Da Wikipedia, l'enciclopedia libera.
In ambito
informatico si definisce phishing una tecnica di
cracking,
ed in particolare di
ingegneria sociale, utilizzata per ottenere l'accesso ad informazioni
personali e riservate con la finalità del furto di identità mediante
l'utilizzo di messaggi di posta elettronica fasulli, oppurtunamente
creati per apparire autentici. Grazie a questi messaggi, l'utente è ingannato
e portato a rivelare dati sensibili, come numero di conto corrente,
nome utente e password, numero di carta di credito ecc.
Metodologia di attacco
Il processo standard di queste metodologie di attacco può riassumersi nei
seguenti passi:
- l'utente malintenzionato (cracker)
spedisce al malcapitato ed ignaro utente un messaggio e-mail che simuli
nella grafica e nel contenuto quella di una istituzione nota al destinatario
(ad es. la sua banca, il suo provider web, un sito di aste online a cui è
iscritto).
- la e-mail contiene avvisi di particolari situazioni o problemi
verificatesi con il proprio conto corrente/account (ad es. un addebito
enorme, la scadenza dell'account ecc.).
- nella mail il destinatario è invitato a seguire un link, presente nel
messaggio, per evitare l'addebito e/o per regolarizzare la sua posizione con
l'ente o la società di cui il messaggio simula la grafica e l'impostazione.
- il collegamento al sito web della banca fornito NON porta in realtà al
sito web ufficiale, ma a pagine appositamente create per emulare il "Look
and feel" del sito in oggetto e richiedere al destinatario dati personali
particolari, normalmente con la scusa di una conferma o la necessità di
effettuare una autenticazione al sistema; queste informazioni vengono
memorizzate dal server e quindi finiscono nelle mani del
cracker.
- il
cracker utilizza questi dati per acquistare beni, trasferire somme di
denaro o anche solo come "ponte" per ulteriori attacchi.