IE7, caccia al phishing

In un post
pubblicato sul blog del team di sviluppo di Internet Explorer, Microsoft ha chiarito
alcuni aspetti controversi relativi al filtro anti-phishing che sarà
parte integrante di IE7. L’obbiettivo è quello di fornire uno strumento
in grado di proteggere gli utenti da questa sempre più diffusa forma di
truffa che, ricordiamolo, consiste nel furto di informazioni riservate (username
e password di conti bancari online o numeri di carta di credito, per esempio)
carpite al malcapitato di turno tramite false mail e falsi siti che richiamano
nell’aspetto quelli di legittime istituzioni finanziarie.

La linea di condotta che si intende portare avanti a Redmond per contrastare
la minaccia è più o meno questa: proteggere gli utenti dai
siti potenzialmente pericolosi, garantire la loro privacy, essere sempre
trasparenti circa le modalità con cui il filtro viene attivato e
usato.

L’anti-phishing di Explorer, intanto, potrà essere abilitato e disabilitato
in qualunque momento. Farà uso di un sistema di criptazione SSL per gestire
le comunicazioni con il server. Non sarà adoperato per raccogliere informazioni
riservate dell’utente, ma solo per collezionare dati utili al miglioramento del
servizio. Per il meccanismo di verifica della potenziale pericolosità di
un sito, Microsoft ha optato per un controllo in tempo reale effettuato in base
ai dati presenti su uno speciale server. L’alternativa sarebbe stata quella, comune
nei prodotti anti-spyware, di far scaricare periodicamente una lista aggiornata
di siti legati al phishing in base alla quale effettuare il confronto. Una misura
che si sarebbe rivelata inconsistente considerata la natura mutevole del panorama,
con siti-truffa che appaiono, scompaiono o cambiano indirizzo più volte
nell’arco di 24/48 ore.

Gli uomini del team di IE si sono anche premurati di chiarire taluni aspetti
del progetto per chi i siti li gestisce. La preoccupazione espressa da molti è
quella che un sito perfettamente legittimo vada a finire nella lista nera di Microsoft.
Se ciò dovesse accadere, i webmaster avranno a disposizione un link direttamente
nel browser per segnalare il problema e per iniziare una procedura di controllo
in grado di correggere una cattiva ed erronea valutazione. Un white
paper sul filtro anti-phisihing e contenente una serie di istruzioni dettagliate
aiuterà i web master a prevenire situazioni di questo tipo.

L’avvento di questa protezione non può che essere salutato con favore,
ma è bene chiarire che, se rappresenta una solida difesa personale, difficilmente
potrà scalfire da solo la pericolosità di un fenomeno come il phishing.
Per rendersene conto basterebbe la lettura di uno studio pubblicato sul numero
di settembre della rivista First Monday: The
economy of phishing.

Il quadro che se ne ricava non è quello di piccoli manigoldi alla ricerca
di guadagni facili o del pollo da spennare, ma di un complesso sistema economico
e sociale che risponde alle regole della domanda e dell’offerta come avviene
in qualunque altro ambito economico. Se la parte visibile ai più del phishing
è rappresentata dai messaggi di posta elettronica che periodicamente riceviamo,
è in altri angoli delle rete che questo sistema si organizza e trova gli
spazi per preparare il terreno agli attacchi. Forum, ma soprattutto chatroom e
canali IRC non registrati, con nomi che spesso non lasciano spazio al dubbio:
#banking, #credit-cards, #cc-trade…. Per colpire seriamente
il phishing, suggerisce l’autore dell’articolo, è da lì che si deve
iniziare. Puntando però a quelli che sono riconosciuti come gli hub del
network, i nodi di smistamento in grado di aggregare intorno a sé gli altri
partecipanti. Una grande responsabilità, poi, viene affidata agli amministratori
delle chat. La ricerca cita il caso di EFNET, la celebre rete IRC che è
stata in grado di smantellare i gruppi legati al phishing semplicemente vietando
l’accesso alle chatroom agli utenti con nomi legati a frodi finanziarie.

Cosa succede in questi angoli bui è facile da intuire. Ogni partecipante
entra con un suo ruolo preciso, portando credenziali che mette in vendita per
il migliore offerente. C’è chi vende liste di indirizzi e-mail, chi vende
modelli e template di e-mail delle banche, chi vende pagine web camuffate da usare
nella truffa, addirittura chi vende l’accesso a computer precedentemente intaccati
con trojan o virus e che sono usati come rampa di lancio per gli attacchi. Ci
sono infine i casher, quelli che materialmente possiedono gli strumenti
e le conoscenze per accedere al denaro delle vittime e che quindi lo incassano,
compensando i fornitori di credenziali di accesso con commissioni contrattate
di volta in volta. Nell’articolo di First Monday sono riportati un paio di messaggi
di pubblicità di questi personaggi: posso incassare denaro da queste banche,
la tua quota sull’incasso è del 60%….

La conclusione è che il fenomeno potrà essere arginato solo con
misure che coinvolgano tutti gli attori del sistema. Le banche, gli amministratori
di siti e chat, ma anche il singolo utente, per cui l’imperativo di mantenere
sempre aggiornato il proprio PC in tema di sicurezza diviene sempre più
cruciale.