Una nuova truffa cyber che ruba gli account ha preso di mira gli utenti di Instagram: lo rivela la società di sicurezza Trend Micro. I cybercriminali dietro alla nuova minaccia informatica si stanno impossessando degli account delle vittime attraverso attacchi di phishing, boicottando il processo per la riattivazione dell’account; in questo modo sono in grado di tenere l’account rubato, anche se l’utente segue il processo di riattivazione.
Al momento gli account più bersagliati sono quelli con un numero di follower superiore ai 15.000; Trend Micro segnala “casi di attori, cantanti, fotografi e influencer” colpiti. Ci sono anche tentativi di estorsione: i cybercriminali avrebbero chiesto fotografie di nudo o video per restituire l’account, ma, una volta entrati in possesso del profilo, possono utilizzare tutto il materiale (fotografie, storie, mail private etc.), oltre agli altri dati rilasciati nell’attacco di phishing.
La compromissione dell’account inizia con una finta email da Instagram che chiede alla vittima di verificare l’account per ottenere il badge di verifica del social network, spiega Trend Micro. Attenzione, perché questo processo si attiva solo quando è l’utente a richiederlo e Instagram non richiede le credenziali per questa attività, avvisa la società di cybersecurity. Una volta che l’utente ha cliccato sul pulsante di “Verifica Account”, la cyber-truffa lo conduce a una pagina di phishing che richiede i dati personali. Nel momento in cui l’attaccante ha accesso sia al profilo Instagram dell’utente che al suo indirizzo email relativo all’account, può modificare le informazioni per il recupero dell’account rubato e impedire questo processo. Per rendere più credibile l’attacco, alla fine compare anche una notifica di badge ricevuto.
Per smascherare eventuali truffe e attacchi phishing è bene installare soluzioni di security affidabili come quelle Trend Micro, ma come prima linea di difesa “personale” l’azienda consiglia di adottare alcuni specifici accorgimenti. Per esempio, occorre guardare sempre se il dominio del mittente della comunicazione è quello originale; fermarsi a osservare il font utilizzato nelle email, che di solito è diverso da quello delle email legittime; prestare attenzione a eventuali errori di grammatica e punteggiatura; e ricordarsi che i social media non chiedono le credenziali al di fuori delle loro pagine di login.
