Spazio Gmail

Il servizio di posta elettronica Gmail di Google è uno dei più diffusi al mondo, e sicuramente i 15 GB di spazio assicurati per le caselle gratuite hanno un ruolo in questo. Terminare lo spazio a disposizione con un uso non professionale è sicuramente difficile, e anche a livello professionale aumentare la capienza delle caselle di posta è sicuramente economico.

Gli allegati

L’insidia principale nella gestione dello spazio di una casella di posta è costituita dagli allegati. Anche senza prendere in considerazione file particolarmente pesanti come gli audiovisivi, anche solo un semplice PDF compilabile può occupare lo spazio di 300/400 mail di solo testo; “risparmiare” sugli allegati significa quindi tantissimo in termini di spazio.

Soluzioni interne

Alcuni strumenti sono messi a disposizione da Google stesso: è infatti possibile creare un elenco di mail (eventualmente cancellabili) che hanno peso superiore a una soglia stabilita. Basta digitare nella barra di ricerca il seguente comando:

has:attachment larger:[dimensioni]

Volendo ad esempio cancellare qualsiasi allegato superiore ad 1 MB, basterebbe digitare la stringa ” has:attachment larger:1M  ” e poi proseguire ad eliminare tutti i selezionati.

La ricerca si può inoltre affinare aggiungendo uno qualsiasi degli operatori di Gmail. In questo modo sarà possibile, per esempio, cancellare solo gli allegati superiori a un determinato peso provenienti da determinati indirizzi in un certo periodo di tempo.

Il limite

Il problema principale di questa soluzione è che non vengono eliminati solo gli allegati, ma anche l’intera mail. Non sarà quindi possibile mantenere solo la comunicazione testuale, a meno di ricorrere a client esterni o ad app esterne.

Unattach

Un’ottima soluzione è costituita dalla web app Unattach, fra l’altro gratuita fino alle 30 mail/mese. Oltre alle funzionalità garantite da Gmail, Unattach consente di cancellare solo gli allegati, scaricarli o addirittura comprimerli (se sono immagini). Al posto della mail eliminata comparirà un avviso che spiegherà quale file è stato rimosso in che momento preciso.

Password

Abbiamo già parlato in altre occasioni dell’importanza di utilizzare password sicure ed efficaci, ma essendo le tecniche degli hacker in continua evoluzione è bene tenersi al passo con le strategie più efficaci.

Attacchi hacker

Sono infatti ormai molteplici i modi con cui dei malintenzionati possono rubare le password altrui:

• Phishing: Forse la più comune, in cui è l’utente stesso ad inserire le proprie credenziali in un sito visivamente identico a uno reale a cui l’utente è iscritto, magari invitato da un messaggio (SMS o mail) allarmistico.
• Man-in-the-middle: Versione un po’ più elaborata, che prevede la presenza fisica di un malintenzionato. Questi infatti si collega a un Wi-Fi pubblico e “dirotta” un altro dispositivo connesso allo stesso Wi-Fi presso una pagina fasulla come quella usata nel phishing.
• Keylogger: Anche in questo caso è l’utente ad inserire le proprie credenziali, ma in questo caso è un malware precedentemente scaricato sul computer a “leggere” ogni singolo carattere digitato sulla tastiera e a trasmetterlo ai malintenzionati.
• Attacco a dizionario: In questo caso il malintenzionato “tira ad indovinare” con una lista di password (“dizionario”) fra le più comuni, contando sulla legge dei grandi numeri.
• Attacco di forza bruta: L’unico da cui non ci si può difendere, se non attraverso autenticazione a due fattori e cambio password. In questo caso non è infatti l’utente ad essere attaccato ma il server del sito legittimo che ospita le credenziali.

Le norme di sicurezza

Com’è evidente, scegliere una password sicura non mette al riparo al 100% da tutte le insidie, ma consente se non altro di evitarne alcune. Ma quali sono le norme di sicurezza da seguire per scegliere una password?

• Utilizzare sia maiuscole che minuscole, possibilmente in maniera non prevedibile. L’uso della maiuscola solo ad inizio parola ad esempio è meno sicuro, come è meno sicuro disporre le lettere in maniera prevedibile (per esempio alternandole).
• Utilizzare numeri, possibilmente che non richiamino dati facilmente scopribili (come l’anno di nascita). Un buon metodo è quello di usare numeri al posto di lettere a cui somigliano, come ad esempio 0 (zero) al posto di O (lettera O), oppure 3 al posto della lettera E.
• Utilizzare password lunghe almeno 12 caratteri, dato che più una password è lunga più è difficile da violare. La maggior parte dei siti consente ad oggi di creare password lunghe dai 12 ai 24 caratteri.
• Utilizzare anche i caratteri speciali, dato che difficilmente sono inclusi nei “dizionari” degli hacker.

La regola d’oro

C’è poi un’ulteriore regola, forse la più importante di tutte anche se spesso sacrificata sull’altare della praticità: le password devono essere il più possibile diverse. L’ideale sarebbe averle tutte diverse. E’ infatti (quasi) inutile una password altamente sicura utilizzata ovunque, perché basta un “attacco di forza bruta” ad uno solo dei server su cui è custodita per dare al malintenzionato di turno le “chiavi” della nostra vita digitale.

Password manager

Per questo motivo, dato che è difficile ricordarsi a memoria una gran quantità di password, è raccomandato l’uso di un buon password manager. La scelta è ormai molto ampia, che sia su Windows, Mac, iOS o Android, ed è compreso un ventaglio notevole di soluzioni gratuite.

Il caso.

Quale sarebbe la prima reazione di ciascuno di noi se ci arrivasse una mail (apparentemente) dalla polizia, accusandoci di pesanti reati? Sarebbe sicuramente normale farsi prendere dall’ansia e cercare di saperne di più.

La truffa.

Proprio su questo meccanismo di normalissima reazione psicologica fa leva una delle ultime truffe via mail, nella quale stavolta i truffatori pretendono di essere autorità.

La mail.

In questo caso la potenziale vittima della truffa riceve una mail che all’apparenza sembra “ufficiale”, corredata dai loghi reali degli enti pubblici in questione. Inizialmente i criminali si spacciavano per esponenti della Gendarmerie francese, salvo poi allargarsi ad altre autorità di altri paesi fra cui la Polizia italiana e addirittura l’Europol.

Il contenuto.

Il testo della mail varia di volta in volta, ma la sostanza resta sempre la stessa: il destinatario viene accusato di un reato gravissimo e viene invitato a contattare un determinato funzionario entro 72 ore per non far partire l’iter giudiziario a suo carico.

Il consiglio.

Come difendersi da questa truffa? E’ semplicissimo: basta ignorare ed eliminare la mail. Quest’ultima infatti di per sé non è pericolosa: il testo non contiene solitamente link o allegati malevoli, probabilmente i truffatori contano sull’ansia generata nel destinatario per convincerlo in seguito a pagarli, tramite il falso funzionario da contattare.

Come riconoscere la truffa.

Va tenuto presente che le autorità non comunicano via mail in caso di reati gravi. In caso ci siano documenti importanti da inviare viene solitamente usata la PEC, o se anche viene usata una mail ordinaria (di solito a fini amministrativi, non certo penali) è sempre inviata da un indirizzo istituzionale (che in Italia è contrassegnato da .gov.it o domini simili).

Mail security.

Anche in questo caso vanno tenuti presenti i nostri consigli in materia di Mail Security: innanzi tutto va controllato l’indirizzo del mittente (non il semplice nome, che di solito è alterato dai truffatori), che spesso si tratta di un dominio appartenente a un’entità terza (quindi non governativa) che è stato hackerato. In caso si richiedano contatti, come in questo caso, fare attenzione anche al recapito fornito: nel caso di questa truffa il finto funzionario sarebbe raggiungibile scrivendo a un comunissimo (e gratuito) indirizzo Gmail; chiaramente un vero funzionario utilizzerebbe sempre e comunque la sua mail istituzionale.

L’indagine.

Nel rapporto trimestrale sulla diffusione degli attacchi di phishing relativo al terzo trimestre del 2021, Check Point Research ha stilato la classifica dei marchi più “contraffatti” dai criminali informatici che elaborano le famigerate “mail con i link malevoli da cliccare”.

Microsoft.

Il poco invidiabile primato di “marchio più taroccato” è andato a Microsoft, che guida la classifica con il 29% delle mail di phishing che pretendono di provenire dalla casa di Redmond. Probabilmente complice di questo risultato è l’estrema diffusione del sistema operativo Windows e dei software della suite Office, nonché del provider mail Outlook.

Amazon.

La seconda posizione va al colosso dell’e-commerce Amazon, seppur fermandosi al 13% (meno della metà di Microsoft). La popolarità del colosso di Jeff Bezos, ormai non più solo e-commerce (basti pensare a servizi come Prime Video o Twitch) fa sì che le false promozioni di Amazon siano fra le mail di phishing più gettonate.

E-commerce.

In generale, dopo l’incredibile boom del periodo pandemico, i marchi di e-commerce e derivati sembrano molto gettonati, come dimostra il terzo posto del servizio corriere DHL (9%) e il quarto di Best Buy (8%). Legato a questo fenomeno è anche il nono posto di PayPal (2,3%).

Google.

“Misero” quinto posto di Google, con il 6% dei messaggi che tenta di imitare il suo marchio. Big G è altresì vittima di un curioso fenomeno per cui molte delle false mail di Google pretendono di essere avvisi di sicurezza, chiedendo all’ignaro utente di cliccare un link proprio per meglio proteggere i suoi dati.

Social.

Completano la classifica, seppur molto staccati dalle posizioni di testa, social network, intrattenimento e messaggistica: si va dal 3% di WhatsApp (sesto posto) al 2,2% di Facebook (decimo), passando per Netflix (2,6%) e Linkedin (2,5%).

La mail security.

Come già spiegato in passato nella nostra guida alla mail security, i principali pericoli via mail derivano da link e allegati, entrambi in grado di scaricare sul computer software malevoli. Non sono tuttavia gli unici pericoli da cui guardarsi.

La truffa.

Si sta infatti diffondendo un metodo di truffa che non prevede affatto la presenza di link o allegati, ma una semplice mail testuale, che di solito finge di provenire da un servizio a pagamento (come un antivirus). Ovviamente è sempre utile controllare il mittente per capire se il dominio da cui spedisce la mail è davvero attendibile.

La telefonata.

La mail tipicamente comunica il rinnovo di un servizio a pagamento (chiaramente mai richiesto dal malcapitato) o al contrario l’arrivo di un rimborso. Per ulteriori informazioni si esorta a telefonare a un determinato numero, tipicamente straniero (ricordiamo che il prefisso internazionale dell’Italia è +39) ed extraeuropeo.

L’imbroglio.

Ovviamente l’interlocutore, a sua volta un truffatore, si affretta a chiedere gli estremi bancari del malcapitato per un pronto rimborso, a volte addirittura offrendosi di aiutarlo chiedendo l’accesso remoto al computer tramite Anydesk o app simili. Inutile dire che si tratta di mezzucci per estorcere quanto più possibile alla vittima della truffa.

La sicurezza.

Alle raccomandazioni già contenute nella nostra guida bisogna quindi aggiungere di non chiamare alcun numero di telefono prima di aver verificato il mittente della mail, assicurandosi che provenga da un dominio (la parte dell’indirizzo dopo @) effettivamente appartenente al soggetto in nome del quale viene spedita la mail. E’ inoltre utile assicurarsi di non concedere mai l’accesso al computer a sconosciuti.

PEC e pericoli.

Usare la Posta Elettronica Certificata (PEC) è sicuramente un ottimo modo per comunicare con la pubblica amministrazione, ma è bene ricordare che l’unica differenza con la normale posta elettronica è la certificazione dell’identità del mittente. Tecnicamente una PEC è identica a una qualsiasi e-mail, anche (e soprattutto) per quanto riguarda il suo livello di sicurezza.

Attenzione alle fatture.

Segnaliamo in particolare l’esistenza di Ftcode, l’ennesimo ransomware che punta a criptare tutti i dati dei computer infetti, chiedendone poi il riscatto tramite pagamento in bitcoin. La particolarità? Ftcode infetta i macchinari tramite una PEC di avviso per fatture in scadenza.

Le caratteristiche.

Non si tratta certo del primo codice malevolo che sfrutta la PEC, nondimeno Ftcode presenta delle particolarità che lo rendono una minaccia insidiosa. Ftcode presenta infatti un sistema che gli consente di evitare il blocco dei processi agendo una sola volta ogni 30 minuti, nonché di generare una password randomica che non viene inviata in chiaro al server di origine (rendendone più difficile l’eventuale identificazione).

Cosa fare?

E’ bene quindi ricordarsi di rispettare le regole base della mail security anche su PEC. In particolare controllare sempre l’indirizzo del mittente, non aprire allegati da indirizzi sconosciuti e, quando possibile, fatevi inviare file in formato .pdf.

Ransomware.

Dopo il picco del 2017, anno in cui migliaia di computer in tutto il mondo sono stati infettati da WannaCry e Petya, la diffusione dei ransomware sembra essersi rallentata (principalmente grazie alla maggiore consapevolezza e prevenzione da parte delle aziende). Ricordiamo che si tratta di attacchi informatici che criptano i dati delle vittime, pretendendo dai malcapitati soggetti aziendali un ricco riscatto in bitcoin per la decrittazione dei dati.

Ryuk.

Questo ovviamente non significa che i pirati informatici non stiano provando nuove soluzioni, a volte anche particolarmente ingegnose. E’ il caso del ransomware Ryuk, che cripta i file (principalmente .doc e .pdf) inserendo la desinenza ryuk e rendendoli inutilizzabili. Se si tenta di aprire il file, l’unica informazione estrapolabile è un indirizzo mail a cui scrivere per avere la precisa richiesta di riscatto (ovviamente in bitcoin).

Attacchi “a pioggia”.

Pur mirando ovviamente alle aziende e alle pubbliche amministrazioni, Ryuk sembra colpire a caso. Gli attacchi del ransomware sono infatti stati registrati in tutto il mondo, fruttando ad oggi qualcosa come 3,7 milioni di dollari ai suoi ideatori. Le piccole aziende non sono al sicuro: a fine settembre è stata infatti colpita anche una PMI del Canton Ticino, a cui è stato richiesto un riscatto di 31 bitcoin (al cambio attuale, 230mila euro).

L’infezione.

Come di norma per i ransomware, l’infezione arriva via mail (opportunamente hackerate) di mittenti sicuri, conosciuti e attendibili. Le mail in questione sono infette da un trojan (Trickbot o Emotet, tipicamente) e presentano un allegato Word: aprendolo, quest’ultimo chiede di attivare una macro. Ovviamente si tratta di qualcosa da NON fare assolutamente, in quanto è proprio quella macro a scaricare sul computer Ryuk. Una volta scaricato, il ransomware analizza la rende informatica infettata a lungo prima di criptare i dati.

Cosa fare?

E’ bene ricordare che i dati criptati non possono essere recuperati, a meno di non pagare il riscatto o ricorrere a metodi che spesso sono ancor più costosi del ricatto stesso. In compenso l’infezione da ransomware può essere prevenuta tramite alcune semplici accortezze:

• Backup periodico dei dati, con almeno una copia offline (altrimenti gli hacker potrebbero semplicemente cancellarla o criptarla a sua volta).
• Assicurarsi della sicurezza dei salvataggi in cloud (per esempio tramite autenticazione a due fattori).
• Aggiornare sempre hardware e software.
• Adottare soluzioni di mail security.
• Controllare il regolare funzionamento dell’antivirus.

Fatturazione elettronica e PEC.

L’obbligo di fatturazione elettronica anche per le transazioni fra privati, entrato in vigore a partire dal 1° gennaio 2019, ha esponenzialmente aumentato il traffico di posta elettronica certificata in Italia.

Estremi per la fatturazione.

L’indirizzo PEC è infatti un valido estremo per la fatturazione elettronica, in grado di affiancare o sostituire l’apposito codice identificativo. L’invio di fatture tramite PEC è quindi un metodo semplice ed efficace per adempiere ai nuovi obblighi.

Comunicazioni sicure?

Giova tuttavia ricordare che la posta elettronica certificata differisce da quella normale principalmente per quanto riguarda la tracciabilità e la validità legale delle comunicazioni inviate. Di conseguenza la PEC non è più sicura della posta elettronica ordinaria, dato che non gode di nessuna miglioria tecnica da questo punto di vista.

Un’occasione… per gli hacker.

La tracciabilità e la validità legale tendono tuttavia a creare nell’utente finale la convinzione psicologica che la PEC sia assolutamente sicura, abbassando la guardia nei confronti delle mail così ricevute (e dei relativi allegati). Convinzione peraltro fino ad oggi tendenzialmente corretta, per il semplice fatto che lo scarso uso della PEC rendeva “poco conveniente” per dei pirati informatici hackerare un account certificato. Fino ad oggi.

Il precedente di Crypt0L0cker.

Un’importante eccezione a questa tendenza si è tuttavia verificata nel marzo 2017, quando il ransomware Crypt0L0cker si è diffuso tramite PEC di molti enti di pubblica amministrazione italiani. Coloro che hanno incautamente aperto le mail, rassicurati dalla loro natura “certificata”, si sono trovati i propri dati presi in ostaggio, con tanto di richiesta di riscatto. Il ransomware rendeva infatti inservibili tutti i dati del dispositivo infettato, a meno di pagare un  riscatto in bitcoin per ottenere la chiave di decrittazione… O di disporre di un adeguato backup precedentemente predisposto, ovviamente.

Le nuove minacce.

Tornando al presente, l’aumento degli attacchi via PEC non è solo una previsione: si è già verificato. La società di cyber security Yoroi ha infatti isolato un attacco che sfrutta allegati Excel in mail PEC, solitamente intitolate in maniera generica ma credibile: “Avviso di pagamento”, “Fattura corretta”, “Avviso di scadenza” o simili. Il file .xls, di per sé innocuo, chiede l’attivazione di una macro per la visualizzazione corretta: autorizzando il passaggio in realtà l’ignara vittima finisce per scaricare una variante del malware Ursnif.

Come difendersi?

Come difendersi, dunque? Innanzi tutto serve entrare nell’ottica che la PEC non è più sicura della normale posta elettronica, e che anche il più autorevole degli interlocutori può essere hackerato. Di conseguenza, basta attuare per la posta certificata gli stessi accorgimenti che normalmente vengono destinati alle normali mail. Al riguardo, rimandiamo alla nostra Guida veloce alla Mail Security  per alcuni consigli semplici e immediati.