Phishing NoiPa
Trovandoci nel periodo di Natale, ci sono molti più soldi che circolano, che siano contanti o virtuali. Ed è così anche su NoiPa, il sistema stipendiale della Pubblica Amministrazione. E qualche hacker ha pensato bene che valeva la pena violare l’account di qualcuno per ricevere gli stipendi e le tredicesime al posto dei dipendenti. E molti dipendenti della PA non informati, ci sono cascati.
Soprattutto perchè oggi è possibile hackerare di tutto. Da Disney+, ad una centrale nucleare in India. Gli hacker non risparmiano nessuno, soprattutto se hanno la possibilità di ricavare qualcosa da questi attacchi. E nel caso di NoiPa, sicuramente avevano da ricavare molto. Hanno deciso che anche loro meritavano una tredicesima.
La procedura utilizzata dai malintenzionati è stata molto semplice. Si è trattato di un semplice attacco con un sistema di phishing, diretto sugli indirizzi email di alcuni malcapitati. Per chi non sapesse cosa sia il phishing, è una tecnica molto banale. Non servono doti particolari per effettuarne uno.
Il phishing è un tipo di attacco molto semplice, tramite il quale si crea una pagina di login (in questo caso al sito di NoiPa) identica a quella originale. L’unica differenza è che una volta effettuato il login, le credenziali inserite verranno salvate da qualche parte in un server, o documento, degli hacker che hanno creato quella pagina. E infatti gli hacker in questione hanno effettuato l’accesso proprio tramite le credenziali dei dipendenti.
Avendo avuto accesso direttamente al profilo utente dei dipendenti, è stato possibile cambiare alcune credenziali ed informazioni personali. Ovviamente quello che hanno cambiato, in primis, è stato il numero di telefono. L’IBAN successivamente. Questo perchè, per effettuare il cambio dell’IBAN è necessario una prova, come misura di sicurezza, mediante una chiamata telefonica.
La chiamata di sicurezza in questione, tra l’altro, è un semplice squillo. Che viene attaccato immediatamente, solo a conferma che quel numero esista davvero e appartenga a qualcuno. Sicuramente sarà molto difficile recuperare il denaro perduto dai dipendenti. Essendo loro responsabili in primis delle loro credenziali, sarà difficile restituire loro il denaro.
Su questa questione sta indagando la Polizia Postale e la Procura di Roma, che sta provando ad analizzare gli IBAN sui quali sono stati versati gli stipendi e le tredicesime, per provare a risalire al gruppo criminale.