Da un’indagine appena conclusa Panda Security ha scoperto una serie di kit di phishing che viene offerta - in modo del tutto gratuito - in diverse pagine web e che consente ai cyber-criminali di inviare messaggi di posta a scopo fraudolento. L’insieme di questi tool permettono di falsificare pagine e e-mail di decine di banche, piattaforme e-commerce, account mail di Gmail, Hotmail o Yahoo!Mail e di giochi online (come rubare password di Xbox) o blog (chiave di accesso a Fotoblog). “La cosa sconcertante è che si è arrivati a realizzare un attacco di questo genere a costo zero” spiega Luis Corrons, direttore tecnico dei laboratori di Panda Security. Aggiunge “date le facilitazioni che offrono questi tool, il numero degli attacchi di phinshing si moltiplicaranno, provocando un gran numero di perdite sia alle aziende che ai consumatori. Secondo Gartner, solo nel 2007, negli Stati Uniti si è registrata una perdita di 3,2 miliardi di dollari a carico dei consumatori per effetto di questa attività illecita”.

COME FUNZIONANO QUESTI KIT DI PHISHING

Quando un utente accede a una delle URL che offrono questi tool, può procurarsi i file per falsificare le mail di banche, piattaforme e-commerce e per creare pagine web molto simili alle originali. Inoltre, il kit comprende un programma PHP, anche questo gratuito, per mandare mail direttamente dalla pagina falsa generata.

Il resto del processo è analogo agli altri casi di phishing: si lancia l’e-mail falsa ad una serie di indirizzi di posta. In questa si include un link che rimanda alla pagina contraffatta, nella quale gli utenti dovranno inserire i dati richiesti dai cyber-criminali: indirizzi e-mail, password bancarie etc.

“Per ottenere gli indirizzi di posta elettronica ai quali inviare spam, i truffatori della rete comprano le liste in Internet. Alcune possono essere recuperate anche in modo del tutto gratuito” commenta Corrons e aggiunge “se sommiamo a questo i servizi di hosting gratis, osserviamo che si possono mettere in atto invii di phishing senza spendere un euro”.

In fine, il kit di phishing consente ai cyber-criminali di decidere come ricevere le informazioni rubate: in file TXT archiviato in un server, in forma di messaggio sulla propria posta etc.

Condividi