Gli account Microsoft sono al centro di una sofisticata campagna malevola utile alla sottrazione di denaro e dati sensibili. Ecco come funziona l’attacco e come difendersi<\/p>\n
Se siete in possesso di un account Microsoft<\/b>, pu\u00f2 capitare, di tanto in tanto, di ricevere email con codici monouso<\/b> utili ad effettuare l\u2019accesso al proprio profilo anche senza averlo richiesto<\/b>.\u00a0
Sono diversi i motivi per cui questo pu\u00f2 accadere. Il primo \u00e8 che qualcuno stia cercando di accedere al proprio profilo e, senza intenti malevoli, sbagli l\u2019indirizzo email e digiti (per una dimenticanza, un refuso o una similitudine) il nostro.\u00a0
Il secondo caso, invece, \u00e8 un po\u2019 pi\u00f9 inquietante. Ovvero l\u2019indirizzo email \u00e8 trapelato in una fuga di dati<\/b>\u00a0e i criminali informatici stanno cercando di accedere all’account collegato.<\/p>\n
Cosa sta succedendo<\/p>\n
Non \u00e8 tuttavia detto che si tratti di un attacco personale e mirato. Il pi\u00f9 delle volte si tratta di un fenomeno chiamato credential stuffing:\u00a0<\/b>un processo automatizzato attraverso il quale gli hacker provano ad accedere agli account mediante l\u2019utilizzo di credenziali e indirizzi email trovati online.\u00a0I tentativi vedono la combinazione dei dati affinch\u00e9 le coppie possano poi portare all\u2019accesso (o alla sottrazione) degli account. Ma cosa fare se si riceve un messaggio simile<\/b>? La risposta \u00e8 semplice: niente (o quasi).
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n<\/p>\n
Se l\u2019e-mail ricevuta \u00e8 autentica, non verr\u00e0 richiesta nessuna azione particolare. Si pu\u00f2 semplicemente cancellare il messaggio. Esiste per\u00f2 la possibilit\u00e0 che i criminali informatici stiano cercando di perpetrare un attacco pi\u00f9 sofisticato cos\u00ec da indurre la vittima a consegnare il codice monouso contenuto nel messaggio. Ad esempio con una telefonata.\u00a0
Quel codice non bisogna mai consegnarlo a nessuno<\/b>,\u00a0perch\u00e9 permette\u00a0di accedere ai propri spazi digitali. In genere viene richiesto per consentire l\u2019accesso dopo aver inserito la password, come sistema di sicurezza ulteriore, ed \u00e8 quello che si definisce autenticazione a due fattori<\/b>.<\/p>\n
Ma c\u2019\u00e8 anche la possibilit\u00e0 che i criminali informatici conoscano gi\u00e0 la password<\/b> e che l\u2019ultima barriera che ha impedito l\u2019accesso sia stata proprio l\u2019autenticazione a due fattori.<\/b>\u00a0
Per questo pu\u00f2 essere utile accedere al proprio profilo, cambiare la password<\/b> e verificare, dalla pagina Attivit\u00e0 recenti<\/b> su account.microsoft.com<\/b>, che non siano presenti tentativi di accesso non riconosciuti.<\/p>\n
L’altra possibilit\u00e0: la truffa<\/p>\n
Come di recente raccontato da Mashable<\/a>,\u00a0gli account Microsoft sono presi di mira anche per ulteriori truffe ai danni degli utenti.\u00a0L\u2019attacco \u00e8 sofisticato e viene perpetrato attraverso le funzionalit\u00e0 messe a disposizione dalla compagnia per creare versioni di prova gratuite registrate su domini Microsoft, come ad esempio\u00a0\u201conmicrosoft.com\u201d,\u00a0come spiegava lo scorso gennaio l\u2019agenzia di sicurezza informatica Abnormal<\/a>.<\/p>\n I criminali informatici utilizzano impropriamente gli spazi leciti forniti da Microsoft per portare avanti campagne malevoli. Dal pannello di controllo queste possono essere personalizzate, affinch\u00e9 nel testo della email che ricever\u00e0 l\u2019utente, possa apparire una richiesta per compiere un\u2019azione, come ad esempio accettare o rifiutare un pagamento<\/b>\u00a0(mai avvenuto) chiamando un numero di telefono <\/b>utilizzato dall\u2019aggressore.<\/p>\n Prima dell’invio, il malfattore acceder\u00e0 al pannello della funzionalit\u00e0 Security Info<\/b> di Microsoft <\/b>affinch\u00e9 vengano inviate alle vittime il codice monouso utile ad accedere ai vari account. La tecnica permetter\u00e0 dunque di inoltrare una email che sembrer\u00e0 lecita perch\u00e9 inoltrata da un dominio ufficiale di Microsoft. Il processo \u00e8 organizzato affinch\u00e9 sia automatizzato e portato su larga scala<\/b> al fine di creare pi\u00f9 indirizzi email falsi ma apparentemente legittimi e colpire quante pi\u00f9 persone possibile.<\/p>\n Uno schema meno sofisticato, ma altrettanto dannoso, lo avevamo scoperto di recente, quando i truffatori iniettano nei motori di ricerca<\/a> e nei chatbot falsi numeri di telefono di assistenza telefonica di compagnie aeree per sottrarre i dati sensibili dei viaggiatori e indurli a pagare per compiere operazioni che riguardano i biglietti.<\/p>\n Difendersi \u00e8 semplice: fidarsi \u00e8 bene, non fidarsi \u00e8 meglio<\/p>\n Bench\u00e9 queste email possano essere insidiose, difendersi \u00e8 facile<\/b>. Bisogna sempre tenere a mente che il codice monouso \u00e8 un elemento personale<\/b> utile ad accedere ai propri account e che cederlo a terzi pu\u00f2 significare compromettere i propri dati e i propri spazi digitali<\/b>.\u00a0
Meglio esserne gelosi.\u00a0
Ma \u00e8 anche un monito per ricordarsi di attivare l’autenticazione a due fattori e di utilizzare password complesse. O meglio ancora, se possibile, una passkey<\/a>.\u00a0<\/p>\n