Un attacco al nostro computer potrebbe iniziare con qualcosa di semplice come ignorare l'indirizzo URL della pagina che stiamo visitando. Se quell'indirizzo era in realtà un collegamento all'interno di un file PDF o di un'email, può portarci a portali appositamente preparati per rubare credenziali tramite phishing, e nelle ultime settimane è stata rilevata una campagna mirata agli utenti di Gmail. Una piccola sottigliezza nella barra degli indirizzi e un buon utilizzo di elementi come intestazioni e allegati hanno permesso a questa campagna di raggiungere un livello di efficacia che sorprende sia i novizi che gli esperti.
Perdere le nostre credenziali nelle mani di un elemento malizioso è una delle cose peggiori che possano capitarci. Il rischio è molto più alto di quanto pensiamo, per il semplice fatto che non è uno solo il servizio compromesso. Prendiamo il caso di Google. Un account standard dà accesso a praticamente tutte le risorse di Mountain View, incluse Gmail, Google Drive, Google Docs, Blogger, YouTube, AdWords, AdSense, il Play Store di Android... credo che sia chiaro. L'ultimo esempio ha come priorità gli utenti di Gmail, e la sua trama inizia con un'email presumibilmente inviata da uno dei nostri contatti...
Un'email falsa possiede caratteristiche che ne permettono una rapida identificazione, a cominciare da ampie differenze nella lingua e errori di ortografia. Tuttavia, secondo i rapporti questo attacco può inviare email con intestazioni e allegati legittimi utilizzati durante una comunicazione precedente tra i due utenti. Se proviamo a fare clic sull'anteprima dell'allegato, veniamo portati a quella che sembra essere la pagina di accesso di Gmail. Il problema è che c'è una trappola nascosta, e si trova proprio nella barra degli indirizzi. La stringa non inizia con l'atteso «https://accounts.google.com», ma c'è un piccolo «data:text/html,» prima. In realtà, quello è l'inizio di una lunga struttura di testo che trasmette le nostre credenziali all'attaccante, e una volta che le ha in suo possesso, ripete l'intero processo con il resto dei nostri contatti.
Come proteggersi da questa campagna
Fortunatamente, proteggersi da questa campagna non è molto complicato. Il primo passo è ovviamente osservare da vicino l'indirizzo URL. Se non troviamo «https://» davanti a Gmail (o a qualsiasi altro portale di accesso di Google) con il suo lucchetto o etichetta verde e i dati ausiliari del certificato, c'è qualcosa che non va. La verifica in due passaggi è un'altra risorsa utile, anche se esiste la remota possibilità che il sito di phishing venga modificato per richiedere anche il codice di verifica (l'attacco dovrebbe essere quasi in tempo reale). L'opzione più sicura (per il momento) sarebbe l'uso di chiavi fisiche, come Google ha suggerito da tempo. Infine, non è una cattiva idea controllare i log di attività di Gmail. Se appare qualcosa di sospetto, si consiglia di cambiare immediatamente la password.
(Nota del redattore: Google ha riconosciuto il potenziale di questo attacco e ha confermato che sta lavorando a misure di sicurezza aggiuntive che saranno disponibili con Chrome 56. Immaginiamo che Mozilla seguirà una strada simile.)
