Le PEC sono sicure?
Le PEC non sono così sicure!
Lo scrivente, quale consulente informatico, vuole condividere un'esperienza che pensa possa far innalzare la soglia di attenzione di tutti coloro che quotidianamente ricevono messaggi e allegati, sulla propria casella di posta PEC.
Da una perizia effettuata per un cliente (sotto allegata) è emerso infatti che anche le PEC non sono poi così sicure! In questo caso particolare il servizio PEC colpito è stato quello di Aruba.
Il cliente ha infatti ricevuto una PEC da un indirizzo che riconduceva addirittura ad un Ministero.
Rassicurato dalla "presunta" autorevolezza del mittente, decide di aprirla. Peccato che la PEC fosse completamente finta!
Per l'autenticazione digitale sono stati usati algoritmi SHAl usati nella comunità forense internazionale e riconosciuti dall'European Union Agency for Network and Information Security Enisa (...) Il messaggio PEC sospetto include una falsificazione del mittente, astutamente eseguita sfruttando i campi tecnici del contatto del mittente medesimo, i quali sono usati dalla webmail app solo nella visualizzazione del messaggio.
Per questa ragione il reale indirizzo del mittente viene automaticamente nascosto al destinatario che in questo caso è stato tratto in inganno da un indirizzo esistente del Ministero della Giustizia, ma falsificato come indirizzo del mittente.
L'operazione, pur non avendo alterato illegalmente il sistema (di ricezione della posta certificata) è il risultato di una efficace ed astuta abilità tecnica dello sconosciuto mittente, il quale ha manipolato i campi del contatto facendo figurare al destinatario, non il reale indirizzo PEC del mittente, ma quello di un ufficio del Ministero della Giustizia.
Attenzione all'indirizzo del mittente
Cosa fare per tutelarsi
- aggiornare con costanza i sistemi operativi dei dispositivi utilizzati;
- evitare di memorizzare le password di accesso alla casella pec sui dispositivi;
- impostare password sicure a cambiarle di frequente;
- verificare l'indirizzo pec del mittente;
- non scaricare file sospetti con estensioni eseguibili tipo .exe. o di Office, tipo doc, .xls...
- diffidare di email che provengono da siti istituzionali, così come di quelli che chiedono di aggiornare dati personali.
Autore: Marco R. Marzaduri