Black Friday e stagione di vendita al dettaglio: fai attenzione alle truffe di "richiesta di denaro" di PayPal

Dato che stiamo entrando nell'alta stagione della vendita al dettaglio, troverai avvisi di sicurezza informatica con un tema "Black Friday" su Internet...

…incluso, ovviamente, proprio qui su Naked Security!

Come i lettori abituali sapranno, tuttavia, non siamo particolarmente entusiasti dei suggerimenti online specifici del Black Friday, perché la sicurezza informatica è importante 365 giorni e un quarto all'anno.

Non prendere sul serio la sicurezza informatica solo quando è il Ringraziamento, Hannukah, Kwanzaa, Natale o qualsiasi altra festività per fare regali, o solo per i saldi di Capodanno, i saldi primaverili, i saldi estivi o qualsiasi altra opportunità di sconto stagionale.

Come abbiamo detto quando la stagione della vendita al dettaglio è iniziata all'inizio di questo mese in molte parti del mondo:

Il miglior motivo per migliorare la tua sicurezza informatica in vista del Black Friday è che significa che migliorerai la tua sicurezza informatica per il resto dell'anno e ti incoraggerà a continuare a migliorare fino al 2023 e oltre.

Detto questo, questo articolo riguarda una truffa a marchio PayPal che ci è stata segnalata all'inizio di questa settimana da un lettore abituale che ha pensato che valesse la pena avvisare gli altri, specialmente per coloro che hanno conti PayPal che potrebbero essere più inclini a usarli su questo periodo dell'anno rispetto a qualsiasi altro.

La cosa buona di questa truffa è che dovresti individuarlo per quello che è: sciocchezze inventate.

La cosa brutta di questa truffa è che è sorprendentemente facile da configurare per i criminali ed evita accuratamente di inviare e-mail contraffatte o indurti a visitare siti Web fasulli, perché i truffatori utilizzano un servizio PayPal per generare il loro contatto iniziale tramite i server PayPal ufficiali.

Ecco qui.

Spoofing spiegato

A email falsificata è uno che insiste che proviene da un'azienda o un dominio noto, in genere inserendo un indirizzo email credibile nel From: linea e includendo loghi, tagline o altri dettagli di contatto copiati dal marchio che sta cercando di impersonare.

Ricorda che il nome e l'indirizzo e-mail mostrati in un'e-mail accanto alla parola From in realtà sono solo una parte del messaggio stesso, quindi il mittente può inserire quasi tutto ciò che desidera, indipendentemente da dove ha effettivamente inviato il messaggio.

A sito web falsificato è uno che copia l'aspetto e la sensazione della cosa reale, spesso semplicemente strappando l'esatto contenuto web e le immagini dal sito originale per renderlo il più pixel perfetto possibile.

I siti truffa possono anche provare a rendere il nome di dominio che vedi nella barra degli indirizzi almeno vagamente realistico, ad esempio inserendo il marchio falsificato all'estremità sinistra dell'indirizzo web, in modo che tu possa vedere qualcosa come paypal.com.bogus.example, nella speranza che tu non controlli l'estremità destra del nome, che in realtà determina chi possiede il sito.

Altri truffatori cercano di acquisire nomi simili, ad esempio sostituendo W (un carattere W-per-Whisky) con VV (due caratteri V-per Victor), o usando I (scrivendo un carattere maiuscolo I-per-India) al posto di l (una L minuscola per Lima).

Ma i trucchi di spoofing di questo tipo possono spesso essere individuati abbastanza facilmente, ad esempio da:

• Imparare a esaminare le cosiddette intestazioni di un messaggio di posta elettronica, che mostra da quale server proviene effettivamente un messaggio, piuttosto che dal server da cui il mittente ha affermato di averlo inviato.
• Impostazione di un filtro e-mail che esegue automaticamente la scansione alla ricerca di scamminess sia nelle intestazioni che nel corpo di ogni messaggio di posta elettronica che qualcuno cerca di inviarti.
• Navigazione tramite un firewall di rete o endpoint che blocca le richieste Web in uscita verso siti falsi e scarta le risposte Web in entrata che includono contenuti rischiosi.
• Utilizzo di un gestore di password che collega nomi utente e password a siti Web specifici, e quindi non può essere ingannato da contenuti falsi o nomi simili.

Pertanto, i truffatori via e-mail spesso fanno di tutto per assicurarsi che il loro primo contatto con potenziali vittime riguardi messaggi che provengono davvero da siti o servizi online autentici e che si collegano a server che sono realmente gestiti da quegli stessi siti legittimi...

… fintanto che i truffatori riescono a trovare un modo per mantenere i contatti dopo quel messaggio iniziale, al fine di mantenere viva la truffa.

truffatori romantici, che cercano di attirare le vittime in false relazioni online per convincerle a non avere soldi, conoscono fin troppo bene questo trucco. In genere iniziano prendendo contatto in modo convenzionale su un vero sito di incontri, utilizzando le foto e l'identità online di qualcun altro. Lì, incantano le loro vittime inducendole a lasciare la relativa sicurezza del sito legittimo e passare a un servizio di messaggistica istantanea one-to-one senza supervisione.

La truffa della “richiesta di denaro”.

Ecco come funziona la truffa PayPal "richiesta di denaro":

• Il truffatore crea un conto PayPal e utilizza il servizio di "richiesta di denaro" di PayPal per inviarti un'e-mail ufficiale di PayPal che ti chiede di inviare loro dei fondi. Gli amici possono utilizzare questo servizio come un modo informale ma relativamente sicuro per dividere le spese dopo una serata fuori, chiedere aiuto per pagare una bolletta o anche per essere pagati per piccoli lavori come pulizie, giardinaggio, pet sitter e così via.
• Il truffatore fa sembrare la richiesta un addebito esistente per un prodotto o servizio genuino, anche se non uno che hai effettivamente ordinato, e probabilmente per quello che sembra un prezzo improbabile o irragionevole.
• Il truffatore aggiunge un numero di telefono di contatto nel messaggio, apparentemente offrendo un modo semplice per annullare la richiesta di pagamento se pensi che sia una truffa.

Quindi l'e-mail in realtà proviene da PayPal, conferendole un'aria di autenticità, e ti invita a reagire telefonando ai truffatori, piuttosto che rispondendo all'e-mail stessa.

Mi Piace

Premesso che sei ben consapevole che la richiesta di pagamento non è mai stata da te autorizzata, puoi benissimo segnalarlo a PayPal...

…ma è anche allettante telefonare all'“azienda” che ha inoltrato la richiesta per dirgli di non contattarti più la prossima settimana o il prossimo mese quando i loro “registri” mostrano che il “conto” non è stato ancora pagato.

Dopotutto, la telefonata è gratuita (nel Regno Unito, come in molti altri paesi, il prefisso -800- denota una chiamata gratuita), e se qualcuno che conosci ha davvero provato ad acquistare un software di sicurezza informatica online e addebitarlo a il tuo centesimo, perché non provare ad andare a fondo e fermare il "pagamento" che va a buon fine?

Certo, è tutto un mucchio di bugie: non esiste un programma antivirus; non c'è stato alcun acquisto; e nessuno ha effettivamente pagato £ 550 a nessuno per niente.

I truffatori hanno semplicemente trovato un modo per abusare del servizio gratuito di PayPal Richiesta di denaro servizio per generare e-mail che provengono davvero da PayPal, che includono collegamenti PayPal reali e che utilizzano il campo del messaggio nella richiesta per darti un modo dall'aspetto ufficiale per contattarli direttamente...

…proprio come un truffatore romantico che ti prende in giro a distanza di un braccio su un sito di incontri, e poi ti convince a passare ai messaggi direttamente, dove la piattaforma di incontri non può più supervisionare o regolare le tue interazioni.

Cosa fare?

La cosa più semplice e veloce da fare, ovviamente, è niente!

Le richieste di denaro PayPal sono esattamente quello che dicono: un modo per amici, familiari, qualcuno, chiunque, di invitarti a inviare loro denaro in modo ragionevolmente sicuro.

Essi non sono fatture; essi non sono richieste di pagamento; Loro sono non scontrini; e loro sono non correlato ad alcun acquisto esistente hai fatto o non hai fatto tramite PayPal o altrove.

Se semplicemente non fai nulla, allora nulla viene pagato e nessuno riceve nulla, quindi la truffa fallisce.

Ti consigliamo comunque di segnalare richieste fasulle di questo tipo a PayPal, il che aiuterà a far chiudere l'account incriminato e a garantire che nessun altro paghi per paura o chiami il numero di telefono indicato "per ogni evenienza".

Qualunque cosa tu faccia, non inviare denaroe sicuramente non richiamare i criminali, perché il loro vero obiettivo è stabilire un contatto diretto in modo che possano iniziare a contattarti per indurti a rivelare informazioni personali che alla fine potrebbero costarti molto di più di £ 549.67.

Dovresti dirlo alle autorità?

Che sia durante la stagione del Black Friday o in qualsiasi altro periodo dell'anno, ti invitiamo a prendere in considerazione la possibilità di segnalare truffe di questo tipo all'autorità di regolamentazione o all'organismo investigativo competente nel tuo paese.

Potrebbe non sembrare che tu stia facendo molto per aiutare, e probabilmente non hai il tempo di denunciarli tutti, ma se un numero sufficiente di persone fornisce delle prove alle autorità, c'è almeno una possibilità che faranno qualcosa al riguardo.

D'altra parte, se nessuno dice niente, allora non si farà o si potrà fare niente.

Di seguito, abbiamo elencato i link di segnalazione delle truffe per vari paesi anglofoni:

  AU: Scamwatch (Australian Competition and Consumer Commission) https://www.scamwatch.gov.au/about-scamwatch/contact-us CA: Canadian Anti-Fraud Centre https://antifraudcentre-centreantifraude.ca/index-eng. htm NZ: Protezione dei consumatori (Ministero delle imprese, dell'innovazione e dell'occupazione) https://www.consumerprotection.govt.nz/general-help/scamwatch/scammed-take-action/ Regno Unito: ActionFraud (National Fraud and Cyber ​​Crime Reporting Centre) https://www.actionfraud.police.uk/ USA: ReportFraud.ftc.gov (Federal Trade Commission) https://reportfraud.ftc.gov/ ZA: Financial Intelligence Center https://www.fic.gov.za /Risorse/Pagine/ScamsAwareness.aspx

---