Phishing orientale

利用いただき、ありがとうございます。
このたび、ご本人様のご利用かどうかを確認させていただきたいお取引がありましたので、誠に勝手ながら、カードのご利用を一部制限させていただき、ご連絡させていただきました。

つきましては、以下へアクセスの上、カードのご利用確認にご協力をお願い致します。
 お客様にはご迷惑、ご心配をお掛けし、誠に申し訳ございません。
何卒ご理解いただきたくお願い申しあげます。
ご回答をいただけない場合、カードのご利用制限が継続されることもございますので、予めご了承下さい。

ご不便とご心配をおかけしまして誠に申し訳ございませんが、
何とぞご理解賜りたくお願い申しあげます。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
■発行者
三井住友カード株式会社
〒135-0061
東京都江東区豊洲2丁目2番31号
SMBC豊洲ビル

Per me sono tutti cinesi questi messaggi che arrivano con gli ideogrammi ed anche se il mittente ha estensione "jp" (giappone)... non ho tempo e voglia di capire se invece appartengono ad un altra nazione. Lo so, non ci faccio una gran bella figura ma, per me, ragionare in questo modo buzzurro ed ignorante, è una scorciatoia che mi permette di semplificare la complessità della vita. Fra le centinaia di messaggi mail che contribuiscono ad aumentare lo spreco di energia a livello planetario e giustificare i sostenitori dell'energia nucleare, ricevo questa comunicazione, diretta ad un indirizzo che non uso da quasi vent'anni (finito ormai in chissà quante liste che vengono rivendute ai soliti polli). Grazie a gùgol traduttore riesco anche a capire cosa vogliono:

Grazie per averlo usato.
Abbiamo ricevuto una transazione che vorremmo confermare se stai utilizzando o meno la carta, quindi ti abbiamo contattato con alcune restrizioni sull'uso della carta.

Pertanto, si prega di accedere a quanto segue e collaborare per confermare l'uso della carta.
 Ci scusiamo sinceramente per eventuali disagi e preoccupazioni ai nostri clienti.
Grazie per la vostra comprensione.
Tieni presente che se non rispondi, le restrizioni sull'utilizzo della carta potrebbero continuare.

Ci scusiamo per qualsiasi inconveniente e preoccupazione, ma ci scusiamo per l'inconveniente.
Grazie per la vostra comprensione.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
■ Emittente
Sumitomo Mitsui Card Co., Ltd.
〒135-0061
2-2-31 Toyosu, Koto-ku, Tokyo
Edificio SMBC Toyosu

Ecco, il classico invito a cliccare su un link malevolo che vorrebbe i dati della mia carta di credito... classico phishing e pure fatto male, non certo per l'italiano stentato (frutto dell'AI di Gùgol che tira ad indovinare). 

L'intento è chiarissimo e cadere nel tranello in questo caso abbastanza improbabile, a meno che... già, pare strano ad alcuni ma c'è sempre qualche unano che ci casca e non sto parlando dell'impiegata distratta ma anche di qualche "dirigente" ignorante (che se non fosse ignorante non avrebbe nemmeno fatto carriera). Statisticamente c'è sempre una buona dose di unani che cliccano a caxo senza capire cosa e perchè. Dentro di loro scatta una sorta di paura, sempre frutto di un ragionamento minimale tipico dell'unano. Se la mail di phishing contiene una minaccia o una promessa di guadagno o promette di soddisfare una qualsiasi curiosità, la probabilità che l'abbocco vada a buon fine è altissima, più di quanto si pensi. Se poi il phishing è targhettizzato (non come in questo caso) e si focalizza su destinatari noti o almeno appartenenti ad una tipologia omogenea, la percentuale di successo sale alle stelle.

Proviamo a fare un esempio banale. Ipotizziamo che vogliamo pescare un ricco magnaschèi. Assicuriamoci che le mail le legga lui in persona e che non deleghi la risposta a collaboratori vari. Indaghiamo per bene qual'è il suo atteggiamento nei confronti delle cose a cui tiene particolarmente. Prendiamo la mira ed inviamogli una comunicazione costruita ad arte, che faccia leva su paura o curiosità o ancora avidità (ne basta anche una sola). Se invece il magnaschèi delega la gestione della corrispondenza a collaboratori, è ancora più facile, specie se si sa come il magnaschèi si esprime e come è abituato a trattare i suoi schiavi.

Se il target è una donna ad esempio, meglio se ricopre un ruolo delicato nella società (un magistrato? un dirigente di PS?), basterebbe mandare una comunicazione di questo tipo: "Guarda cosa combina tua figlia invece di andare a scuola, è una vergogna ed uno scandalo! Per decenza dovresti dimetterti!! come minimo." Si può anche rincarare la dose dicendo "...sei un fallimento come donna e come madre!"...quanti secondi passano prima che il pollo clicchi su un link o su un allegato?  

Sia chiaro, per inciso, cadere nei tranelli del phishing è probabile anche per gli addetti ai lavori che si occupano di cybersecurity. Anche io in primis ci sono andato vicinissimo, non fosse per la paranoia di controllare 10 volte e verificare il mittente, soprattutto per quelle comunicazioni "delicate" che richiedono dati sensibili o azioni che possono incidere in qualche modo negativamente sulle somme principesche che nascondo all'estero (Credito cooperativo di Marte e Plutone). Scherzi a parte, alla fine della fiera, l'unico impatto prodotto dalla comunicazione in incipit è stato quello di avermi fatto perdere un pò del MIO preziosissimo tempo, maledetto cinese! Alla prossima. 

P.S. gratta il grana e vinci. Ripeto: gratta il grana e vinci.