L’allarme arriva dall’Agenzia delle Entrate dopo diverse segnalazioni relative a messaggi inviati tramite PEC, apparentemente legittime, ma in realtà compromesse. Il risultato è quello di una truffa particolarmente efficace perché sfrutta un elemento psicologico semplice quanto potente: la fiducia nello strumento di Posta Elettronica Certificata.
Quando riceviamo una comunicazione tramite la PEC tendiamo infatti a considerarla autentica al 100%. Ed è proprio questa reazione automatica che i cyber criminali cercano di sfruttare.
Come funziona la truffa delle false fatture elettroniche
Il meccanismo dell’attacco è stato progettato per apparire credibile in ogni sua fase. Il messaggio ricevuto contiene generalmente il riferimento a una presunta fattura elettronica e invita il destinatario a consultare un allegato. Fin qui nulla di anomalo. Migliaia di professionisti e aziende ricevono ogni giorno documentazione amministrativa, contabile e fiscale attraverso la posta certificata.
La particolarità è che l’allegato non contiene alcuna fattura. All’interno del messaggio è presente un archivio compresso che nasconde un file HTML appositamente realizzato per avviare la fase successiva dell’attacco.
Aprendo il file su un computer Windows compare una schermata apparentemente innocua con un pulsante che invita a scaricare il documento fiscale. Sugli altri sistemi operativi, invece, viene mostrato un semplice messaggio di errore. Una differenza che non è casuale, anzi.
da PC Windows
Un attacco progettato per colpire Windows
Gli autori della campagna hanno sviluppato il malware per agire esclusivamente sui sistemi Windows, ancora oggi largamente diffusi negli ambienti professionali e aziendali.
Il clic sul pulsante “Scarica Fattura” non porta al download di alcun documento. L’utente viene invece reindirizzato verso un dominio controllato dagli attaccanti che, avvia il download e l’esecuzione di script PowerShell.
Per chi non ha familiarità con il termine, PowerShell è uno strumento amministrativo integrato nei sistemi Windows, che, normalmente, è utilizzato per automatizzare attività di sistema. Uno strumento come questo, però, nelle mani di un criminale informatico, può trasformarsi in un efficace grimaldello per una violazione della sicurezza informatica.
Attraverso degli script malevoli di PowerShell, infatti, possono essere installati malware, sottratte credenziali di accesso, raccolte informazioni sensibili o aperte connessioni remote non autorizzate verso il dispositivo della potenziale vittima ed in contesti aziendali il rischio può estendersi rapidamente dal singolo dispositivo all’intera infrastruttura informatica.
Le tecniche utilizzate dai cyber criminali
Ciò che rende questa campagna particolarmente sofisticata è la combinazione di più tecniche di ingegneria sociale e di superamento dei controlli di sicurezza.
Tra gli elementi più significativi figurano:
- l’utilizzo di caselle PEC realmente esistenti ma compromesse;
- la presenza di allegati “compressi” che riducono la possibilità di individuazione immediata;
- il riconoscimento del sistema operativo utilizzato dalla vittima;
- la generazione dinamica del collegamento ad un sito web malevolo.
Quest’ultimo aspetto merita particolare attenzione. Il link che conduce al sito fraudolento non è visibile direttamente nel codice del file HTML ma viene creato durante l’interazione con la pagina. Una tecnica che rende più complessa l’identificazione dell’elemento malevolo stesso, sia per l’utente sia per alcuni strumenti di analisi automatica.
Perché professionisti e imprese sono i bersagli principali
Le fatture rappresentano uno degli strumenti amministrativi più comuni nel lavoro quotidiano di aziende, studi professionali e consulenti.
Ricevere una PEC che fa riferimento ad un documento fiscale non genera particolari sospetti, anzi. Spesso induce ad aprire rapidamente l’allegato per verificarne il contenuto. Ed è proprio questa normalità a rendere efficace l’attacco.
I criminali informatici non puntano più soltanto sulle vulnerabilità tecnologiche. Sempre più spesso sfruttano le abitudini delle persone ed i procedimenti operativi consolidati all’interno delle organizzazioni. In altre parole, cercano di colpire il fattore umano prima ancora dei sistemi informatici.
Come difendersi dalle false fatture via PEC
Non esistono soluzioni miracolose, ma alcune semplici precauzioni possono ridurre significativamente il rischio.
Tra le principali misure di difesa vi sono:
- verificare sempre il contesto della comunicazione ricevuta;
- diffidare di fatture inattese o non riconducibili a rapporti commerciali esistenti;
- evitare di aprire allegati compressi provenienti da mittenti sconosciuti;
- mantenere aggiornati sistemi operativi e software di sicurezza;
- formare periodicamente collaboratori e dipendenti sui rischi del phishing;
- contattare direttamente il mittente in caso di dubbi.
Ma, la prima buona regola pratica consiste nel rallentare il momento della risposta, specialmente quando il messaggio richiede un’azione immediata. L’urgenza, come dicevamo, è infatti uno degli strumenti preferiti dai truffatori per indurre le vittime a commettere errori.
La cyber sicurezza è prima di tutto una questione culturale
Questa nuova tipologia di attacco dimostra ancora una volta come il panorama delle minacce informatiche stia evolvendo rapidamente. Le tecnologie di difesa sono fondamentali, ma non sono sufficienti. Firewall, antivirus e sistemi di monitoraggio possono ridurre il rischio, ma la prima linea di difesa resta sempre la capacità delle persone di riconoscere comportamenti anomali e comunicazioni sospette.
La cyber sicurezza non è più soltanto una competenza tecnica riservata agli specialisti, diventando una forma di educazione digitale che riguarda i professionisti, le imprese ed i cittadini.
Perché, oggi più che mai, anche un singolo clic può trasformare una normale PEC in un grave incidente informatico.
