I laboratori Trend Micro segnalano la diffusione di una nuova truffa che ha preso di mira gli utenti di Instagram.

Un gruppo di cybercriminali si sta impossessando degli account delle vittime attraverso attacchi di phishing e, boicottando il processo per la riattivazione dell'account, è in grado poi di mantenere il controllo dell'account rubato, anche se l'utente segue il processo di riattivazione.

Al momento gli account più bersagliati sono quelli con un numero di follower superiore ai 15.000: sono già stati colpiti i profili di attori, cantanti, fotografi e influencer.

Proposte di lettura:

Instagram, quando bastano un selfie e un numero per finire molestati

Bug in Instagram, esposte le password degli utenti

I co-fondatori di Instagram lasciano Facebook

Eliminare in massa i post, invece degli account, nei social

Sono stati inoltre segnalati tentativi di estorsione: i cybercriminali avrebbero chiesto fotografie di nudo o video per restituire l'account.

La compromissione dell'account inizia con una finta email che sembra provenire da Instagram e chiede alla vittima di verificare l'account, al fine di ottenere un badge di verifica del social network.

Il processo di richiesta del badge esiste davvero, ma si attiva soltanto quando è l'utente a richiederlo: Instagram non invia nessuna email a questo scopo, e dunque la ricezione di un tale messaggio già dovrebbe insospettire il destinatario.

Se però l'utente abbocca, e clicca sul pulsante di Verifica Account, allora viene condotto a una pagina di phishing che richiede i dati personali, che vengono immediatamente consegnate all'ideatore della truffa.

Questi, a quel punto, ha immediato accesso sia al profilo Instagram dell'utente che al suo indirizzo email legato all'account, e può quindi modificare le informazioni per il recupero dell'account rubato e impedire questo processo.

Alla fine dell'operazione, per rendere più credibile l'attacco, all'utente appare anche una notifica di badge ricevuto.

Difendersi da questo genere di truffe, anche se ben architettate, non è troppo difficile. Ci si può certamente dotare di una soluzione software a scopo di protezione, ma innanzitutto è l'utente stesso che deve farsi promotore della propria sicurezza.

Per esempio, è sempre bene verificare se il dominio del mittente della comunicazione sia quello originale, stare attenti a eventuali errori di grammatica e punteggiatura e ricordarsi che i social media non chiedono le credenziali al di fuori delle loro pagine di login.