In un annuncio di pubblica utilità (PSA), l'FBI (Federal Bureau of Investigation) e la CISA (Cybersecurity and Infrastructure Security Agency) mettono in guardia il pubblico in merito alle campagne di phishing in corso legate alla Russia, volte a ottenere l'accesso agli account di messaggistica.
All'inizio di questo mese abbiamo parlato di una campagna di phishing su larga scala volta a dirottare account Signal e WhatsApp appartenenti ad alti funzionari, militari, dipendenti pubblici e giornalisti.
Ora l'FBI e la CISA si sono unite ai servizi di intelligence europei nel lanciare l'allarme: le stesse tattiche vengono utilizzate in una campagna più ampia che prende di mira queste app di messaggistica commerciale. L'obiettivo non è quello di violare la crittografia end-to-end, ma di aggirarla completamente sottraendo l'accesso agli account individuali.
Nel nostro precedente articolo ci siamo concentrati sugli avvertimenti dei servizi di intelligence olandesi AIVD e MIVD, che descrivevano come alcuni attori sostenuti dallo Stato russo avessero contattato obiettivi di alto profilo tramite Signal e WhatsApp, spacciandosi per «Signal Support», «Signal Security Bot» o nomi simili. Il PSA dimostra come gli stessi gruppi stiano ora conducendo campagne di phishing su scala globale contro gli account delle app di messaggistica, con prove che indicano la presenza di migliaia di account compromessi in tutto il mondo.
È importante ribadire che gli hacker non sono riusciti a violare la crittografia end-to-end delle app. Si affidano invece a tecniche di ingegneria sociale per far aggiungere un dispositivo e poter così intercettare gli account.
Gli attuali obiettivi comprendono funzionari governativi statunitensi in carica o in pensione, personale militare, personalità politiche e giornalisti, ma nulla impedisce che le stesse tecniche vengano riutilizzate contro le aziende e gli utenti comuni.
Quindi, anche se si è tentati di liquidare la questione come un problema che riguarda solo diplomatici e generali (e le agenzie che diffondono questi avvisi menzionano effettivamente per prime gli obiettivi di alto profilo), queste tecniche sono facilmente replicabili. Una volta che manuali come questi diventano di dominio pubblico, tendono a essere copiati dai criminali informatici alla ricerca di nuovi modi per sottrarre denaro o appropriarsi di account.
Come proteggere i tuoi account
Come afferma il PSA:
«Il phishing rimane uno dei metodi più semplici, ma al tempo stesso più efficaci, per compromettere la sicurezza informatica, rendendo spesso inutili le altre misure di protezione»
Questa richiesta prevede l'adozione di misure di sicurezza di base:
- Considera di default sospetti i messaggi non richiesti provenienti dal "Supporto" all'interno delle app. Il supporto ufficiale di app come Signal e WhatsApp non ti chiede mai, tramite messaggio in chat, di inviare codici di verifica, PIN o password. Se ricevi un avviso relativo a problemi con l'account, non cliccare sui link contenuti nel messaggio. Apri direttamente le impostazioni dell'app o visita il sito web ufficiale utilizzando altri mezzi.
- Non rivelare mai i codici di verifica ricevuti via SMS né i PIN delle app. I codici via SMS servono a dimostrare che sei tu il titolare di un numero di telefono. Chiunque sia in possesso del codice può fingersi te. I PIN o i codici di accesso specifici delle app servono a proteggere le modifiche apportate al tuo account. Rivelarli equivale a consegnare le chiavi del tuo account. Considera chiunque te li richieda come un truffatore.
- Fai attenzione a ciò di cui parli e con chi. Sia le raccomandazioni olandesi che quelle statunitensi ci ricordano che, anche con la crittografia end-to-end, alcune conversazioni sono troppo delicate per essere condotte su app di chat commerciali.
- Sfrutta le funzionalità di sicurezza aggiuntive offerte da queste app. Attiva opzioni come il blocco della registrazione, il PIN di registrazione e gli avvisi in caso di cambio di dispositivo, in modo che il tuo account non possa essere re-registrato di nascosto senza un codice segreto aggiuntivo. Salva il tuo PIN in un gestore di password invece di scegliere qualcosa di facile da indovinare o di riutilizzare un codice comune, per ridurre il rischio di attacchi di ingegneria sociale odi spionaggio da dietro le spalle.
- Un'altra funzione utile è quella dei messaggi che scompaiono. I messaggi a tempo e quelli che scompaiono riducono la quantità di contenuti disponibili nel caso in cui un malintenzionato acceda alla chat in un secondo momento, oppure se qualcuno ottiene un accesso prolungato a un dispositivo o a un backup. Non rappresentano una soluzione definitiva, ma possono limitare i danni.
Cosa fare se pensi che il tuo account sia stato violato
Se sospetti che un malintenzionato abbia preso il controllo del tuo account di messaggistica:
- Prova a registrare nuovamente il tuo numero nell'app immediatamente per disconnettere gli altri dispositivi.
- Rimuovi tutti i dispositivi collegati e modifica eventuali PIN o codici di blocco specifici delle app.
- Avvisa i tuoi contatti che qualcuno potrebbe essersi spacciato per te e chiedi loro di prestare attenzione ai messaggi ricevuti di recente.
- Controlla le conversazioni recenti per individuare eventuali indizi di furto di dati (ad esempio, ID, documenti o password condivisi che ora dovrebbero essere considerati compromessi).
- Segnalate l'accaduto al fornitore dell'app e, se del caso, ai centri nazionali di segnalazione come l'Internet Crime Complaint Center (IC3) dell'FBI all'indirizzo ic3.gov o all'autorità competente nel vostro Paese.
Prima agisci, minore sarà il lasso di tempo a disposizione degli hacker per sfruttare il tuo account.
Non ci limitiamo a fornire informazioni sulla sicurezza del telefono, ma le forniamo.
I rischi per la sicurezza informatica non dovrebbero mai diffondersi al di là di un titolo di giornale. Tenete le minacce lontane dai vostri dispositivi mobili scaricando oggi stesso Malwarebytes per iOS e Malwarebytes per Android.
