L’avviso diventa un copione
Un avviso di violazione comunica al pubblico quale organizzazione è stata colpita, che tipo di dati è coinvolto e come verranno contattati i clienti. I truffatori riutilizzano esattamente questi dettagli. I messaggi che citano la violazione, riportano l’avviso e promettono un risarcimento o un controllo di sicurezza appaiono credibili perché la violazione stessa è reale.
Come si presenta l’ondata
Nei casi compositi anonimizzati che studiamo, lo schema si ripete: domini simili registrati nei giorni successivi all’avviso, SMS ed e-mail che rimandano a false pagine di assistenza o di rimborso e falsi servizi che offrono di rimuovere i dati trapelati a pagamento. Gli stessi canali che pubblicizzano il leak spesso veicolano anche queste esche.
Segnali che i difensori possono monitorare
Nuove registrazioni di domini e voci nei registri di Certificate Transparency che contengono il nome del marchio, pagine di pagamento che copiano la grafica dell’organizzazione e post pubblici che offrono di verificare se un account sia stato coinvolto. Ciascuno di questi elementi può essere acquisito, sottoposto a hash e inviato al registrar, al fornitore di hosting o al servizio abuse, senza toccare i dati trapelati.
Che cosa aiuta i clienti
Indicazioni chiare e ripetute funzionano meglio di un singolo avviso: quali canali utilizza l’organizzazione, che cosa non chiederà mai e dove segnalare un messaggio sospetto. Pubblicare i domini ufficiali e i numeri di assistenza rende più facile riconoscere i domini simili, sia per i clienti sia per i servizi che li bloccano.
Il nostro approccio
Monitoriamo passivamente le fonti pubbliche per il marchio interessato e i suoi fornitori e comunichiamo privatamente all’organizzazione ciò che troviamo. Non interagiamo con chi conduce una campagna, non acquistiamo né scarichiamo dati trapelati e non pubblichiamo dettagli di una violazione che non sia stata confermata pubblicamente.