Phishing su Wallapop: Come proteggere la tua azienda dai tentativi di frode

Phishing ai danni di Wallapop: cosa è successo, perché e come difendersi? Oggi parliamo di un nuovo attacco di phishing che ha colpito gli utenti di Wallapop, la popolare piattaforma di annunci online utilizzata principalmente da venditori e acquirenti privati. Questo attacco ha come obiettivo i venditori, non gli acquirenti, e si tratta di una campagna volta a rubare i dati delle carte di credito.

Cosa è il phishing e perché è importante per le aziende?

Il phishing è una delle tecniche di frode più comuni e pericolose utilizzate dagli hacker per ottenere informazioni sensibili, come dati finanziari, credenziali di accesso o altre informazioni personali. Le aziende di produzione, installazione, commercio B2B e servizi sono spesso prese di mira perché hanno un elevato volume di transazioni e comunicazioni con clienti, fornitori e partner, aumentando così il rischio di attacchi.

Quando è stato rilevato l’attacco a Wallapop?

L’attacco è stato scoperto dal team anti-frode di D3Lab nella giornata odierna. Questo è il primo attacco del genere registrato quest’anno contro gli utenti di Wallapop, ma la metodologia non è nuova. Simili campagne di phishing sono state segnalate anche in passato su piattaforme come Subito.it.

Un esempio della campagna di phishing su Wallapop

Come funziona l’attacco di phishing?

Il phishing segue sempre uno schema ben preciso, ma gli attacchi diventano ogni giorno più sofisticati. In questo caso, il target principale sono i venditori. Ecco come si svolge l’attacco:

• Dove avviene l’attacco? L’hacker individua un annuncio di interesse su Wallapop e contatta il venditore attraverso la piattaforma.
• Chi è coinvolto? Il venditore, che riceve il messaggio dall’hacker, viene convinto a spostare la comunicazione su WhatsApp o altre piattaforme esterne.
• Come si evolve l’attacco? Una volta spostata la conversazione, l’hacker invia un link al venditore con la scusa di “riscattare” il pagamento.
• Cosa succede quando si clicca il link? Il link non ha nulla a che vedere con Wallapop. È un sito truffaldino progettato per rubare i dati della carta di credito del venditore.

Quali sono i rischi per le aziende?

Le aziende che utilizzano piattaforme come Wallapop o Subito.it per vendere prodotti o servizi sono esposte a rischi concreti:

• Perdita finanziaria diretta, attraverso l’abuso delle informazioni della carta di credito.
• Compromissione dei dati aziendali, che può portare a ulteriori attacchi mirati.
• Danno alla reputazione, soprattutto se l’azienda viene vista come poco attenta alla sicurezza delle transazioni.

Perché le aziende devono fare attenzione a questo tipo di attacchi?

Gli attacchi di phishing come quello rivolto agli utenti di Wallapop possono sembrare mirati principalmente ai privati, ma rappresentano una minaccia crescente anche per le aziende. Chiunque utilizzi piattaforme online per il commercio B2B potrebbe trovarsi coinvolto. Ecco perché:

1. Crescita delle transazioni digitali: Con il sempre maggiore utilizzo delle piattaforme digitali per la compravendita di beni e servizi, il volume di informazioni sensibili in gioco è aumentato.
2. Target sofisticato: Gli hacker sanno che le aziende spesso gestiscono un gran numero di transazioni e quindi potrebbero avere meno attenzione su singole anomalie.
3. Rischio per l’intera rete aziendale: Un attacco a un solo dipendente o transazione potrebbe compromettere la sicurezza dell’intera azienda.

Come difendersi dagli attacchi di phishing?

La prima difesa contro il phishing è l’informazione. È fondamentale che tutte le aziende adottino misure per educare i propri dipendenti a riconoscere i segnali di un attacco. Ecco alcuni suggerimenti chiave:

1. Dove si annida il pericolo?

Molto spesso, come nel caso di Wallapop, l’attacco parte da una comunicazione apparentemente innocua all’interno della piattaforma. Gli hacker cercano poi di spostare la conversazione su canali esterni come WhatsApp, dove le misure di sicurezza della piattaforma originale non sono più in vigore. Non fidarsi di chi chiede di spostare la conversazione su altre app è il primo passo per evitare guai.

2. Cosa fare se si riceve un messaggio sospetto?

Se un venditore o azienda riceve un messaggio sospetto, la cosa più importante è non cliccare su nessun link. Le piattaforme sicure come Wallapop non richiedono mai di riscattare pagamenti o fornire dati personali tramite link esterni. In caso di dubbi, è sempre meglio contattare direttamente il supporto della piattaforma.

immagine delle schermate del phishing ai danni degli utenti wallapop

3. Chi deve prestare maggiore attenzione?

Qualsiasi azienda che utilizzi piattaforme online per il commercio deve essere in allerta. I venditori sono i principali obiettivi di questa campagna, ma non si deve mai sottovalutare il rischio anche per altri attori della catena di valore.

4. Quando prendere provvedimenti?

Il momento per agire è ora. Le aziende devono implementare politiche di sicurezza e procedure di risposta agli incidenti, per garantire che ogni dipendente sappia come riconoscere e reagire a un potenziale attacco di phishing.

5. Come evitare di essere vittime?

Oltre a non cliccare sui link sospetti, è fondamentale adottare altre buone pratiche:

• Usare piattaforme sicure per le comunicazioni con clienti e fornitori.
• Aggiornare regolarmente il software di sicurezza per proteggersi dalle ultime minacce.
• Formare il personale per riconoscere i segnali di phishing.

6. Quale soluzione implementare?

Sebbene non sia possibile fermare completamente gli attacchi di phishing, è possibile ridurre significativamente i rischi attraverso l’educazione e l’adozione di misure preventive. Ogni azienda dovrebbe implementare:

• Autenticazione a due fattori per l’accesso alle piattaforme.
• Politiche di sicurezza rigorose per la gestione delle comunicazioni con i clienti.
• Audit regolari per individuare eventuali falle nei sistemi di sicurezza.

Cosa fare ora?

Le aziende non possono più permettersi di ignorare i rischi legati al phishing. Questo attacco su Wallapop è solo l’ultimo esempio di una tendenza in crescita. Il momento di agire è adesso. Implementare misure di sicurezza efficaci, formare i dipendenti e rimanere aggiornati sulle nuove minacce può fare la differenza tra la sicurezza e la vulnerabilità.

Ricorda: non rispondere mai a richieste di spostare le comunicazioni su canali non ufficiali e non cliccare su link sospetti. La sicurezza della tua azienda dipende da te.