Alessandro Zanello

Si chiama “tabnabbing” ed è una nuova forma di phishing che si sta diffondendo sul Web, come spiega Aza Raskin, creative lead di Firefox, qui e come si vede qui:

A New Type of Phishing Attack from Aza Raskin on Vimeo.

Questo tipo di attacco sfrutta l’abitudine degli utenti di aprire più schede (tabs) all’interno del browser durante la normale navigazione per consultarle poi una ad una. Funziona così.

Mentre si è impegnati a visualizzare il contenuto di una scheda, se su una delle altre non ancora esaminate è aperto un sito infetto contenente uno script maligno, questo riconosce che la pagina non ha il focus ed è inattiva da un certo tempo, quindi ridirige la pagina aperta su un sito creato ad hoc e del tutto simile ad uno molto noto (ad esempio quello della vostra banca o della Webmail del vostro provider, di Facebook o Twitter), completando il trucco anche con la sostituzione sulla scheda dell’icona del sito lecito.

Quando l’utente vede l’icona del sito noto su quella scheda pensa di averla aperta lui e, visitandola, si trova davanti una pagina familiare, che gli chiede le credenziali;  inserisce quindi i propri dati di autenticazione senza controllare a fondo. Lo script truffaldino memorizza le credenziali e porta l’utente ignaro sulla pagina vera, autenticandovelo realmente.

In tal modo l’utente nemmeno percepisce o sospetta di essere stato derubato del proprio account.

L’attacco può essere perfezionato e personalizzato utilizzando la cronologia memorizzata nel browser, portando a veri capolavori di social engineering nel campo della truffa.

Le frodi elettroniche si moltiplicano in occasione della crisi finanziaria, in quanto i truffatori approfittano delle notizie di fusioni, partecipazioni, fallimenti per architettare finte richieste di riaccreditamento dei clienti delle Banche chiuse. L’ondata crescerà parecchio nelle prossime settimane, seguendo le notizie di difficoltà dei vari istituti europei.

La sola associazione delle banche del Regno Unito incaricata di gestire i pagamenti elettronici (Apacs) ha diffuso cifre preoccupanti già prima dell’inizio della fase acuta della crisi: da gennaio a giugno 2008 gli attacchi di phishing sono cresciuti del 186% rispetto allo stesso periodo del 2007, totalizzando più di 20.682 incidenti nei primi sei mesi dell’anno.

E’ necessario quindi essere ancora più attenti del normale in questo periodo, ricordando che generalmente gli istituti finanziari non chiedono mai di rivelare i propri dati via email e che se si è richiesti di visitare il sito del proprio istituto, anche solo per verifica,  conviene farlo direttamente e non tramite link proposti da terzi.

BBC