Guglielmo, chi diavolo sei e perché mi mandi SMS?
Ore 17:39, arriva un messaggio: "Ecco il tuo codice Guglielmo" - segue una stringa alfanumerica e un bel link a clicklogin,biz.
Guglielmo? Non conosco nessun #Guglielmo. Non ho chiesto codici, non sto facendo login da nessuna parte e quel dominio .biz non è esattamente il genere di cosa che ispira fiducia, neh.
Apro il link in sandbox, giusto per capire con chi ho a che fare.
Chrome mi accoglie con un rassicurante "Not secure" e una pagina che mi invita ad attivare l'interfaccia Wi-Fi.
Meraviglioso!
A questo punto parte la curiosità (quella che ti fa perdere mezz'ora dietro a qualcosa che una persona normale avrebbe semplicemente cancellato, oh, non sono mica perfetta) e salta fuori che Guglielmo esiste davvero!
È un sistema per l'autenticazione sulle reti Wi-Fi pubbliche, utilizzato da strutture e organizzazioni; in più, il famigerato clicklogin,biz compare persino nella documentazione ufficiale di chi usa il servizio 😶
Quindi, ricapitoliamo: da una parte passiamo anni a spiegare alle persone di diffidare dei link sconosciuti, dei domini improbabili, delle pagine HTTP e dei codici non richiesti.
Dall'altra, abbiamo servizi perfettamente legittimi che sembrano aver preso quella lista e averla utilizzata come brief di progetto =/
Insomma, Guglielmo, abbiamo un problema di comunicazione!
La questione, però, è meno divertente di quanto sembri.
Se un servizio _autentico_ presenta gli stessi segnali che associamo alle truffe, diventa più difficile distinguere un accesso legittimo da un tentativo di #phishing.
E quando abituiamo le persone a ignorare certi campanelli d'allarme perché "tanto funziona così", stiamo facendo un favore anche a chi quei segnali li sfrutta con solenne intenzione (il solenne è perculatio, obv).
Per la cronaca: il fatto che Guglielmo sia un servizio reale non dimostra automaticamente che il mio SMS sia autentico. E soprattutto non spiega chi abbia inserito il mio numero.
Quindi niente fiducia sulla parola.
Morale? Se progettate sistemi di autenticazione, fate in modo che non sembrino usciti da un phishing kit del 2008.
E Guglielmo, caro, la prossima volta almeno presentati 🤣
