematica. Il termine stesso "phishing" deriva, con ogni probabilità, dal participio "fishing" del verbo inglese "to fish", pescare, ed esprime molto bene il sistema utilizzato in questo tipo di truffa informatica: far abboccare il pesce (ossia la vittima), usando come esca un'email, o un qualsivoglia avviso, dall'aspetto il più possibile ufficiale e credibile. Una tecnica in uso sempre più spesso anche sui social network, come Facebook. Ma vediamo nei dettagli come funziona.
Molti di voi, probabilmente, avranno ricevuto almeno una volta un'email dalla propria banca, oppure da PosteItaliane, o da una carta di credito (CartaSì, Visa, eccetera), in cui si chiedeva di confermare, aggiornare o modificare in qualche modo i propri dati di registrazione, attraverso un apposito link presente all'interno dell'email stessa. I motivi addotti possono essere i più vari e non starò qui a elencarli: il punto chiave è la richiesta di cliccare su un link, o su un pulsante, per accedere alla pagina da cui modificare i propri dati. Quel link è l'amo a cui si vuol far abboccare il pesce. Phishing.
Naturalmente, l'email avrà il logo ufficiale della banca di riferimento, oppure della carta di credito, o di qualsiasi altra cosa abbia usato come esca. Avrà anche un indirizzo molto simile a un vero indirizzo di quella banca, oltre a uno stile il più possibile ufficiale e credibile. Insomma, avrà tutto ciò che serve per convincere un utente distratto, o poco informato, che quella email è una cosa seria e proviene davvero dalla sua banca. Naturalmente non è così.
Anche la pagina a cui vi porterà il link è in tutto e per tutto simile a una pagina autentica, sempre per rafforzare l'inganno. La differenza è che, inserendo i vostri dati, voi non avrete accesso al sito della banca, della carta di credito o quant'altro: starete soltanto fornendo tutti quei dati alla persona che ha messo in atto il phishing e ha creato quella pagina finta. Non è difficile indovinare a cosa poi gli serviranno i vostri dati personali sul conto corrente o la carta di credito...
Il phishing funziona sfruttando la cosiddetta "ingegneria sociale", ossia una serie di tecniche che servono a indurre la vittima a fornirci le informazioni che ci interessano, senza chiederle espressamente e spesso senza che la vittima si accorga di averci fornito queste informazioni. Un modo raffinato di truffare, insomma, messo in opera sfruttando ingenuità, abitudini e altri elementi caratteriali della vittima stessa, usando le sue debolezze contro di lei.
Il phishing finalizzato al furto di denaro vero e proprio, di recente, è in calo rispetto al passato, sia perché molti degli attuali programmi di posta o browser ci permettono di difenderci meglio da email fittizie e link trappola, sia anche perché è aumentata l'informazione a riguardo e l'attenzione dei singoli utenti. O almeno, si spera che sia aumentata. Resta invece sempre attivo, e anzi in espansione grazie ai social network, un'altra forma di phishing, ossia il phishing orientato al puro furto di identità. In questo caso, la persona che mette in atto il phishing non cercherà di rubarci direttamente denaro, attraverso il nostro conto corrente o la nostra carta di credito, ma cercherà di sostituirsi a noi, usando la nostra identità nei siti che frequentiamo e anche in altri. Molto spesso, poi, ne approfitterà anche per rubare denaro, soprattutto se avrà ottenuto i dati dei nostri conti, ma questo è un passaggio successivo, una conseguenza naturale del furto di identità.
Anche in questo caso, il primo passaggio è spesso identico. Ci arriverà un'email da Facebook, o da un altro sito analogo, in cui ci si chiederà per qualche motivo di verificare il nostro account, se non vogliamo la sua cancellazione. Cliccando il link all'interno dell'email, poi, saremo portati in una pagina falsa per effettuare un login altrettanto falso, grazie al quale ci sarà rubata la password. In alternativa, come abbiamo già visto parlando dei viral script su Facebook, sarà una falsa applicazione a chiederci l'accesso a tutti i nostri dati personali, magari servendosi di un link pubblicato sulla nostra bacheca o sulla bacheca di un amico: tecnica diversa, risultato identico.
A questo punto, i nostri dati potranno essere utilizzati in vari modi, a seconda degli obbiettivi di chi li ha rubati: le due opzioni principali sono quella di rubare direttamente il nostro profilo, oppure di aprire un profilo clonato, in cui si spaccerà per noi, truffando magari i nostri amici, che scambieranno il clone per noi e si fideranno di lui. In questo modo, sarà possibile raccogliere sempre più dati personali di sempre più persone, fino a creare uan vera e propria rete di "cloni", coi quali potrà fare ciò che preferisce: vendere le informazioni personali ad altri, spesso per scopi di marketing, sarà soltanto la prima delle possibilità a sua disposizione.