Intanto sfiatiamo un falso mito: la PEC (la Posta Elettronica Certificata) non è più sicura di un normale indirizzo di posta elettronica,
è solo meno usata (al momento); l'unica differenza è che il servizio PEC presenta delle caratteristiche aggiuntive fornendo agli utenti la certezza a valore legale dell’invio e della consegna (o mancata consegna) delle e-mail al destinatario.
Quindi una Pec può contenere anche una campagna di pishing o un allegato infetto da malware, può addirittura arrivare da un'altra PEC e spesso è scritto in italiano quasi corretto con riferimenti più precisi del destinatario (tipo codice fiscale o indirizzo)per dare più credibilità alla mail.
Questo è un esempio di falsa mail ricevuta da un nostro cliente:
(le XXX le abbiamo aggiunte noi)
"< Cc Data Mon May 16 01:42:08 CEST 2022
Oggetto: Ultimo sollecito di pagamento per XX XXXX paola
Spett.le XX XXXX paola roma (rm) via carlo XXXXXXX X0 P.Iva XXXX (codice fiscale reale) Con la presente Le rammento che, in forza di contratto concluso tra di noi in data 2/02/2022, Lei si è obbligato a versarmi l?importo di euro 212,10. L?adempimento ad oggi non è ancora stato eseguito e a nulla sono valsi i numerosi solleciti già inoltrati. Le rappresento pertanto che, in difetto di adempimento spontaneo entro cinque giorni dal ricevimento della presente, procederò a conferire incarico processuale al mio avvocato il quale avvierà direttamente le pratiche per il recupero del credito, senza ulteriori avvisi o solleciti. La presente pertanto è valevole come formale messa in mora e interruttiva della prescrizione. P.S. La copia del contratto e fattura lo trova nel allegato a a questa email. Cordiali Saluti">>
Ma come hanno fatto ad avere tutte queste informazioni private del destinatario?
La risposta è molto semplice; le hanno prelevate dal Registro delle Imprese. La PEC è uno strumento non anonimo ma richiede una procedura di registrazione con tanto di documentazione cartacea per il riconoscimento del richiedente, gli Enti preposti al rilascio della PEC comunicano al Registro delle Imprese tutti i dati necessari per il riconoscimento del soggetto e poiché sono dati pubblici, sono anche consultabili ed online, basta andare su ini-pec (https://www.inipec.gov.it/), inserire la pec ed avremo tutti i dati del registrante. Per superare eventuali controlli lato server sulla posta PEC poi hanno utilizzato la tecnica del doppio "ZIP", l’allegato è infatti in formato ZIP, al suo interno poi, c’è un secondo ZIP che contiene un file VBS che è uno script malware che partirà automaticamente una volta aperto il secondo ZIP.
Come difendersi da queste false mail?
Usando sempre il buonsenso e verificando sempre l'attendibilità di ciò che riceviamo.
Nel nostro caso per esempio la mail parlava di "numerosi solleciti già inoltrati.." che invece il destinatario non aveva mai ricevuto; l'allegato è in formato ZIP mentre di solito si tende a mandare in formato PDF proprio per avere un riscontro visivo immediato; inoltre mancavano nella mail riferimenti specifici del mittente (tipo un contatto telefonico e i dati anagrafici societari quali indirizzo reale del mittente).
