Una nuova e sofisticata truffa online sta mettendo a rischio milioni di utenti. I criminali informatici sono riusciti a sfruttare i siti ufficiali di aziende famose come Netflix, Microsoft, Apple e Bank of America per mostrare numeri di telefono falsi, inducendo gli utenti in errore e rubando informazioni personali e finanziarie.
Il caso, segnalato da Malwarebytes, rivela una tecnica ingegnosa quanto insidiosa che sfrutta le inserzioni sponsorizzate su Google e una debolezza tecnica legata alla gestione dei parametri di ricerca nei siti web ufficiali.
Fonte: Malwarebytes.
Indice degli argomenti
Il meccanismo della truffa: come funziona
Il punto di forza di questa truffa è la sua apparente legittimità. L’utente, alla ricerca su Google di supporto tecnico o assistenza clienti, trova in cima ai risultati un annuncio sponsorizzato, che porta effettivamente all’indirizzo web reale del servizio clienti desiderato.
Tuttavia, il link contiene un parametro di ricerca manipolato.
Fonte: Malwarebytes.
“La barra degli indirizzi del browser mostrerà quello del sito legittimo, quindi non c’è motivo di sospettare. Tuttavia, le informazioni che il visitatore vedrà saranno fuorvianti, perché i risultati di ricerca sono stati modificati per mostrare il numero del truffatore in modo evidente in quello che sembra un risultato di ricerca ufficiale”, spiega Jérôme Segura, Senior Director of Research di Malwarebytes, che continua: “Ciò è possibile perché la funzionalità di ricerca di Netflix riflette ciecamente qualsiasi dato inserito dagli utenti nel parametro di ricerca, senza un’adeguata sanificazione o convalida. Questo crea una vulnerabilità di tipo reflected input che i truffatori possono sfruttare”.
In pratica il sito ufficiale, non sanitizzando correttamente il contenuto del parametro “search”, mostra il falso numero di assistenza direttamente nella pagina, dando l’illusione che sia un numero fornito dall’azienda stessa.
Il risultato è che la vittima si ritrova di fronte a un numero di telefono falso visualizzato su una pagina autentica.
Chiamando questo numero, l’utente entra in contatto con un call center fasullo, in cui l’operatore finge di essere un rappresentante dell’azienda.
Perché questa truffa è così efficace
Ciò che rende questa truffa particolarmente insidiosa è il fatto che la pagina è veramente parte del sito ufficiale, l’utente può anche vedere il lucchetto di sicurezza HTTPS e l’URL corretto, vanificando quasi del tutto i tradizionali controlli a cui ci si affida per individuare un sito fraudolento.
In pratica, il problema risiede nella gestione scorretta dei parametri URL da parte dei siti web. Inserendo un numero di telefono come parametro di ricerca, e non filtrandolo adeguatamente, il sito mostra in pagina un contenuto arbitrario generato dall’utente.
Questo tipo di vulnerabilità è tecnicamente noto come “search parameter injection”.
Fonte: Malwarebytes.
Come proteggersi: consigli pratici
Per evitare di cadere vittima di questa truffa, è fondamentale adottare una serie di precauzioni:
- Non cliccare mai su annunci sponsorizzati per l’assistenza. Usa sempre il sito ufficiale, digitandolo manualmente nella barra degli indirizzi o accedendo da fonti affidabili.
- Verifica sempre il numero di telefono. Se un numero compare in una pagina di ricerca, confrontalo con quelli elencati nella sezione Contatti ufficiali del sito.
- Diffida dai messaggi urgenti o allarmistici.
- Non fornire mai accesso remoto senza una richiesta esplicita e verificata.
Se, da un lato, gli utenti devono essere prudenti, dall’altro è urgente che le aziende:
- implementino filtri di sanitizzazione sui parametri URL;
- sorveglino le inserzioni sponsorizzate che utilizzano il proprio nome;
- attivino meccanismi per bloccare contenuti sospetti inseriti dinamicamente.
Possibili vittime e conseguenze
Le vittime potrebbero essere quegli utenti cercano aiuto per problemi account, di fatturazione o su dispositivi. In particolare:
- utenti meno esperti o anziani;
- utenti che accedono ai siti tramite smartphone (più difficile in questo caso notare i dettagli dell’URL);
- chi ha fretta e si affida agli annunci che appaiono in prima linea tra i risultati di ricerca.
Le possibili conseguenze di un colpo riuscito potrebbero includere il furto di dati personali, frodi finanziarie e vendita di servizi falsi.
