Un annuncio fraudolento che impersona il team di sicurezza di Google ha attirato l'attenzione per un'apparente contraddizione: afferma che i rappresentanti non leggono copioni durante le chiamate di phishing vocale, pur presentando al contempo un testo che può essere utilizzato come copione per una chiamata.
L'annuncio sembra progettato per conferire credibilità all'ingegneria sociale basata sul telefono, comunemente nota come vishing. Queste truffe si basano in genere su un chiamante che sostiene di rappresentare un'azienda affidabile, un istituto finanziario, un'agenzia governativa o un fornitore di tecnologia. Il chiamante può quindi cercare di persuadere il bersaglio a rivelare password, codici di verifica, informazioni di pagamento o a installare software di accesso remoto.
Come il phishing vocale sfrutta i marchi affidabili
L'impersonificazione di marchi è una tattica comune perché i nomi familiari possono ridurre lo scetticismo. Gli aggressori possono utilizzare annunci a pagamento, numeri di telefono contraffatti, siti web clonati e avvisi urgenti relativi all'attività dell'account per far apparire legittimi i propri messaggi.
Il testo dell'annuncio illustra un altro rischio: il materiale utilizzato per le truffe può essere distribuito apertamente presentandolo come guida sulla sicurezza o informazioni dell'assistenza clienti. Le affermazioni secondo cui un'azienda legittima utilizza un particolare approccio alle chiamate non devono essere considerate una prova che una chiamata inattesa sia autentica.
Misure per ridurre l'esposizione
- Non fornire password, codici di autenticazione a più fattori o codici di recupero a un chiamante non sollecitato.
- Interrompere le chiamate inattese relative ad assistenza o sicurezza e contattare l'organizzazione tramite un numero di telefono o un sito web individuato autonomamente.
- Prestare attenzione alle richieste di installare strumenti di gestione remota, scaricare file o trasferire fondi a un cosiddetto conto sicuro.
- Verificare gli avvisi relativi all'account accedendo direttamente tramite un'app ufficiale o un sito aggiunto ai segnalibri, anziché seguire link o istruzioni forniti da un chiamante.
- Segnalare gli annunci e le chiamate sospettati di impersonificazione alla piattaforma che ospita l'annuncio e alle autorità competenti per la tutela dei consumatori o il contrasto alle frodi.
Le organizzazioni possono contribuire a limitare queste campagne monitorando gli abusi del marchio, informando i clienti sulle procedure di assistenza e rendendo facilmente reperibili i canali di contatto legittimi. Gli utenti dovrebbero presumere che le chiamate inattese riguardanti la sicurezza dell'account richiedano una verifica indipendente, indipendentemente dal nome visualizzato sullo schermo o citato dal chiamante.