Un anno di Phishing. L’evoluzione delle Truffe Online in Italia nel 2024

Un altro anno volge al termine e, come di consueto, il nucleo anti frode del D3Lab si appresta a fare un bilancio per esaminare l’andamento del phishing (e non solo) nel contesto italiano e le sue evoluzioni.

Iniziamo a smontare alcuni luoghi comuni, come ad esempio:

• “Io non ci cascherò mai”
• “Solo le persone anziane o quelle che non sono esperte di tecnologia vengono ingannate.”
• “Solo gli stupidi ci cascano (io sono più furbo).”

Nella nostra esperienza quotidiana in D3Lab, abbiamo avuto modo di analizzare a fondo queste affermazioni e possiamo dire con certezza che non corrispondono alla realtà. Ne sono prova il numero sempre crescente di vittime che tale fenomeno registra giornalmente, come evidenziato dai dati riportati di seguito, relativi a carte di credito, username utilizzati per l’accesso all’home banking e indirizzi email sottratti dai criminali.

Iniziamo facendo un confronto negli anni.

Non ci soffermeremo a menzionare gli enti che hanno registrato il maggior o minor numero di casi di phishing, poiché l’obiettivo di questo articolo è fornire una panoramica generale sul fenomeno e sul suo andamento.
Per quanto riguarda i casi meritevoli di attenzione per le modalità con cui sono state realizzati, vi invitiamo a consultare gli articoli pubblicati nel corso dell’anno, in cui abbiamo trattato, ad esempio, le prime campagne di phishing ai danni di Glovo, Tnotice, Trenitalia, Ho Mobile e altri.

Tuttavia, il phishing non è l’unico strumento che abbiamo visto a disposizione dei criminali per ingannare le loro vittime.

Nel corso dell’anno, abbiamo osservato anche un incremento del fenomeno del quishing, una forma di frode che sfrutta i QR Code per facilitare il phishing.

Si è registrato anche un aumento dei casi di spear phishing, una tipologia di frode che generalmente si avvale di registrazioni di domini ad hoc specifici che replicano il “target” da attaccare e mirano principalmente a dipendenti ed aziende. L’obiettivo è sottrarre credenziali o diffondere malware per infiltrarsi infettando le infrastrutture delle aziende che sono state colpite, metodica non di rado alla base delle compromissioni malware.

Non meno importante è il Vishing che nel corso di quest’anno ha avuto un aumento notevole di casi.
Chi di voi non ha mai ricevuto un sms di questo tipo.

Giusto per far capire di cosa stiamo trattando, questa è una particolare tipologia di frode che viene veicolata tramite telefono.

La vittima riceve, come nello screenshot allegato qui sopra, una finta comunicazione da parte della sua banca dove viene chiesto di contattare il numero di telefono xxx-xxxxxxx per disconoscere un’operazione “fittizia” fatta dal suo conto corrente.

A questo punto, a diretto contatto con la vittima, il criminale cercherà di estorcerle il maggior numero di dati possibile e se possibile, anche delle cifre significative dal suo conto corrente bancario.

Ma alla fine dei conti, quante persone cadono vittima del phishing?

I dati che stiamo per presentarvi illustrano il numero di segnalazioni, user ID, carte di credito e indirizzi email compromessi che abbiamo raccolto nell’arco dell’anno grazie alle segnalazioni di phishing, inoltrandoli successivamente agli istituti di credito nostri clienti per la tutela degli utenti consumer.

È importante fare una premessa: anche se oggi tutto sembra lontano, fino a maggio/giugno 2023, in Italia si continuava a vivere l’incubo della pandemia. Molti non potevano recarsi al lavoro, altri si sono ritrovati costretti a lavorare da casa o, peggio ancora, avevano perso il lavoro. Questo contesto ha creato un terreno fertile per i criminali, portando a un numero di vittime significativamente superiore rispetto agli anni precedenti, come vedremo a breve.

Dal 2016 a oggi, il numero di segnalazioni di phishing rilevate dal D3Lab ai danni di utenti italiani è il seguente:

Numero di Segnalazioni	Anno
9608	2016
10751	2017
8830	2018
8650	2019
13489	2020
18593	2021
28207	2022
25587	2023
18658	2024

Il numero di username e indirizzi email rubati è diminuito, tornando ai livelli del 2021 (1°/2° ondata).

Questo cambiamento è dovuto, in particolare, all’emergere di una nuova tipologia di frode che, invece di richiedere il codice utente e la password del conto corrente, chiede di inserire Nome, Cognome e numero di telefono.

Perché questa scelta?

In questo modo, il criminale può contattare direttamente la vittima utilizzando i dati ottenuti, rendendo la truffa più convincente.

Va menzionata una nuova pericolosa modalità di aggressione che vede i criminali contattare le filiali degli istituti bancari fingendosi delle forze dell’ordine, richiedono i numeri di telefono di potenziali vittime per contattarle direttamente e richiedere il PIN della loro carta.

Carte di Credito:

Questo rimane il principale obiettivo dei criminali, come è sempre stato e probabilmente continuerà ad essere.

Da quanto si può osservare nel grafico qui sotto, che si concentra esclusivamente sul phishing in Italia, si nota una diminuzione rispetto agli anni della pandemia, sebbene i dati siano comunque significativamente più alti rispetto al 2021.

Bene, siamo arrivati alla fine del nostro articolo, e come si può vedere dai dati, il phishing è sempre più un pericolo reale.

Ricordiamo che da una semplice mail di phishing si possono correre dei seri rischi quali

• Furto d’identità
• Svuotamento del conto bancario
• Accessi non autorizzati
• Installazione di Malware
• Compromissione dei dati

E mentre ci prepariamo a festeggiare il Natale e le festività con i nostri cari, il D3Lab vi ricorda di mantenere sempre alta l’attenzione sulle minacce del mondo digitale e di fare particolare attenzione a non condividere mai le vostre informazioni sensibili, come username, password, indirizzi email, numeri di telefono, ecc.

Buone Feste da tutti noi.