Un invito a provare in anteprima un assistente di ChatGPT, Gemini o Claude per le campagne pubblicitarie: un riepilogo settimanale di Google Ads, un controllo della spesa, un aiuto per pianificare gli annunci. Basta premere "Collega account" e accedere con Google. È l'esca di una campagna di phishing descritta il 6 ottobre dai ricercatori di Island e ripresa da BleepingComputer. Oltre ai tre nomi più noti vengono imitati anche Perplexity, Manus e Muse di Meta.
Due dettagli la rendono più insidiosa del phishing a cui siamo abituati.
Il primo: la finestra di accesso che si apre è disegnata dentro la pagina. Ha la barra dell'indirizzo con scritto accounts.google.com, il logo, i campi giusti, ma è tutta un'immagine costruita dal sito truffa. Gli esperti la chiamano browser-in-the-browser.
Il secondo: dall'altra parte c'è una persona che segue la sessione in diretta. Decide cosa chiedere a ogni passaggio: la password, il codice arrivato via SMS, quello dell'app di autenticazione, l'approvazione sul telefono. Se serve, rifiuta il codice inserito e ne chiede un altro. Così anche la verifica in due passaggi, che resta indispensabile, viene superata: il codice arriva all'attaccante mentre è ancora valido.
Il bersaglio sono le persone che gestiscono account pubblicitari. Nelle agenzie, ma anche nelle aziende dove Google Ads o Meta Business li segue il titolare o chi si occupa di marketing, spesso con una carta di credito collegata. Un account rubato serve a spendere il budget in campagne truffa o viene rivenduto.
Cosa fare, da girare a chi in azienda gestisce le campagne:
- Gli strumenti nuovi si attivano dalla console che usate già (Google Ads, Meta Business Suite), mai da un link arrivato per email o da un annuncio.
- Provate a spostare la finestra di accesso. Una finestra vera si trascina fuori dal browser e si ridimensiona; quella finta resta chiusa dentro la pagina.
- Fate caso al gestore delle password. Se di solito compila da solo i campi e questa volta non lo fa, il sito non è quello che sembra.
- Se dopo il primo codice ve ne chiede un altro, fermatevi. Chiudete la pagina e accedete di nuovo partendo dall'indirizzo digitato a mano.
- Per gli account che muovono soldi, attivate una passkey o una chiave di sicurezza: non si possono digitare in una pagina falsa, quindi non si possono rubare così.
E se avete già inserito i dati? Cambiate subito la password, chiudete le sessioni attive dalle impostazioni di sicurezza dell'account Google, controllate chi ha accesso all'account pubblicitario e i metodi di pagamento collegati, e avvisate chi segue l'informatica in azienda.
Le passkey funzionano già su Google, Meta e Microsoft 365, ma vanno attivate account per account. Se volete metterle su quelli che muovono soldi, pubblicità, banca e posta aziendale, scriveteci: le configuriamo insieme, in ufficio o da remoto.