Settimana 33: Phishing tramite posta dei portafogli di criptovalute
L’UFCS ha ricevuto diverse segnalazioni relative a lettere contenenti un codice QR che invitavano a scaricare un aggiornamento urgente per i portafogli di criptovalute. Dopo aver scansionato il codice QR, tuttavia, i destinatari vengono reindirizzati a un sito web di phishing, dove viene loro chiesto di inserire la propria frase di recupero. Rivelandola, i criminali possono assumere il controllo completo del portafoglio di criptovalute in questione.
Normalmente, i criminali sfruttano in modo mirato le caratteristiche di Internet. Cancellano le loro tracce, nascondono la propria identità e traggono vantaggio dal fatto che l’invio di e-mail non comporta praticamente alcun costo. Ciononostante, l’UFCS riceve regolarmente segnalazioni di truffe relative a lettere cartacee che finiscono nelle cassette postali delle potenziali vittime. Poiché l’invio di tali lettere comporta uno sforzo maggiore, i criminali si concentrano su truffe con possibilità di guadagno particolarmente elevate. La campagna attuale è rivolta specificatamente agli utenti di portafogli di criptovalute.
Aggiornamento di sicurezza tramite lettera
Nel caso in questione, i truffatori inviano lettere a nome di diversi fornitori di portafogli di criptovalute e sostengono che, a causa dell’introduzione della cosiddetta «quantum resistance», sia necessario un aggiornamento di sicurezza critico. I destinatari vengono invitati a scansionare il codice QR contenuto nella lettera per avviare le presunte procedure necessarie.
È degno di nota il termine di oltre due settimane indicato nella lettera. Ciò è piuttosto insolito per i tentativi di truffa, poiché solitamente i criminali cercano di spingere le loro vittime ad agire in modo affrettato creando una pressione temporale artificiale.
Tuttavia, anche il termine ampio potrebbe far parte della strategia ingannevole. In tal modo si ha l’impressione di un approccio serio e affidabile che può così contribuire a dissipare eventuali dubbi dei destinatari. Proprio perché non viene creata alcuna pressione immediata ad agire, la lettera appare a prima vista più credibile.
Se la vittima scansiona il codice QR, viene inizialmente reindirizzata a un sito web dal design professionale con diverse sezioni. Sebbene il dominio utilizzato non abbia evidentemente nulla a che vedere con il fornitore vero e proprio, la maggior parte dei link rimanda effettivamente al sito originale del rispettivo fornitore di portafogli di criptovalute. Ciò contribuisce a dare ai visitatori l’ulteriore impressione che si tratti di un’offerta autentica.
Solo le persone che cliccano sulla sezione menzionata nella comunicazione relativa al presunto aggiornamento per la «quantum resistance» vengono reindirizzate a un sito web controllato dai truffatori.
Sul sito web fasullo, gli utenti vengono infine invitati a inserire la propria frase di recupero («seed phrase») per attivare l’aggiornamento di sicurezza. Chi acconsente a questa richiesta, tuttavia, concede ai truffatori il controllo totale sul portafoglio di criptovalute e, di conseguenza, sul suo contenuto.
Oltre la cassetta postale: il crypto-phishing su tutti i canali
L’attuale truffa che prevede l’invio di una lettera contenente un codice QR fisico dimostra in modo impressionante quanto i cibercriminali agiscano in modo creativo e mirato per impossessarsi di patrimoni in criptovalute. Tuttavia, la minaccia sui canali digitali tradizionali continua a persistere.
L’obiettivo dei criminali è quasi sempre lo stesso: i truffatori vogliono impossessarsi della «frase seed» (nota anche come «frase di recupero» o «sequenza di parole di recupero») della vittima. Chi controlla queste 12 o 24 parole ha il controllo illimitato sul portafoglio di criptovalute e può prelevare i fondi in modo irrevocabile.
Vettori d’attacco
Phishing via e-mail
I criminali inviano e-mail che sembrano autentiche a nome di note piattaforme di scambio di criptovalute (come Binance, Kraken, Coinbase o Metamask) o di produttori di portafogli hardware (come Ledger o Trezor). Con il pretesto di una presunta falla nella sicurezza, del blocco di un conto o di un lucrativo «airdrop», la vittima viene attirata su un sito web fraudolento. Lì le viene chiesto immediatamente di inserire la «frase di recupero» per risolvere, apparentemente, il problema.
Vishing (voice phishing; frode telefonica)
Sempre più spesso i truffatori ricorrono anche al telefono. Tramite lo «spoofing» (manipolazione del numero di telefono visualizzato) chiamano fingendo di rappresentare il servizio di assistenza ufficiale. Questi interlocutori, molto abili nell’arte oratoria, esercitano un’enorme pressione temporale («Il suo account è stato appena hackerato, dobbiamo immediatamente mettere al sicuro il suo credito») e spingono la vittima a leggere ad alta voce la «frase di recupero» al telefono o a inserirla su un determinato sito web.
Raccomandazioni
- Non rivelate mai la vostra «frase di recupero». Nessun operatore del servizio di assistenza legittimo, nessuna piattaforma di scambio di criptovalute, nessun produttore di portafogli e nessuna autorità vi chiederà mai la vostra «frase di recupero».
- I cibercriminali sfruttano in modo mirato la paura di una perdita economica. Se venite messi sotto pressione al telefono o via e-mail, interrompete immediatamente il contatto.
- Non cliccate su alcun link. Digitate l’URL della piattaforma di criptovalute direttamente nel browser.
- Conservate la «frase di recupero» rigorosamente offline.
- In caso di danno economico, l’UFCS raccomanda di sporgere denuncia. Sul sito di Suisse ePolice potete cercare le centrali di polizia più vicine a voi.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria: