Promettono Spotify Premium gratis ma rubano dati personali: le nuove truffe su Instagram e TikTok
;Resize,width=72;)
Non arrivano più soltanto via email, telefonate o messaggi sospetti. Le nuove campagne di phishing si stanno spostando sui social network, dove riescono a mettere nel mirino anziani e persone poco avvezze alla tecnologia – dunque considerate più facili da raggirare – ma anche gli utenti più giovani che trascorrono gran parte del loro tempo online. A lanciare l'allarme sono i ricercatori dell'azienda di sicurezza informatica ReversingLabs, i quali hanno individuato su TikTok e Instagram una serie di campagne virali che promettono di ottenere gratuitamente servizi e programmi a pagamento, come Spotify Premium, Microsoft Office o altri software molto richiesti. Dietro la promessa di un risparmio immediato si nasconde però un malware progettato per rubare dati personali e credenziali di accesso.
Abbiamo provato anche noi a cercare contenuti simili e benché queste truffe siano quasi tutte in inglese, le istruzioni sono facilmente replicabili anche da chi non mastica la lingua di Shakespeare. Il che rende ancora più facile cadere nella trappola.
Tutorial fake e video musicali: le tecniche di phishing social
Gli esperti di ReversingLabs hanno individuato in particolare due strategie ricorrenti per attrarre e colpire le vittime. La prima tecnica utilizza account che imitano pagine di trick e consigli di assistenza informatica. Questi profili spesso presentano nomi e loghi che richiamano aziende molto note, come Microsoft. I contenuti che propongono vengono spacciati come trucchi per sbloccare funzionalità premium attraverso l'esecuzione di alcuni comandi sul computer.
Nella maggior parte dei contenuti che abbiamo visionato c'è una voce generata dall'intelligenza artificiale che guida l'utente nelle operazioni. Il problema è che quei comandi non attivano alcun servizio gratuito, ma scaricano malware come Vidar Stealer, uno dei più diffusi strumenti per il furto di informazioni. Questo software è in grado di sottrarre password salvate nei browser, dati finanziari, cookie di sessione, token di autenticazione e perfino informazioni legate ai portafogli di criptovalute. Un'intrusione enorme che può trasformare il PC violato in un veicolo per ulteriori frodi.
La seconda, invece, è molto comune su TikTok. Ci è bastato digitare "Spotify premium tutorial" per trovare numerosi video che ricalcano lo stesso schema descritto dal team di ReversingLabs. Gli account si presentano come normali utenti che mostrano di utilizzare gratuitamente la versione premium di Spotify. I video non spiegano come ottenere il risultato, ma lasciano intendere che esista un trucco. Questo sistema, meno sofisticato dal punto di vista grafico, fa leva sulla curiosità. Gli utenti vengono invitati a commentare o a scrivere messaggi privati per ricevere istruzioni. In altri casi vengono indirizzati verso link presenti nella biografia del profilo o verso video successivi. Anche in questo caso, però, la vittima finisce per essere indirizzata su siti esterni che possono distribuire software dannosi o raccogliere dati personali.
I consigli per difendersi
Nell'analisi di ReversingLabs viene spiegato come il successo di queste campagne dipenda anche dagli stessi algoritmi delle piattaforme. Like, commenti, condivisioni e soprattutto salvataggi aumentano la visibilità dei contenuti, favorendone la diffusione a un pubblico sempre più ampio. I criminali informatici hanno imparato a sfruttare queste dinamiche. Inoltre, molte persone sono ormai abituate a diffidare delle email sospette, ma tendono a considerare più innocui i contenuti che appaiono nei social network. Un errore che può costare molto caro.
Per ridurre i rischi, la prima regola è quella di non cercare scorciatoie per accedere a servizi a pagamento senza iscrizioni o abbonamento. In secondo luogo è bene diffidare di trucchetti che richiedono l'installazione di file o contenuti di cui non si è verificata l'origine. In terza battuta, il suggerimento è di segnalare sempre i contenuti sospetti. Anche se le piattaforme non intervengono sempre con tempestività, aumentare il numero di segnalazioni può aiutare a rallentare l'attività dei truffatori e a proteggere altri utenti dalla stessa trappola.
