Non c’è solamente la truffa telefonica dello squillo a far discutere in Italia. In questo periodo, infatti, ci sono stati nuovi casi di truffa dell’IBAN modificato, motivo per il quale è bene essere a conoscenza di cosa si tratta.
Ebbene, ciò a cui si fa riferimento sono i cosiddetti attacchi Business E-mail Compromise, ovvero una truffa in cui un hacker riesce ad accedere in modo malevolo a una fattura, modificandone i dati. Sia nel caso in cui il malintenzionato riesca a reperire la fattura mediante accesso abusivo a un indirizzo di posta elettronica che nel caso in cui vengano bucati altri sistemi aziendali, quello che è avviene è che l’hacker inserisce il suo IBAN al posto di quello corretto.
In questo modo, l’ignara vittima sarà convinta di pagare i lavori con bonifico, mentre in realtà i soldi verranno versati all’hacker che si è “messo in mezzo”. Si tratta del cosiddetto man in the middle, che potrebbe anche essersi inserito tra gli scambi di e-mail aziendali per carpire tutti i dati e perpetrare la truffa prima che chi deve pagare si accorga che l’IBAN non è quello corretto. Capite bene che si tratta di una truffa pericolosa, considerando che il malintenzionato entra in possesso di tutti i dati corretti e modifica esclusivamente un’informazione (l’IBAN, per l’appunto).
Già nel 2018 la Questura di Ragusa aveva segnalato quanto accaduto all’epoca a una ditta edile ragusana: “effettuati dei lavori di ristrutturazione ha inviato la fattura per il pagamento del lavoro prestato. Non ricevendo il bonifico si è rivolta al proprio cliente che gli riferiva di avere già da alcuni giorni quietanzato la fattura. Si è scoperta così la truffa in cui erano incappati e che è costato il danno economico di più di tremila euro, finiti in un altro conto corrente e prelevati subito dopo l’accredito della somma“.
Esistono diverse varianti di questo tipo di attacchi, che possono combinare anche elementi di social engineering (tecniche di manipolazione che fanno leva sull’errore umano per carpire dati). Per questo motivo, quando si tratta di protezione dal Business E-mail Compromise, il primo consiglio che viene spesso dato è relativo alla formazione periodica del personale ai temi della cybersecurity. Altri consigli riguardano l’utilizzo di servizi di posta elettronica che consentano di verificare autenticità e integrità delle e-mail (quali, ad esempio, la PEC), l’adottare in modo esteso l’autenticazione a due fattori e l’implementazione di policy stringenti riguardanti la modifica di informazioni sensibili come l’IBAN.
Rimanendo in ambito di sicurezza informatica, potrebbe interessarvi approfondire la procedura per scoprire se i propri dati sono finiti sul dark web (utile per capire, ad esempio, se un’indirizzo e-mail è compromesso).
