Iniziamo in modo provocatorio: l’FBI mette in guardia gli utenti, invitandoli a non fidarsi del sito IC3 della stessa FBI.
Il sito ic3.gov è una piattaforma mediante la quale persone e organizzazioni possono segnalare frodi, campagne phishing, violazioni di dati e ogni genere di truffa o minaccia online.
I dati raccolti vengono usati per indagare sui singoli casi, collaborare con le autorità locali e internazionali, ma anche per monitorare le minacce e diffondere avvisi.
Questo episodio non deve mettere in discussione l’affidabilità dei siti istituzionali né, tanto meno, le istituzioni stesse.
Indice degli argomenti
Cosa succede al sito IC3 dell’FBI
L’annuncio fatto dall’FBI il 19 settembre scorso richiama l’esistenza di diversi siti clone dell’originale.
Queste versioni contraffatte inducono chi le visita a rilasciare informazioni personali e finanziarie che i cyber criminali raccolgono e usano a loro vantaggio. C’è anche il rischio che, tramite i siti fasulli che richiamano in tutto e per tutto quello originale, vengano diffusi malware.
L’FBI chiede di segnalare siti sospetti ma anche ogni dubbio circa attività di spoofing o phishing.
A cosa fare attenzione
Le contromisure e i consigli sono sempre i medesimi e valgono tanto per il sito IC3 quanto per qualsiasi altra risorsa online:
- Verificare sempre l’URL prima di inserire dati personali o finanziari (in questo caso il sito legittimo è: www.ic3.gov)
- Diffidare di email o messaggi che invitano a cliccare su link sospetti
- Aggiornare il sistema operativo del dispositivo e il software antivirus
- Usare l’autenticazione a più fattori laddove possibile
Questi accorgimenti si rendono necessari sempre e a prescindere quando si naviga sul web o si usano app per dispositivi mobili.
Ci si può fidare dei siti istituzionali?
Nessuna organizzazione privata o pubblica è completamente al riparo dalle incursioni del cyber crimine. La serietà e l’affidabilità di una risorsa online vanno soppesate più con la presa di posizione e la trasparenza delle vittime che con la resilienza.
Un’organizzazione seria, se alle prese con una cyber minaccia, avverte immediatamente le proprie utenze. Quelle meno affidabili lo fanno in tempi più diluiti.
La fiducia nei siti istituzionali, spiega il Ceo Cybhorus e direttore dell’Osservatorio sulla cybersecurity Unipegaso Pierluigi Paganini: “Resta e deve essere intatta, quanto elevata.
Piuttosto occorre chiedersi se si è in grado di distinguere un sito legittimo da un clone. Domini .gov e HTTPS offrono una prima garanzia, ma le tecniche di spoofing, come typosquatting e alterazione di TLD, possono facilmente ingannare l’utente medio.
Campagne di sensibilizzazione, controllo formale dei certificati e delle grafiche, attenzione alle richieste di informazioni sensibili e possibilità di segnalare siti sospetti sono essenziali. Il cittadino deve imparare a digitare sempre l’indirizzo ufficiale e diffidare di risultati sponsorizzati o link poco chiari.
In sintesi, la fiducia deve essere accompagnata da vigilanza: la sicurezza digitale non è mai scontata”.
Conclusioni
La fiducia nei siti istituzionali non può e non deve crollare. Così non fosse, il cyber crimine avrebbe segnato un enorme punto a proprio favore. Il fatto che una risorsa web venga violata o clonata non significa che l’istituzione a monte sia poco affidabile, significa soltanto che qualsiasi interfaccia si interponga tra gli utenti e il web (o internet) è violabile o clonabile.
Infatti, conclude Paganini, clonare un sito dell’FBI non è una sfida né uno sberleffo: “Il termine più appropriato è opportunismo“.
“I criminali informatici sono pronti a sfruttare qualunque opportunità, sia essa un evento che può catalizzare l’attenzione delle masse, sia la fiducia riposta nelle istituzioni dagli ignari utenti. Questi attacchi dimostrano che nessuna istituzione, neppure la più autorevole, è immune dalle strategie di spoofing. Per i criminali, clonare l’Internet Crime Complaint Center (IC3, nda) significa colpire cittadini già vulnerabili, sfruttando la loro ricerca di protezione per rubare dati sensibili o denaro.
Purtroppo, è davvero semplice replicare un sito web, non sono necessarie competenze specifiche, per questo motivo urge investire in awareness sulle minacce e tecnologie anti-phishing”.
