Molto ingegnoso questo tentativo di furto password email con WeTransfer passatomi da un cliente la cui impiegata c’è cascata in pieno.
Wetransfer viene usato moltissimo per inviare grossi files che non possono essere trasferiti via email e quando qualcuno ti manda un file ti arriva un’email da WeTransfer come questa
che ti permette, cliccando il pulsante, di scaricare i files. Quando clicchi sul pulsante finisci sul sito di WeTransfer e puoi scaricare il o i files
cliccando sul pulsante Scarica. Nulla ti verrà chiesto se non di cliccare sul pulsante quindi qualsiasi altra richiesta come quella che vedrai tra poco è del tutto falsa e ha lo scopo di rubarti qualche credenziale di accesso o dato importante.
Ecco invece l’email di phishing di WeTransfer
Come vedi è completamente diversa da quella reale ed è in inglese e non in italiano. L’email reale è sempre in italiano, mai in inglese anche se qualcuno all’estero ti dovesse mandare un file, l’avviso di WeTransfer sarà sempre in italiano.
Se clicchi sul pulsante non vieni portato sul sito wetransfer.com ma su questo
che è un classico sito compromesso usato per il phishing e che ti mostra questa schermata
simile ma parecchio differente da quella reale perché al posto del riquadro per lo scaricamento del file, vedi un riquadro che ti chiede email e password, cosa che non sta né in cielo né in terra perché mai weTransfer ti chiederà questi dati se non eventualmente per fare il login se tu hai un account sul sito.
Chiaramente appena inserisci email e password, il delinquente dall’altra parte li starà già usando per i suoi loschi traffici, cosa che è successa realmente a un’impiegata di un mio cliente che mi ha subito avvisato.
Capisco che per chi non è del mestiere non sia facile capire che si tratta di una truffa ma, come in tutti gli altri casi, è sufficiente dare un’occhiata alla barra degli indirizzi del browser per vedere che non ci si trova sul sito wetransfer.com ma su un dominio che con WeTransfer non ha nulla a che fare.
Ti consiglio di leggere sempre e stampare il vademecum in 18 punti che ti fa capire se un’email è reale o un tentativo di phishing. Ti eviterai un sacco di problemi e riuscirai a difenderti efficacemente dal phishing.