Attacco indiretto

Spesso si dà per scontato che i cyber criminali attacchino direttamente il loro obiettivo, cercando di rubare dati o di forzare qualche accesso. In realtà gli attacchi più sofisticati e difficili da contrastare sono indiretti, ovvero non colpiscono la vittima designata ma un suo fornitore. In questo modo non solo il criminale è più difficile da rintracciare, ma ottiene anche accesso a più potenziali vittime contemporaneamente.

MoveIT

E’ il caso di MoveIt, servizio di trasferimento file sconosciuto ai più ma usato da diverse grandi aziende britanniche e statunitensi, quali BBC e British Airways. In questo caso gli hacker hanno sfruttato una vulnerabilità non ancora nota agli stessi sviluppatori di MoveIt, che consentiva agli utenti esterni di eseguire comandi all’interno dei database di MoveIt.

Le conseguenze

Così facendo i criminali hanno potuto rubare una quantità incredibile di dati da tutte le aziende clienti di MoveIt, fra cui quelle citate, prima ancora che qualcuno potesse anche solo accorgersi del problema.

La reazione

MoveIt ha comunque rilasciato un aggiornamento correttivo nel giro di quattro giorni, quindi anche in questo caso (come sempre) il consiglio principale è quello di tenere sempre aggiornati i servizi che si usano. Per le aziende varrebbe inoltre la pena di coordinarsi con i propri fornitori per assicurarsi che facciano altrettanto, altrimenti rischiano di essere vittima di data breach e attacchi informatici anche senza presentare alcuna vulnerabilità.

La ricerca

Quali sono le fasi successive? Non lo sappiamo, o almeno la ricerca degli esperti del team di Bitdefender che ha analizzato il fenomeno. Importante notare come si tratti di professionisti della sicurezza informatica in un ambiente protetto: è altamente sconsigliato fare questo tipo di “prove” in qualità di semplici utenti, anche avendo la consapevolezza che si tratta di una truffa.

Illuminati

Abbiamo spesso parlato di mail security (qui la nostra guida) e di elaborate strategie di spam e phishing tramite posta elettronica. Oggi parliamo di una particolare truffa via mail, da parte di truffatori che si spacciano per Illuminati alla ricerca di un nuovo “adepto” (da condurre a fama, gloria e ricchezza, chiaramente).

L’invito

Rispetto alle classiche truffe via mail, una particolarità di questa curiosa campagna di falso recruiting è che non chiede denaro (almeno non nelle fasi iniziali). La mail si limita infatti a fornire un contatto WhatsApp di un presunto “Gran Maestro” con cui parlare (in inglese, anche se la truffa è diffusa anche in Italia con mail in italiano).

Il pericolo

Già solo aggiungere il contatto mette l’utente in una situazione di pericolo, perché dà ai malintenzionati alcuni dati quali il numero di telefono. In seguito il “gran maestro” in questione invita la potenziale vittima a compilare un modulo, fornendo una serie completa di altre informazioni personali. Va notato che i moduli sono decisamente poco credibili, pieni di simboli “occulti” tutt’altro che sobri: probabilmente è voluto, in modo da assicurarsi che solo vittime totalmente ingenue procedano nelle fasi successive.

La stranezza

Anche in questo caso la supposta organizzazione segreta non chiede denaro, sembra quindi che i criminali vogliano semplicemente sottrarre informazioni. Cosa che si potrebbe fare con altri metodi anche più efficaci e meno impegnativi, ma probabilmente qui entra in gioco una sorta di selezione per carpire la fiducia di vittime particolarmente ingenue con un approccio più personale, per poi probabilmente rimandare a fiducia acquisita le transazioni.

La ricerca

Quali sono le fasi successive? Non lo sappiamo, o almeno la ricerca degli esperti del team di Bitdefender che ha analizzato il fenomeno. Importante notare come si tratti di professionisti della sicurezza informatica in un ambiente protetto: è altamente sconsigliato fare questo tipo di “prove” in qualità di semplici utenti, anche avendo la consapevolezza che si tratta di una truffa.

Spotify e monetizzazione

Spotify è il più grande servizio di streaming musicale al mondo, leader indiscusso del settore. L’avvento di Spotify (e delle sue alternative) ha inferto un colpo non indifferente alla pirateria musicale, a causa del prezzo contenuto e della formula “all-you-can-it” che compensano l’illegalità e la scomodità del download pirata. In questo modo artisti e case discografiche vengono pagati secondo il numero di ascolti in streaming giornalieri (e di download, da quando Spotify lo permette).

L’AI

Spotify e i servizi affini stanno venendo tuttavia bersagliate da una gran quantità di truffe basate sull’intelligenza artificiale. Sostanzialmente si tratta di produrre tracce audio fittizie tramite l’AI, effettuare automaticamente l’upload su Spotify, e generare una serie di ascolti fasulli tramite bot. In questo modo l'”artista” (in realtà il malintenzionato che ha usato l’AI) viene pagato di conseguenza, sottraendo peraltro la sua “percentuale” ai veri artisti.

Boomy

In particolare i malintenzionati usano un servizio (perfettamente legale ed estraneo alle truffe) chiamato Boomy per produrre le tracce audio da caricare su Spotify. Per questo motivo la piattaforma ha dapprima cancellato tutti i brani realizzati con Boomy, salvo poi riammetterli solo previa supervisione sull’autenticità.

Modello Soundcloud

Altri servizi di streaming erano stati colpiti da truffe analoghe in passato. Fa eccezione Soundcloud in quanto basato su un modello di streaming diverso: in questi casi i soldi di un singolo abbonato vengono divisi solo fra gli artisti da lui ascoltati, in modo da non lasciare alcuna “quota di mercato” agli ascoltatori fasulli.