I cybercriminali puntano SPID e banche: come difendersi dagli attacchi

I cybercriminali prendono nuovamente di mira il sistema SPID per rubare le credenziali bancarie degli utenti tramite attacchi phishing.
Come segnalato da AgID, l’agenzia italiana per il digitale, è infatti in corso una serie di attacchi, rivolti a privati ed aziende italiane, che utilizzano una falsa pagina SPID con l’obiettivo di impossessarsi delle credenziali di accesso bancarie.

Il tentativo di truffa riguarda Clienti dei principali istituti bancari italiani.

Come funziona il nuovo attacco tramite SPID

La campagna si presenta sotto forma di un’email o di un SMS che annuncia la scadenza delle credenziali SPID.
Nel messaggio è presente una richiesta di accesso, tramite un link, alla propria banca come verifica dell’identità dell’Utente (metodo previsto da alcuni fornitori SPID).

Il link conduce a una pagina web, collegata a un dominio appositamente registrato dai cybercriminali, che simula in maniera molto accurata la pagina di accesso SPID. Lo scopo dei criminali è raccogliere i dati bancari dell’utente.

“La somiglianza del dominio fraudolento con quello autentico del sistema SPID – indica una nota ufficiale di AgID – potrebbe confondere anche gli utenti più attenti”.

Il tentativo di truffa è stato individuato dal CERT-AgID che intrapreso le misure necessarie a bloccare l’attacco e far rimuovere il dominio creato dai cybercriminali.

Attacchi phishing e sicurezza: come difendersi

La raccomandazione degli esperti AgID è di fare attenzione quando si ricevono mail o SMS simili perché potrebbero essere tentativi di phishing.
Una raccomandazione sempre valida, se ci troviamo di fronte a link o siti sospetti, è verificare con molta attenzione il dominio indicato dalle pagine web che richiedono l’inserimento delle credenziali. 

Quali sono le regole per difendersi da questo e da altri attacchi phishing?

1. Evitare di aprire messaggi sospetti che richiedono di inserire dati sensibili, anche se il mittente sembra attendibile (gli indirizzi email possono essere facilmente forgiati)
2. Verificare il dominio della pagina web sospetta (il dominio ufficiale del sistema SPID ad esempio è https://www.spid.gov.it/)
3. In caso di dubbi chiedere informazioni al proprio fornitore o direttamente alla banca.
4. Se si sospetta di essere stati vittima di una truffa è importante sporgere denuncia alla polizia postale e segnalare il fatto alla propria banca.

Gli esperti avvertono che nei prossimi anni gli attacchi informatici continueranno a crescere a ritmi vertiginosi diventando sempre più subdoli e raffinati. Oltre a dotarsi delle migliori tecnologie di cybersecurity e di aggiornarle costantemente, è sempre consigliato investire sulla formazione del personale per insegnare a riconoscere i pericoli e a difendersi.