Torna alle NEWS

Recentemente si sono intensificate le truffe cosiddette “Man in the mail” che hanno per oggetto le aziende che utilizzano i bonifici come metodo di pagamento e la posta elettronica per comunicare con i propri clienti.
Non si tratta proprio di una novità, anche in provincia di Reggio, ma ultimamente sono in forte aumento.

A cosa punta?
Il criminale informatico punta a ricevere i pagamenti che invece dovrebbe ricevere l’azienda fornitrice.

Come si svolge?
La truffa si svolge in questo modo:

1) L’azienda deve farsi pagare per i propri servizi o prodotti, quindi invia al proprio cliente una notula o una fattura con i dati relativi al pagamento, tra cui il codice IBAN su cui disporre il bonifico con il pagamento;

2) Il cliente riceve la mail, ma poco dopo riceve un’altra mail, identica alla precedente, che comunica che il codice IBAN indicato nella mail precedente non era corretto, quindi si chiede di disporre il pagamento su un altro conto corrente, con un codice IBAN differente da quello indicato nella prima mail;

3) Il cliente dispone il pagamento sul conto indicato sulla seconda mail, convinto di aver risolto i propri debiti, ma in realtà il conto indicato nella seconda mail è quello del truffatore;

4) L'azienda, non vedendo pervenire il pagamento sollecita il cliente che solo allora si accorgerà del problema, ma a quel punto si renderà conto che diventa impossibile recuperare i soldi dal conto del truffatore perché i soldi sono già spariti e il truffatore si è dileguato. Inoltre risulta impossibile recuperare la cifra bonificata dalla banca poiché la disposizione di bonifico ha tutti i crismi della legittimità, proviene da un utente riconosciuto e si tratta di un suo atto volontario.

Ma come fa il criminale a realizzare questo tipo di truffa?

Essenzialmente in due modi:
a) Tramite l’accesso abusivo alla mail di uno dei due attori in gioco (il cliente o il fornitore);

b) Tramite infezione del PC ad uno dei due attori in gioco con un virus trojan o un rootkit;


Cosa fare per prevenire ed evitare questo tipo di truffa?

Anzitutto occorre precisare che essendo due gli attori sulla scena (cliente e fornitore) bisogna che entrambi abbiano adottato le Misure Minime di Sicurezza.

Se uno dei due non le ha adottate, c’è il rischio che la truffa si verifichi lo stesso, poiché se uno dei due subisce l’accesso abusivo alla propria casella di posta elettronica evidentemente non c’è soluzione.

Anche perchè le modalità di attacco alle risorse della vittima sono essenzialmente due:

- Nel primo caso, l’accesso abusivo può avvenire perché la password utilizzata dalla vittima è debole oppure grazie ad un attacco di forza bruta (con un software che prova un elenco di password ad accedere alla casella postale della vittima).
La vittima ovviamente non si accorge di nulla poiché questo tipo di aggressione è del tutto silente, soprattutto se utilizzano servizi di posta poco presidiati come ad esempio quelli gratuiti (Libero.it, YahooMail, GMail, Virgilio.it ed altri).

- Nel secondo caso si è particolarmente esposti a questo tipo di truffa se:

- non si utilizzano antivirus adeguati ad un contesto lavorativo o non si utilizzano proprio gli antivirus (come capita di vedere ancora troppo spesso);

- si utilizzano dispositivi non aggiornati nel software (ad esempio un PC con Windows XP) o privo degli aggiornamenti del sistema operativo e dei programmi (Acrobat, Flash, Java, ecc.);

- si utilizzano dispositivi che sono stati infettati in passato e non sono stati “ripuliti” completamente;

- si è stati infettati da Cryptolocker o altri ransomware e si è deciso di pagare il riscatto per ottenere i dati senza riformattare completamente il PC infettato;

- non si utilizza un firewall opportunamente configurato;

In poche parole, se non si rispettano completamente le Misure Minime di Sicurezza menzionate nell’all. “B” del D. Lgs. 196/2003 conosciuto anche come Testo Unico Privacy.

Il truffatore che può disporre della mailbox dell’azienda fornitrice può inviare mail a nome del malcapitato, perpetrando un vero e proprio furto di identità.

D’altra parte, anche avendo accesso alla casella del destinatario c’è la possibilità di vedere la posta che ha già ricevuto e recapitargli la posta in forma clonata (quindi in tutto e per tutto uguale all’originale) da un altro server di posta.

Se avvenisse, la truffa sarebbe semplice da smascherare poiché basterebbe verificare le intestazioni del messaggio email per capire che non proviene dallo stesso server del mittente: ma chi fa realmente questo controllo quando riceve una mail uguale identica (e differente solo nel codice IBAN) a quella legittima?

Probabilmente nessuno. Più facile che ci sia una verifica telefonica, che consente di capire subito che c’è qualcosa che non va, ma anche in questo caso, chi si preoccupa di farla quando tutto sembra legittimo?

E allora? Cosa si può fare?

Le misure da attuare per essere immuni a questo tipo di truffa sono le seguenti:

1) Per l’accesso alla posta elettronica utilizzare password complesse e lunghe almeno 10 caratteri;

2) Preferire providers di posta elettronica che consentano l’accesso alla casella di posta in forma cifrata (con protocolli IMAPS, POP3S o MAPI);

3) Evitare i provider di posta elettronica gratuita (tipo Google, AOL, Hotmail, Libero, Virgilio ecc.) quando si utilizza la posta elettronica per lavoro;

4) Sui PC utilizzare un antivirus commerciale adeguatamente licenziato, meglio se invece del semplice antivirus si decida di adottare una suite di protezione (tipo internet security) oppure antivirus sugli endpoint della rete;

5) Installare l’antivirus anche su tutti i dispositivi mobili utilizzati (smartphone, tablet e portatili);

6) Installare tutte le patch e gli aggiornamenti dei programmi e del sistema operativo. Utilizzare solo sistemi aggiornati.

7) In caso di invio di una mail che comunica una variazione dei termini di pagamento, confermare la cosa anche telefonicamente o via fax;

8) In caso di ricezione di una mail che comunica una variazione dei termini di pagamento, verificare con una telefonata o di persona che effettivamente si tratta di una richiesta legittima;

9) Verificare che il codice IBAN indicato sia coerente con le banche normalmente utilizzate nei precedenti rapporti intercorsi (esempio se l’IBAN indicato porta ad una banca estera, la cosa potrebbe essere quanto meno strana);

Logicamente tutte queste misure sono valide sia per il mittente che per il destinatario, altrimenti la catena avrà sempre un anello debole e la truffa può sempre essere tentata.

SPIN Srl è in grado di consolidare la sicurezza dei dati dei propri clienti, perchè è sempre meglio prevenire che correre ai ripari, ed è Vostra disposizione per chiarire ogni dubbio.