Introduzione

Uno degli strumenti più diffusi già utilizzati dai pirati informatici agli albori delle comunicazioni informatiche è il war-dialling. Il pirata informatico utilizza un programma mediante il quale il suo computer chiama (tramite modem) sequenze semi-casuali di numeri telefonici in una determinata area. Nel caso in cui un modem risponda, può supporre con un buon margine di sicurezza la presenza di un computer. L’elenco di risposte dei modem (computer) può diventare per il pirata informatico un’opportunità di conseguire i suoi obiettivi.

Poiché i modem sono ormai poco utilizzati, per ottenere gli stessi risultati si ricorre alla scansione delle porte. Utilizzando un computer l’intruso effettua la scansione di un intervallo IP alla ricerca di computer sui quali determinate porte risultano aperte. Quelli che forniscono una risposta positiva possono essere oggetto di nuovi tentativi di accesso il cui esito potrebbe essere il controllo della macchina. A quel punto il computer diventa utilizzabile per qualunque obiettivo: spamming, botnet e così via.

Il phishing può essere genericamente definito come

"un attacco di social engineering con cui si cerca di indurre con l’inganno a rivelare informazioni personali quali password e numeri di carta di credito, con l’intento di commettere frode".

Ulteriori informazioni sul phishing sono disponibili su diversi articoli del nostro sito Web, tra cui  le Informazioni sulla sicurezza, settimana 15/2005.

Immettere vishing, ossia la combinazione di due termini riportati sopra, utilizzando voice over IP e phishing.

Funzionamento del vishing

1. Utilizzare un computer che chiama sequenze di numeri (la parte "V")

La fase iniziale prevede la configurazione del computer mediante la tecnologia voice over IP (VoIP) che consente di chiamare molti numeri telefonici in una determinata area.

A differenza delle buone, vecchie tecniche di war-dialling, la distanza in questo caso non costituisce un problema poiché il costo della telefonata è irrisorio; tuttavia, come si vedrà al punto 2 riportato di seguito, la lingua utilizzata nell’area potrebbe essere determinante ai fini del risultato positivo dello schema di vishing. .

2. Riprodurre di un messaggio pre-registrato (la parte "ishing")

Presumibilmente alcuni dei numeri chiamati risponderanno. La persona che ha messo in atto lo schema avrà già pre-registrato un testo di phishing, ad esempio un messaggio, in apparenza proveniente dal reparto antifrodi della società emittente della carta di credito, in cui viene richiesto di chiamare altro numero allo scopo di risolvere alcune questioni.

In genere il messaggio pre-registrato utilizza la stessa lingua dell’area in cui ha luogo il vishing. Un messaggio automatico in tedesco che si rivolge a francesi e che si dice inviato da un dipendente della banca non è esattamente un messaggio credibile e riuscirà a ingannare solo gli utenti più ingenui (il che ovviamente potrebbe essere l’obiettivo).

3. Ottenere le informazioni che contano

Se la truffa descritta al punto 2 è convincente, alcuni di coloro che hanno risposto alla chiamata automatica e ascoltato il messaggio richiameranno al numero indicato.

In questa fase l’autore del vishing può scegliere tra varie possibilità.

• Può utilizzare le proprie capacità personali di social engineering e rispondere personalmente alla telefonata, cercando di indurre con l’inganno l’interlocutore a rivelare alcune informazioni personali, ad esempio il numero della carta di credito, il codice PIN, la data di nascita e così via.
  In questa fase, il contatto telefonico personale ha la maggiore probabilità di successo; per contro, ha come svantaggio il fatto che l’autore del vishing può parlare a una sola persona per volta.
• In alternativa l’autore del vishing può pre-registrare un altro messaggio raccontando una storia che sembri credibile e induca con l’inganno chi effettua la chiamata a fornire le proprie informazioni personali.
  Può dire, ad esempio, che si è verificato un crollo del database del reparto carte di credito della banca e contemporaneamente alcuni numeri di carta di credito sono stati rubati. Poiché il database e le informazioni del cliente non sono disponibili chiede a chi effettua la telefonata di fornire il numero di carta di credito e il numero di telefono in modo che la banca possa richiamare nel caso in cui tali numeri rientrassero tra quelli che sono stati oggetto di furto.
  Le tecniche di persuasione utilizzabili dall’autore del vishing hanno come limite solo la sua immaginazione. D’altra parte devono essere il più possibile generiche, affinché risultino efficaci per il maggior numero di persone.

4. Commettere la frode e/o ottenere altre informazioni

Le informazioni raccolte seguendo i tre punti riportati sopra possono poi essere utilizzate dall’autore del vishing per commettere la frode. Nell’esempio riportato sopra la frode si riferisce alla carta di credito ma potrebbe riguardare qualunque aspetto.

In questa fase l’autore del vishing può anche utilizzare le informazioni raccolte per ottenere altre informazioni e, nel caso estremo, per quanto remoto, riuscire anche ad impossessarsi dell’identità dell’altra persona.

Alcune osservazioni generali

Nelle Informazioni sulla sicurezza di Norton, settimana 10/2005 è stato preso in esame l’uso di nuove applicazioni, nello specifico la messaggistica istantanea, per diffondere codice nocivo. La nostra tesi è che la particolare efficacia dimostrata dalla messaggistica istantanea sia attribuibile alla novità del mezzo e che, per questo motivo, gli utenti non vi hanno prestato lo stesso grado di attenzione rivolto, ad esempio, all’utilizzo dell’email quale strumento per la diffusione di codice nocivo.

Il vishing può essere considerato esattamente allo stesso modo. L’attenzione nei confronti del phishing da parte di organizzazioni per la sicurezza, finanziarie e media è stata piuttosto intensa per un certo periodo di tempo e si è rivolta principalmente ai tentativi effettuati mediante le email. Il pishing effettuato mediante un nuovo canale di comunicazione, ossia il VoIP, avrà per un certo periodo di tempo una probabilità di successo molto più elevata rispetto a quello effettuato con canali più tradizionali.

Si tratta di un fenomeno destinato presumibilmente a ripetersi ogni volta che vengono adottati nuovi canali. Indipendentemente dai supporti e dalle tecniche utilizzate dalla persona fraudolenta, il consiglio generale è di 

utilizzare lo scetticismo intelligente in qualunque situazione in cui viene chiesto di rivelare informazioni personali