Furto account YouTube Andrea Galeazzi: phishing ad personam
Il furto dell’account YouTube di Andrea Galeazzi sicuramente è sulla bocca di tutti, sostenitori o hater, tutti ne parlano. Io non voglio entrare troppo nel merito della vicenda ma questo attacco phishing ad personam mi ha dato modo di fare qualche riflessione su come le truffe online evolvano e su come anche le persone più skillate e abili, nel giusto contesto creato ad hoc, possano abbassare la guardia. “Io so riconoscere le truffe” non basta davanti a truffe phishing sempre più sofisticate. In questo articolo vorrei semplicemente condividere qualche riflessione su questo genere di attacchi phishing e su cosa comporti a livello “psicologico”.
Se ti va ricordati che puoi offrirmi un caffè grazie a Buy me a coffee!
Prima di tutto: un abbraccio ad Andrea
La prima riflessione, assolutamente non tecnica, è il mio più caldo sostegno ad Andrea. Un canale YouTube con 20 anni di lavoro, un progetto editoriale curato e che comporta un lavoro giornaliero come quello di Andrea Galeazzi è un lavoro immane. Se io perdessi il blog (che in quanto amatoriale ha un carico di lavoro ben minore) impazzirei. Quando ho letto la vicenda di Andrea sono stato male per lui. Negli anni alcuni dei miei acquisti sono stati proprio effettuati sulla base dei consigli, apprezzo sinceramente il suo lavoro. Quindi prima di tutto massima solidarietà al buon Andrea. La vicenda si è conclusa “bene”, gli account sono tornati al legittimo proprietario. Certo anche a detta di Andrea qualche danno c’è stato, ma sono sicuro che l’account e le sue statistiche torneranno ai precedenti fasti in men che non si dica. Forza Andrea!
Ti potrebbero interessare questi articoli
- asd
- asd
- asd
Un caso di phishing ad personam: come funziona
Questo tipo di attacco phishing è molto diverso da quelli che solitamente vediamo qui sul blog. Tipicamente siamo di fronte ad un messaggio sensazionalistico, un premio incredibile, un colpo di fortuna insperato. Un messaggio più o meno sensato, mandato a milioni di persone, nella speranza che qualcuno si ritrovi nella narrazione proposta. Pesca a strascico.
Phishing sartoriale su misura
Il furto dell’account youtube di Andrea Galeazzi è invece un attacco mirato ad personam. Gli hacker hanno creato una narrazione che funzionasse esattamente per lui. Stando a quanto racconta sul suo blog non solo si sono finti un’azienda con cui aveva già collaborato in passato ma addirittura hanno creato un’esca basata sui commenti fatti dai follower del suo canale youtube riportando il problema riscontrato sull’audio dei suoi ultimi video dagli utenti stessi. Insomma uno storytelling su misura per lui che facesse abbassare le difese portandolo in un contesto che, per lavoro, affronta ogni giorno.
Nessun timer o scadenze
Di solito siamo abituati a vedere attacchi phishing che fanno leva sull’avversione alla perdita e sulla fretta. Timer che scorrono, call to action per “non perdere l’occasione”, premi disponibili che si riducono inesorabilmente. In questo caso niente di tutto ciò, l’obiettivo non era mettere fretta anzi il contrario: Andrea doveva sentirsi perfettamente a suo agio in una dinamica lavorativa ben nota, il riferimento al problema dei microfoni serviva a rafforzare quella sensazione di normalità e buona fede.
Un profiler all'opera studiando Andrea
Per creare un attacco phishing su misura come nel caso di Andrea Galeazzi ipotizzo che il grosso del lavoro non sia tanto sul fronte tecnico quanto su quello dello studio dell’obiettivo. Serve capire come la vittima opera, con quali brand ha avuto contatti, come agisce di solito e cosa sta succedendo nel suo mondo (per esempio il fatto che abbiano citato un problema segnalato dagli utenti sul suo canale) insomma per far funzionare la truffa hanno ricostruito ad arte il suo mondo per farlo sentire al sicuro. Lavoro certosino di mesi? Forse un agente IA che ha analizzato tutto in poco tempo.
Cosa possiamo imparare da questo phishing
Il phishing non cerca solo carte di credito
Solitamente il phishing punta a rubare una carta di credito, la classica truffa dei due euro. In questo caso l’obiettivo era diverso. Rubare un account YouTube famoso come quello di Andrea vuol dire essenzialmente rubare la sua visibilità. Subito dopo il furto dell’account è partita una live per sponsorizzare tecniche di trading con le criptovalute. Vista la visibilità del canale, pur cambiando loghi e nomi, ha dato ai malviventi la possibilità di raggiungere tantissime perone. Vale molto più di una carta di credito.
Attenzione quando ti chiedono un login
La narrativa di questa truffa è stata così ben congegnata che Andrea stesso ammette di aver dato “spontaneamente” l’accesso ai suoi canali, accorgendosi del danno un secondo troppo tardi.
Da qui una lezione: a prescindere da quanto la situazione ci possa sembrare tranquilla, quando qualcuno ci chiede un’autenticazione dovremmo fermarci un secondo in più e chiederci: perché ha bisogno di questo login? A cosa gli serve? È davvero necessario doverglielo fornire? Insomma dubitare sempre!
Nessuno è al sicuro nemmeno gli esperti
A me non può succedere. A volte lo penso. Ma so anche quanto la mia vita sia incasinata: ci sono momenti dove sono letteralmente sommerso dalle notifiche. Il momento dove abbasserò la guardia è sempre dietro l’angolo. E non importa quanto io possa essere preparato in materia. Queste truffe non giocano sulla nostra preparazione, giocano sul nostro momento di debolezza. Quindi mai sentirsi troppo al sicuro, la truffa perfetta per noi è dietro l’angolo e ancora non lo sappiamo.
Il phishing ad personam mi fa davvero paura
Sapete che quando analizzo una truffa phishing ho un tono abbastanza leggero e canzonatorio. Sono truffe poco credibili, fatte male e facilmente riconoscibili se si ha un po’ di occhio allenato.
Questa modalità di attacco invece mi fa paura perché se fatta bene sarà calibrata su di noi e tutto sembrerà normale, di routine. Quindi è ancora più difficile da riconoscere complici anche i nostri bias che la leggitimeranno. Quando arriverà sarà l’ennesima mail normale che magari cliccherò controvoglia felice di liquidarla in pochi secondi.
Poi però mi ricordo che io non ho follower e nessuno mi segue quindi i cattivoni di certo non punteranno me. Concedetemi un po’ di ironia.
E voi?
Vi è mai capitato di muovervi in una situazione talmente normale da non farvi venire nemmeno il dubbio?
Un accesso a YouTube, un login su un account Google, qualcosa che rientra perfettamente nella vostra routine.
È così che funziona il phishing ad personam: non punta sull’inesperienza, ma sulla familiarità. Ed è questo che rende possibile anche un furto di account YouTube in caso di phishing mirato, quando l’attacco è fatto bene.
Se vi va, raccontatemi se vi siete mai detti, anche solo dopo: “ok, qui potevo fermarmi un secondo in più”.
