Meta ha lanciato Threads, la nuova app di microblogging che sfida Twitter, già nel mirino del phishing a scopo di lockout. Per rubare le credenziali e chiudere fuori il legittimo utente, secondo Kaspersky.
“Ci troviamo ancora una volta a constatare la capacità del crimine informatico di plasmare nuove tecniche di attacco”, commenta Pierluigi Paganini, analista di cyber security e CEO Cybhorus, “cercando di sfruttare l’attenzione su eventi o prodotti di alto interesse per le ampie platee di utenti online”.
Ecco come mitigare il rischio.
Indice degli argomenti
Threads nel, mirino del phishing
I cyber criminali hanno aperto pagine di phishing per simulare una versione web inesistente di Threads, l’app che ha già oltre 100 milioni di iscrizioni.
“In questo caso”, continua Paganini, i truffatori “stanno sfruttando l’elevato interesse nell’applicazione Threads lanciata da Meta, così come la scarsa conoscenza dei servizi da essa offerti”.
Gli utenti sono spinti a immettere le proprie credenziali di login, mostrando così ai cyber criminali le proprie informazioni private.
Poiché Threads è connesso ad altri servizi targati Meta, gli utenti rischiano di perdere anche l’accesso ai vari account dei social media, come Instagram e Facebook.
“Gli esperti infatti segnalano campagne di phishing lanciate con l’intento di rubare alle vittime le credenziali della nuova applicazione”, mette in guardia Paganini, “ed ottenere così accesso a tutti i dati da essa gestiti, ivi compresi dati finanziari”.
Ciò causa infatti problemi a livello di privacy, come il furto di identità e il doxing, ma anche rischi finanziari. I propri dati bancari personali, o addirittura aziendali, dal momento che gli account permettono di fare sponsorizzazioni e creare campagne pubblicitarie, potrebbero finire nelle mani di truffatori.
“Si propone in taluni casi una versione web non esistente della popolare app”, spiega Paganini, “con l’intento di ingannare gli utenti che evidentemente non conoscono a pieno l’app ed ottenere così le loro credenziali”.
Un’altra truffa è anche il servizio fittizio Threads Coin. Promette di colmare il divario tra mondo digitale e fisico, soprattutto nel Metaverso. Invita gli utenti a comprare questa moneta virtuale, usando Ethereum. Ma si tratta di una truffa che causa danni economici.
“Ci sono poi frodi relative all’acquisto di fantomatiche valute digitali così come la possibilità di incrementare la propria base di follower. Quindi è evidente che le possibili attività fraudolente trovano limite solo nella fantasia dei criminali informatici”, conclude Paganini.
Altra truffa: guadagnare follower
Altro schema, legato a Threads nel mirino del phishing, permette agli utenti di guadagnare gratuitamente follower su un altro social network, selezionando un’opzione tra 10.000, 25.000 o 50.000 follower. Una volta scelto, l’utente effettuare la verifica umana, scegliendo fra l’invio di un SMS e la possibilità di vincere un premio. Tuttavia, per ottenere il premio, è richiesto un pagamento, dunque perdendo soldi senza nulla in cambio.
Inoltre, il sistema promuove la condivisione via SMS, diventando strumenti di diffusione della truffa.
Come mitigare il rischio.
Per proteggersi come nel caso di Threads nel mirino del phishing, si consiglia di prestare attenzione in caso di download di software da internet, soprattutto se da un sito di
terze parti. Bisogna scaricare i software solo dal marketplace ufficiale dell’azienda o del servizio che si sta utilizzando.
Occorre verificare la legittimità del sito da cui si effettua il download del software, controllando l’icona del lucchetto nella barra di indirizzo e che l’URL inizi per “https://”.
Inoltre è necessario impostare password forti e uniche per ogni account, utilizzare un password manager, abilitando l’autenticazione a due fattori (meglio biometrica) ogni volta che è possibile.
Bisogna diffidare da link o email sospette provenienti da fonti sconosciute. Ma anche da fonti note che potrebbero essere state hackerate, dunque il loro DM è compromesso. Spesso i truffatori sfruttano tecniche di social engineering per spingere gli utenti a cliccare o scaricare software malevoli.
