C'è una nuova e sofisticata truffa che colpisce chi ha smarrito un iPhone o ha subito il furto del proprio dispositivo. A lanciare l'allarme è stato il National Cyber Security Centre britannico, dopo numerose segnalazioni di utenti che, anche mesi dopo la loro perdita, hanno ricevuto messaggi apparentemente ufficiali che annunciavano il ritrovamento del telefono all'estero.. Occhio all'Apple Id. I truffatori fanno leva sulla legittima speranza di ritrovare il cellulare per rendere più efficaci le proprie comunicazioni fraudolente, inviate allo scopo di sottrarre le credenziali dell'Apple ID, la chiave che permette di controllare da remoto qualsiasi dispositivo associato. Un fenomeno che, secondo gli analisti, non è circoscritto al Regno Unito: può colpire chiunque e ovunque.. Messaggi costruiti ad arte. La truffa si basa sull'invio di messaggi tramite iMessage o SMS che a prima vista sembrano autentici. I criminali inseriscono nel testo dettagli tecnici plausibili, come il modello dell'iPhone o la capacità di memoria, sufficienti a far credere che la comunicazione provenga davvero da Apple. All'interno compare un link che promette di mostrare la posizione aggiornata del telefono, ma porta invece a una pagina web camuffata da portale di login Apple.Una volta inserite le credenziali, le vittime consegnano involontariamente l'accesso completo al proprio account, permettendo agli aggressori di intervenire sul dispositivo da remoto. L'efficacia dell'attacco nasce proprio dalla meticolosità con cui è costruito: ogni dettaglio è pensato per risultare credibile a un utente preoccupato e, quindi, più vulnerabile.. Obiettivo: disattivare il blocco. Rubare l'Apple ID non serve soltanto per accedere ai servizi associati, ma soprattutto per aggirare l'Activation Lock, il sistema antifurto che rende un iPhone inutilizzabile per chiunque non disponga delle credenziali del proprietario. Questo blocco è così ben congegnato da impedire qualsiasi rivendita sul mercato nero, motivo per cui l'unica strategia che rimane ai criminali è convincere l'utente a disattivarlo di propria mano.Il phishing è quindi lo strumento che permette di trasformare una difesa efficace in un punto debole attraverso la manipolazione psicologica. Per entrare in contatto con il proprietario, gli aggressori possono sfruttare la SIM inserita nel dispositivo rubato oppure, paradossalmente, la funzione "Dov'è". Se l'utente lascia un messaggio sulla schermata di blocco sperando nel ritrovamento del telefono, fornisce involontariamente il recapito tramite cui verrà contattato dai truffatori.. Le varianti italiane. In parallelo all'ente britannico, il nostro CSIRT (Computer Security Incident Response Team) ha segnalato un'altra campagna di phishing con modalità simili, anche se non legata agli iPhone smarriti. In questo caso la trappola arriva tramite e-mail e riguarda un presunto esaurimento dello spazio di archiviazione della casella di posta. Il messaggio invita a liberare la cache tramite un link che porta, come nel caso precedente, a una pagina di login fasulla costruita per sottrarre le credenziali. Pur con obiettivi diversi, entrambe le campagne mostrano un tratto comune: l'uso dell'ingegneria sociale per spingere l'utente ad agire d'impulso.È proprio questa vulnerabilità umana, più che un difetto tecnologico, a rendere possibili attacchi così mirati. Per questo motivo, conoscere i meccanismi delle truffe e diffidare dei messaggi inattesi, resta sempre la difesa più efficace..