La nuova truffa PostePay all’orizzonte questa volta sfrutta come esca Facebook e più precisamente la pagina ufficiale della carta prepagata delle Poste Italiane. E, come al solito, fa leva su una certa ingenuità da parte di molti utenti inesperti.
Il tentativo di phishing recentemente scoperto si basa sul social care ossia sull’assistenza che, in questo caso, Poste Italiane fornisce agli utenti che scrivono sulla pagina Facebook ufficiale.
Come funziona la nuova truffa PostePay – Seppur sia sempre meglio inviare un messaggio privato e non pubblicare sulla bacheca pubblica informazioni personali o riferimenti ai propri problemi, molti utenti seguono proprio questa via.
Come raccontato dagli esperti di d3lab, questi utenti vengono poi raggirati in modo subdolo quanto efficace.
La procedura è molto semplice. L’utente scrive sulla pagina pubblica di Poste Italiane affermando di avere un problema con Postepay. Solitamente il responsabile dei social media risponde consigliando di scrivere un messaggio privato e di attendere una risposta.
Viene anche suggerito di controllare che il mittente abbia la spunta blu che corrisponde alla l’autenticità certificata dello stesso.
La tecnica dei cybercriminali della nuova truffa su PostePay – Visto che la piattaforma è utilizzata da molti utenti con poca esperienza e visto che al contempo i truffatori sono molto esperti, è proprio in questo momento che avviene il fattaccio.
Il criminale informatico scrive un messaggio privato all’utente. Il suo profilo vede come foto di sfondo quella di Poste Italiane e un nome realistico. Il malintenzionto si spaccia per un assistente e offre generalità e codice di riferimento; tutto naturalmente falso.
L’utente in difficoltà nella maggior parte dei casi crede alla buona fede e segue pedissequamente le richieste che vengono avanzate. Quali sono? Una serie di informazioni sensibili come numero di telefono, anagrafica, indirizzo email, ma soprattutto il codice fiscale.
Grazie al codice fiscale è possibile capire se l’utente sia registrato o meno alla piattaforma Postepay. Se si, il truffatore procede fino a ottenere la cosidetta password usa e getta (OTP), che si riceve via cellulare e che serve per le operazioni on line.
Nel caso in cui l’utente non sia registrato alla piattaforma Postepay, il truffatore lo assiste in modo tale da poter effettuare l’intera procedura in modo molto semplice e veloce. A suo vantaggio, ovviamente.
Una volta ottenuto il codice usa e getta, il criminale compie l’accesso all’utenza utilizzando le informazioni carpite e svuota il conto.
La simulazione di d3lab – La società specializzata nel servizio di monitoraggio e contrasto al phishing, ha simulato di essere un utente alle cerca di assistenza. È stato così dimostrato come in pochi minuti possa avvenire il tentativo di phishing.
È interessante notare come, tramite uno stratagemma, sia stato scoperto che il truffatore stesse digitando dall’Italia. Più precisamente dalla provincia di napoli. Era certo possibile che utilizzasse un VPN, proxy oppure rete anonima, ma l’uso corretto della lingua italiana lasciava intendere che si trattasse proprio di un connazionale.
Come difendersi dalla nuova truffa PostePay su Facebook – Come per gli altri casi, l’unico modo per difendersi è quello del buon senso ossia scegliere sempre vie di comunicazione ufficiali, dai siti certificati.
Si sceglie di ricorrere alla pagina Facebook di un qualsiasi servizio è sempre meglio scrivere per primi e controllare che chi risponde abbia il badge. Ecco un altro esempio di truffa PostaPay ricorrente.