In genere, se vogliamo avere la sicurezza di inserire i nostri dati all’interno di un sito legittimo, è necessario controllare due cose fondamentali.
La prima è verificare che il dominio sia scritto in modo corretto. La seconda è controllare la presenza del lucchetto relativo al certificato SSL che garantisce l'affidabilità e la riservatezza dei dati contenuti nel sito.
Come al solito, purtroppo, i criminali informatici dimostrano di saperne una più del diavolo.
Un ricercatore di sicurezza informatica noto con lo pseudonimo mr.d0x descrive, all’interno del suo blog, la scoperta di una nuova tecnica di phishing per rubare la password agli utenti ignari.
La tecnica in questione è chiamata Browser in the Browser e sovverte le principali regole di sicurezza.
Spesso, quando vogliamo accedere per la prima volta ad un sito, per evitare di creare un nuovo account appositamente per il sito visitato, ci appare una finestra di dialogo che propone di effettuare il log-in con un account già esistente. Ecco alcuni esempi: “login con Facebook”, “continua con Microsoft”, “ accedi con Google” o simili. Di seguito un esempio sul sito Canva.com.
Questo sistema semplifica la vita a noi utenti, in quanto ci permette di utilizzare un nostro account esistente senza la necessità di crearne uno di nuovo.
Per un malintenzionato esperto, però, è estremamente semplice creare una versione fraudolenta di queste finestre di dialogo facendo in modo che appaia sul monitor della vittima. Di conseguenza, quando la vittima andrà ad inserire i dati nella finestra fasulla, si ritroverà nelle grinfie del truffatore nonostante i controlli e gli accertamenti svolti.
Ecco come il ladro di password sarà riuscito nel suo intento, utilizzando le nostre credenziali per i motivi più disparati. La semplicità di questo metodo è allarmante. É ovvio che non basta più controllare il nome del sito e la presenza del lucchetto.
Il meccanismo di prevenzione migliore è senza dubbio l'autenticazione a due fattori (2FA).
Sarebbe bene impostarla, ove possibile, su tutti gli account. In questo modo, se digitiamo la nostra password in un sito malevolo, i ladri saranno impossibilitati ad accedere ai nostri dati. Inoltre, nel caso dovessimo ricevere un SMS con un codice OTP (One Time Password) quando non richiesto, significherebbe che è in corso un tentativo di accesso al nostro account, in tal caso si renderà necessario cambiare la password.
Juice of Tech
