Quando una notifica di pagamento attendibile diventa un’esca di phishing
Secondo quanto riferito, un flusso fraudolento avrebbe usato notifiche di pagamento legittime come canale di invio per messaggi di phishing che impersonavano Poshmark, mentre si sarebbe detto che una fase separata di collegamento bancario servisse a verificare credenziali rubate.
L’aspetto più insidioso di questo caso non è una violazione di una piattaforma. È l’abuso della fiducia. Secondo il riepilogo tecnico fornito, un’operazione fraudolenta avrebbe usato notifiche di pagamento provenienti da un servizio di gestione delle spese non nominato per inviare messaggi di phishing che impersonavano Poshmark. Lo stesso riepilogo attribuisce ai ricercatori di Group-IB l’affermazione secondo cui sarebbe stato poi usato un flusso di collegamento bancario per verificare credenziali rubate. La distinzione è importante: abusare di una funzionalità non equivale a compromettere il servizio stesso.
In breve
- Secondo quanto riferito, notifiche di pagamento provenienti da una piattaforma di gestione delle spese non nominata sarebbero state usate come canale di invio attendibile per messaggi di phishing che impersonavano Poshmark.
- Secondo il riepilogo fornito, sarebbe stato usato un flusso di collegamento bancario per verificare credenziali rubate, anche se l’esito di tali verifiche non è confermato.
- Il materiale non identifica la piattaforma, il numero di messaggi né eventuali utenti o istituzioni coinvolti.
- Nessuna prova fornita conferma che, in questo caso, siano stati effettivamente ottenuti dati delle carte, codici OTP o perdite finanziarie.
- Le informazioni disponibili consentono un’analisi del rischio, ma non confermano una violazione della piattaforma o una compromissione estesa di sistemi a valle.
TECHCROOK
Dal punto di vista difensivo, lo schema di attacco è familiare: usare un servizio legittimo per far sembrare consueto un messaggio malevolo, poi indurre la vittima a compiere un’operazione con le credenziali o un pagamento che, a prima vista, sembra normale. Le indicazioni di OWASP sullo spoofing dei contenuti sono pertinenti in questo caso, perché un mittente attendibile non garantisce che anche la destinazione lo sia. Una notifica può essere autentica, mentre il link al suo interno non lo è.
La seconda fase segnalata è ancora più indicativa. Se le credenziali rubate sono state inserite in un flusso di collegamento o verifica bancaria, l’obiettivo potrebbe essere stato distinguere quelle deboli da quelle utilizzabili. Si tratta di una verifica delle credenziali, non della prova di un accesso riuscito. È anche per questo che i codici monouso richiedono particolare cautela. Non sono semplici numeri da inserire in una schermata di accesso: sono segreti di autenticazione che non andrebbero mai condivisi con chi chiama inaspettatamente né inseriti in una pagina raggiunta tramite un messaggio non richiesto.
L’incidente illustra anche un punto cieco ricorrente nelle indagini. I team spesso cercano innanzitutto domini malevoli, indirizzi del mittente contraffatti o malware evidente. In questo caso, la domanda più interessante è se un sistema di notifiche legittimo sia stato abusato come copertura. Questo sposta l’attenzione del rilevamento sui modelli dei messaggi, sulle destinazioni insolite dei link, sulle anomalie nella frequenza e sull’uso sospetto delle funzionalità di collegamento degli account, invece che sui soli indicatori classici delle email.
Al momento della stesura, le informazioni pubbliche non hanno ancora accertato pienamente la causa tecnica principale, l’intera portata degli utenti coinvolti o l’eventuale compromissione di sistemi a valle. Le informazioni disponibili consentono un’analisi del rischio, ma non un’attribuzione definitiva di negligenza né la conferma di una compromissione completa.
Conclusione
La lezione più ampia è semplice, ma scomoda: la fiducia fa ormai parte della superficie di attacco. Quando i criminali possono prendere in prestito la credibilità di un servizio legittimo, la difesa più efficace non consiste nel dare per scontato che il canale sia sicuro, ma nel verificare ogni passaggio sensibile al di fuori del messaggio stesso.
TECHCROOK
Chiave di sicurezza FIDO2: una chiave di sicurezza hardware può aggiungere un accesso resistente al phishing agli account che la supportano. Registra la chiave tramite le impostazioni di sicurezza ufficiali dell’account e conserva un metodo di recupero in un luogo sicuro separato. È un complemento a un’attenta verifica dei link, ma non rende attendibili le notifiche di pagamento inaspettate.
WIKICROOK
- Spoofing dei contenuti: manipolazione di messaggi o siti web dall’aspetto legittimo per indurre gli utenti a fidarsi di contenuti controllati dagli aggressori.
- Phishing: tentativi fraudolenti di indurre gli utenti a rivelare informazioni sensibili, fingendosi entità attendibili.
- Verifica delle credenziali: processo che consiste nell’usare nomi utente e password rubati per tentare di accedere agli account e verificare se le credenziali sono valide.
- Codice monouso (OTP): codice univoco e temporaneo usato per l’autenticazione, spesso inviato tramite SMS o email.
- Flusso di collegamento bancario: funzionalità di una piattaforma che consente agli utenti di collegare i propri conti bancari, che in questo caso sarebbe stata abusata per verificare credenziali rubate.
