I link di phishing sono costruiti per superare un’occhiata veloce. Il nome del marchio c’è, il lucchetto c’è e la pagina sembra quella giusta. Imparare a leggere un URL come lo legge un browser richiede pochi minuti e permette di smascherare la maggior parte dei trucchi descritti qui sotto.
Gli esempi di questo articolo usano il nostro dominio, angelforce.eu, e domini riservati agli esempi. Non visiti i domini simili per provarli.
Trovare la parte che conta: il dominio registrabile
Un indirizzo web è composto da diverse parti. Solo una indica chi controlla il sito.
https://login.angelforce.eu.account-check.example/session/verify?ref=angelforce.eu| Parte | Valore | Chi la controlla |
|---|---|---|
| Schema | https | Non dice nulla su chi possiede il sito |
| Sottodomini | login.angelforce.eu | Chi possiede il dominio registrabile |
| Dominio registrabile | account-check.example | Il titolare del dominio: questo è il sito |
| Percorso e query | /session/verify?ref=angelforce.eu | Il titolare del dominio, che qui può scrivere qualsiasi cosa |
Legga il nome host da destra verso sinistra. Parta dalla fine, .example, e prenda un’altra etichetta a sinistra. Quella coppia è il dominio registrabile, e chi l’ha registrato controlla tutto ciò che si trova alla sua sinistra. Il nostro nome compare due volte nel link qui sopra, e nessuna delle due occorrenze significa qualcosa.
Alcune estensioni richiedono due o più etichette. co.uk è un suffisso pubblico, quindi in shop.example.co.uk il dominio registrabile è example.co.uk. Per questo i browser si basano sulla Public Suffix List, mantenuta dalla comunità, ad esempio per evidenziare la parte più importante di un dominio nella barra degli indirizzi.
Il lucchetto e https significano solo che la connessione è cifrata. Chiunque può ottenere un certificato per un dominio che controlla, compreso un attaccante.
Domini simili
Il trucco più semplice è un dominio che a prima vista sembra quello autentico:
- una lettera scambiata:
angeIforce.eu, con una I maiuscola al posto di una l minuscola, che in molti font si somigliano - una parola in più:
angelforce-security.euoangelforce-eu.com - un’estensione diversa:
angelforce.coinvece diangelforce.eu
Nessuno di questi domini ci appartiene. Chiunque potrebbe registrarli.
Omografi e punycode
I nomi di dominio possono contenere lettere di altri alfabeti. Nel DNS vengono memorizzati in una forma ASCII che inizia con xn--, prodotta da un algoritmo chiamato Punycode. La lettera cirillica “а” ha lo stesso aspetto della “a” latina nella maggior parte dei font, quindi:
аngelforce.eu (first letter is Cyrillic)
xn--ngelforce-zyh.eu (what DNS actually sees)Chrome mostra un’etichetta nella forma xn-- quando mescola alfabeti in modo rischioso, ad esempio latino e cirillico. Intercetta anche i nomi scritti interamente con lettere ingannevoli, come аррӏе.com, che mostra come xn--80ak6aa92e.com, e i domini che imitano domini popolari.
Non si affidi solo a questo. Questi controlli proteggono soprattutto i domini più noti e non si applicano al testo di un link in un’email, che può dire qualsiasi cosa. Se vede xn-- in un link che non si aspettava, lo consideri sospetto.
Il trucco della @
Se un simbolo @ compare prima della prima / dopo https://, tutto ciò che lo precede è “informazione utente” (user information), non l’host. La RFC 3986 avverte che questa parte può essere costruita in modo da sembrare un nome di dominio affidabile.
https://www.angelforce.eu@203.0.113.50/loginQuesto link porta al server 203.0.113.50. La parte www.angelforce.eu viene trattata come nome utente, non come destinazione. Un servizio legittimo non ha quasi mai motivo di inviarle un link che contiene @ prima dell’host.
Link accorciati e codici QR
I link accorciati e i codici QR nascondono la destinazione fino a dopo il clic o la scansione. È il loro scopo, ed è anche il motivo per cui gli attaccanti li usano. L’NCSC consiglia cautela nello scansionare codici QR presenti nelle email. Espanda un link accorciato con uno strumento di verifica dei link prima di aprirlo, oppure acceda direttamente al servizio.
Open redirect
Alcuni siti legittimi hanno una funzione di reindirizzamento che invia i visitatori a qualsiasi indirizzo indicato in un parametro. Il cheat sheet OWASP sui reindirizzamenti non validati mostra uno schema come questo:
https://example.com/example.php?url=https://malicious.example.comIl link inizia con un dominio reale e affidabile, ed è proprio questo il punto. Cerchi parametri come url=, next=, redirect= o return= che contengono un secondo indirizzo completo. Il secondo indirizzo è probabilmente quello in cui finirà.
Percorsi e sottodomini ingannevoli
Inserire nomi di marchi nel percorso o nei sottodomini non costa nulla a un attaccante:
https://secure-login.example/angelforce.eu/microsoft365/signin
https://angelforce.eu.secure-login.example/Entrambi i link appartengono a secure-login.example. Percorsi lunghi con nomi di marchi, parole come “secure”, “verify” o “account” e molti caratteri casuali non sono una prova di phishing, ma sono un buon motivo per guardare meglio.
Domini di primo livello poco familiari
Alcuni domini di primo livello sembrano altro. .zip è un dominio di primo livello delegato dal 2014, quindi invoice.zip può essere un sito web anziché un file. Un link che termina con un nome di file potrebbe non essere affatto un file.
Abitudini pratiche
- Passi il mouse sul link o tenga premuto prima di fare clic, e legga la destinazione reale, non il testo del link.
- Raggiunga di persona i siti importanti. Usi i preferiti o digiti l’indirizzo della banca, del portale paghe e della pagina di accesso di Microsoft 365 o Google.
- Verifichi con il mittente tramite un canale noto. L’NCSC consiglia di contattare direttamente l’organizzazione usando i recapiti del suo sito ufficiale, non quelli presenti nel messaggio.
- Usi un password manager. Inserisce le password solo sul sito in cui sono state salvate, quindi non proporrà la sua password su un dominio simile. Le passkey vanno oltre, perché ognuna è legata al sito reale.
- Diffidi della pressione. L’NCSC indica autorità, urgenza, emozioni, scarsità e fatti di attualità come leve comuni nei messaggi truffa.
- Lo segnali. Un messaggio sospetto segnalato aiuta a proteggere i colleghi, anche se non ha fatto clic.
Da dove iniziare
Incolli un link sospetto nel nostro strumento di analisi dei link per vedere dove porta davvero, senza aprirlo. Se è l’email stessa a sembrare strana, il nostro strumento di analisi delle intestazioni email mostra quali server l’hanno gestita e se SPF, DKIM e DMARC sono stati superati.
Se desidera che il suo team impari a leggere i link in questo modo, il nostro servizio di consulenza e formazione può aiutarla.
