Green Pass Covid-19 clonato: phishing via sms
In questi giorni, sui vostri cellulari, potrebbe essere arrivato un sedicente sms che vi avvisa in merito alla clonazione della vostra certificazione vaccinale, il famigerato Green Pass Covid-19: come potete immaginare è solo l’ennesimo tentativo di phishing.
Ovviamente è un truffa, quindi, per quanto allarmistico, ignorate quel messaggio. Purtroppo io non l’ho ricevuto quindi non ho potuto indagare, andando per esempio a controllare dove avrebbe portato quel link. Tuttavia anche solo la lettura del testo del sms, può dare degli ottimi spunti su come identificare una truffa via sms (ammesso che ce ne sia bisogno).
Vediamo insieme i punti deboli di questo attacco.
Il phishing: un tentativo di furto dei dati
Il phishing, come spiega Wikipedia, è un tentativo di frode dove il malintenzionato vi contatta fingendosi un qualsiasi ente a voi noto. Con una scusa qualsiasi purchè credibile, vi chiede di andare su una determinata pagina web (che sembra proprio quella originale) ed inserire i vostri dati.
Il malintenzionato può fingersi più o meno chiunque. Le scuse possono essere le più disparate, ecco qualche esempio classico:
- L’attaccante può fingere per esempio di essere la vostra banca, o un istituto di credito che vi chiede di reinserire le vostre credenziali a seguito di un evento sospetto.
- A volte abbiamo visto messaggi da finti corrieri e spedizionieri o direttamente le dogane che vi chiedevano di sbloccare una spedizione (pagando una modica cifra). Ve ne avevo già parlato in questo articolo.
- Ultimamente ho visto finti messaggi che simulavano poste italiane che chiedevano di reinserire le credenziali dopo un accesso al vostro account di un “dispositivo sospetto”.
Ciao sono un ente di cui ti fidi: c’è stato un problema X. Inserisci le tue credenziali cliccando su questo link.
Ma come fanno a saperlo?
Nel caso vi steste chiedendo “ma come sanno che io ho il conto in quella banca?” la risposta è: non lo sanno ma mandano il messaggio a così tante persone che prima o poi qualche cliente lo becchi.
Scegliendo una azienda abbastanza famosa e contattando più persone possibili, è probabile che qualcuno ne sia davvero cliente.
Non a caso si parla di phishing, questa truffa è una vera e propria pesca a strascico.
Hanno clonato il tuo Green Pass Covid-19
Ecco il comunicato rilasciato su twitter dalla Polizia di Stato in merito a questo tentativo di phishing.
Ovviamente il sito riportato nell’sms è già stato disabilitato. Questo non vuol dire però che il messaggio non possa arrivarvi con un nuovo link.
Purtroppo non avendolo ricevuto non so dirvi quali dati venissero richiesti (ipotizzo dati personali e forse bancari). Tuttavia ci sono diversi fattori per cui solo leggendo il testo del messaggio è chiaro come questo sia un semplice tentativo di truffa.
- Il fatto che il link sia dgcgov.valid-utenza.com: perchè il Ministero della Salute dovrebbe farvi andare su un dominio diverso da quello istituzionale?
- Guardacaso il sito istituzionale è proprio www.dgc.gov.it: molto simile al link che vi inviano sperando in una vostra disattenzione. Guardando però bene il dominio che vi propongono è valid-utenza.com
- Il mittente è Min Salute. Molto simile ai messaggi del vero ministero che sono inviati da MinSalute (tutto attaccato).
Giusto a titolo di esempio: questo è un esempio di sms che arriva direttamente dal Ministero della Salute. In questo caso l’sms mi notificava la disponibilità della certificazione, guardiamo qualche dettaglio:
- Il mittente è quello giusto: MinSalute
- Nell’sms mi viene fornito un codice (che ho oscurato) per potere accedere alla documentazione.
- Ho ricevuto quell’sms perchè sono registrato tramite SPID.
- Casualmente il link proposto è proprio quello del ministero della salute www.dgc.gov.it relativo alla certificazione vaccinale e non un sedicente valid-utenza.com.
Quindi in questo caso ho ricevuto l’sms ma, per accedere al dato, esistono tutta una serie di procedimenti per autenticarmi e dimostrare la mia identità.
Non è un semplice: “vai li e metti i dati”. Nel messaggio finto è tutto molto semplice e sbrigativo, senza nessun tipo di sicurezza o verifica dei dati. Questo, aggiunto a tutto il resto, è un altro indizio della truffa praticamente certa.
La truffa della clonazione del Green Pass
A questo punto è palese che sia una truffa. Ma ragionandoci un pelo di più anche solo la richiesta della clonazione doveva scatenare un legittimo dubbio.
Fermiamoci un secondo a ragionare su cosa voglia dire clonare qualcosa.
Se cloniamo un dispositivo, una carta di credito o qualsiasi altro dispositivo, abbiamo bisogno di un sistema centralizzato e di un’univocità del dispositivo.
Deve essere unico
Se cloniamo qualcosa quel qualcosa deve essere unico. Per esempio un cellulare o una carta di credito. Sono dispositivi unici. Mentre nel caso del certificato Covid-19 possiamo avere più Green Pass in forme diverse. Io posso avere un QR-Code nel mio cellulare, stampato su un foglio, e uno su ogni dipositivo dove posso scaricarlo o conservarlo. Quindi non si può parlare di clonazione.
Deve avere un controllo centrale
Oltre a essere unico per accorgersi della clonazione servirebbe un organismo centrale che si accorga di comportamenti anomali. Potrei accorgermi di un certificato clonato se avessi un organismo centrale che registri tutte le scansioni e possa per esempio verificare l’uso dello stesso certificato in momenti molto vicini ma a distanze diverse. Per esempio una scansione a Milano alle 16 e una a Messina alle 16:05.
Il sistema di scansione dei Green Pass però è totalmente asicrono e decentralizzato quindi non esiste questo ente centrale che possa accorgersi di un uso “fantasioso” del certificato.
Quindi parlare di clonazione è improprio e, di fatto, tecnicamente inconsistente. Tuttavia questo tentativo di phishing ha tutte le carte in regola per il manuale del perfetto truffatore.
- Il messaggio ricalca abbastanza bene il mittente vero. Il nome del mittente ed il link ricordano il profilo vero ed un occhio disattento potrebbe cascarci, magari vittima di un’occhiata frettolosa.
- La causa del messaggio potrebbe allarmare magari se non si è molto pratici del settore.
E voi?
Avete ricevuto questo sms? Il vostro Green Pass Covid-19 è stato clonato? Avete cliccato sul link? Io sarei stato curioso di farlo ma non l’ho ricevuto. Se voi siete stati “più fortunati” (per modo di dire) me lo raccontate nei commenti?
E se conoscete qualcuno che potrebbe cascare in questo genere di truffe, condividete questo articolo ed aiutate i vostri amici!
Come sempre, anche in questo articolo, vi ricordo che per restare sempre aggiornati potete iscrivervi alla newsletter o unirvi al canale Telegram. Unendovi al canale telegram avete accesso anche alla community degli utenti del blog! E se vi va di supportare il blog seguitemi sui vari social: su questa pagina trovate tutti i collegamenti del blog!
