Il Tirreno

Sta circolando un nuovo tentativo di phishing particolarmente insidioso: alcuni utenti stanno ricevendo chiamate da presunti operatori di Google, che chiedono di “verificare l’account” e ottenere il codice di autenticazione a due fattori (2FA). Una volta in possesso del codice, i truffatori possono superare le barriere di sicurezza e prendere il controllo completo dell’account Google della vittima.

La segnalazione su Reddit: “Quella voce non era di Google”

La denuncia è arrivata da un utente di Reddit – sito Internet di social news, intrattenimento e forum dove gli utenti registrati possono pubblicare contenuti sotto forma di post testuali o di collegamenti ipertestual –, che ha raccontato l’accaduto sotto lo pseudonimo EvilKittensCo. La persona ha ricevuto una telefonata da qualcuno che si spacciava per addetto alla sicurezza di Google. Il truffatore ha chiesto di comunicare un codice 2FA ricevuto via SMS, sostenendo che fosse necessario per verificare l’identità. L’utente, insospettito, ha contattato direttamente Google, che ha confermato: nessun controllo era in corso. Si trattava di un tentativo di frode.

Come funziona questa truffa

La tecnica usata rientra nello spoofing, una strategia informatica che consiste nel falsificare identità e dati per ingannare l’utente. In questo caso, i truffatori possono manipolare il numero di telefono per far sembrare la chiamata proveniente da Google. L’obiettivo è ottenere il codice di autenticazione temporaneo e accedere al profilo Google senza che la vittima se ne accorga.

In una nota rilasciata a Forbes, ha spiegato:

«Abbiamo migliorato i nostri sistemi di protezione per contrastare questi abusi e sospeso gli account coinvolti. Tuttavia, invitiamo gli utenti a non condividere mai il codice 2FA con nessuno, anche se si presenta come un operatore ufficiale».

Come difendersi da questa truffa

Ecco alcuni segnali d’allarme e buone pratiche:

• Google non chiama mai i singoli utenti Gmail per problemi di sicurezza, a meno che non si tratti di account aziendali.
• Mai comunicare codici di verifica o password via telefono.
• In caso di dubbio, contattare direttamente l’assistenza ufficiale dal sito Google.
• Inoltre, Google consiglia di configurare un numero di telefono e un'email di recupero sull’account. Se qualcuno accede in modo illecito e cambia i dati di recupero, hai fino a 7 giorni per utilizzare quelli originali e riottenere l’accesso.

In sintesi

Un finto operatore Google potrebbe sembrare convincente, ma nessuna azienda seria vi chiederà mai il codice 2FA per telefono. Riconoscere questi tentativi di truffa è il primo passo per proteggere i propri dati online. Restare vigili è fondamentale.