Attacco phishing su Facebook contro iPhone: come funziona
Un attacco phishing sta colpendo l'iPhone e cerca di rubare le credenziali Facebook degli utenti. Ecco cosa sta accedendo
Un nuovo attacco phishing è in corso e ha come target gli utenti iOS, anche se per le sue caratteristiche sarebbe facilmente replicabile anche su Android. Lo ha scoperto Myki, società che produce un noto password manager, e ne ha spiegato le modalità.
La campagna in questione fa leva su due brand molto noti: Facebook e Airbnb. Tutto si basa, in estrema sintesi, in una serie di finestre che imitano l’autenticazione su Facebook per accedere al sito di Airbnb. Con questo metodo gli hacker riescono a rubare le credenziali d’accesso a Facebook degli ignari utenti iOS e, sebbene in alcuni aspetti questo attacco sia abbastanza grossolano, potrebbero abboccare in molti.
Come funziona il Phishing su Facebook
Tutto parte, come al solito, da una mail che invita a fare il login su un sito del tutto simile ad Airbnb. Se l’utente iPhone clicca sul link viene spedito al sito fake dove trova una finestra, anch’essa falsa, per fare il log in tramite Facebook. Non è la reale finestra di log in del social, ma un blocco grafico disegnato in HTML per indurre in errore l’utente. Facendo click su “Accedi con Facebook“, quindi, l’utente immette i propri dati d’accesso al social e li invia agli hacker. La finestra in cui avviene tutto ciò è scollegata da Safari.
Come riconoscere il phishing
Secondo Vincent Jebara, CEO di Myki, l’attacco è “mal implementato” e ha più di un difetto, ma molti utenti ci potrebbero cascare e anche se gli hacker raffinassero l’interfaccia di questa campagna di phishing otterrebbero risultati simili. Già il fatto che non si apra una tab su Safari ma una finestra esterna, ad esempio, è un chiaro segnale che qualcosa non va. Inoltre, la URL della finestra di log in è accorciata per nascondere la reale URL del sito di phishing. “Il modo più efficace per proteggersi da questi tipi di attacchi – spiega Myki sul suo blog – è quello di imparare a essere più scettici e di porsi sempre domande quando viene richiesto di fornire qualsiasi tipo di informazioni online“. Il modo migliore di essere scettici, e di evitare di cadere nella trappola, è sempre quello di chiedersi perché un sito ti chiede i dati: “Chiediti ‘Perché mi viene chiesto di fare questo? Non è fuori dal comune? ‘, ogni volta che ti viene chiesto di cedere informazioni assumi una mentalità difensiva che molto spesso ti proteggerà da truffe elaborate“.
