Truffa via email relativa alla valutazione dei fornitori

Le email inaspettate che creano un senso di urgenza dovrebbero sempre essere trattate con cautela, soprattutto quando richiedono informazioni sensibili o incoraggiano gli utenti a cliccare su link. I criminali informatici spesso mascherano le campagne di phishing come comunicazioni aziendali legittime nel tentativo di ingannare i destinatari e indurli a fornire dati riservati. Le cosiddette email di "Valutazione del fornitore" di cui si parla in questo contesto non sono collegate ad alcuna azienda, organizzazione, fornitore o ente appaltante reale. Fanno invece parte di un'operazione di phishing volta al furto di credenziali, progettata per compromettere gli account di posta elettronica e facilitare ulteriori frodi.

La truffa della “valutazione dei fornitori” spiegata nel dettaglio.

Le email fraudolente in genere hanno come oggetto "Documento pronto per la revisione" e si presentano come un invito a presentare un'offerta professionale relativa a un'iniziativa infrastrutturale presumibilmente pianificata per l'inizio del secondo trimestre del 2026. I destinatari vengono informati di essere stati selezionati per esaminare un documento di richiesta di preventivo (RFQ) nell'ambito di una presunta opportunità di valutazione dei fornitori.

Per rendere il messaggio più convincente, l'e-mail contiene quello che sembra un file PDF allegato denominato "Bid_Invitation_RFQ_2026_Q2.pdf" insieme a un pulsante "Rivedi la richiesta di offerta in modo sicuro". Tuttavia, nessuno dei due elementi è un allegato legittimo. Entrambi sono semplicemente link cliccabili che reindirizzano gli utenti allo stesso sito web dannoso.

Il messaggio cerca inoltre di fare pressione sui destinatari affinché agiscano rapidamente, menzionando una scadenza per l'invio e mostrando avvisi come "il link scade tra 20 giorni". Queste tattiche di urgenza sono comunemente utilizzate negli attacchi di phishing per ridurre la probabilità che le vittime esaminino attentamente l'e-mail prima di cliccare sul link.

Come funziona il furto di credenziali

Una volta che il destinatario clicca sul falso allegato o sul pulsante di revisione, viene reindirizzato a una pagina di accesso fraudolenta progettata per imitare un provider di servizi di posta elettronica affidabile. Queste pagine di phishing sono spesso molto sofisticate e possono rilevare automaticamente il dominio di posta elettronica della vittima per visualizzare un portale di accesso dall'aspetto familiare.

Ad esempio, gli utenti di Gmail potrebbero visualizzare una schermata di accesso con il tema di Google, mentre agli utenti di Outlook potrebbe essere presentata un'interfaccia in stile Microsoft. Questa personalizzazione aumenta la probabilità che le vittime credano che la pagina sia autentica.

Qualsiasi credenziale inserita nel modulo fraudolento viene trasmessa direttamente agli aggressori. Poiché gli account di posta elettronica spesso fungono da punto di accesso per altri servizi online, le informazioni di login rubate possono portare a una compromissione diffusa degli account.

Perché le credenziali email rubate sono pericolose

Gli account di posta elettronica compromessi possono fornire ai criminali informatici un accesso esteso alla vita digitale della vittima. Una volta ottenuto il controllo di una casella di posta, gli aggressori possono:

• Reimposta le password per gli account bancari, di shopping, di archiviazione cloud o dei social media collegati all'indirizzo email.

• Leggere comunicazioni riservate e informazioni finanziarie

• Invia email di phishing a colleghi, clienti, amici o familiari

• Condurre attacchi di compromissione della posta elettronica aziendale (BEC) ai danni dei datori di lavoro

• Vendita di accessi ad account rubati su mercati clandestini del cybercrimine.

I rischi aumentano ulteriormente quando gli utenti riutilizzano la stessa password per più account. Una singola credenziale rubata può potenzialmente sbloccare numerosi servizi collegati.

Segnali che l’e-mail è fraudolenta

Diversi indicatori rivelano la natura malevola di questa campagna di phishing. L'organizzazione del presunto mittente e i relativi recapiti sono falsi, e il messaggio fa leva sull'urgenza per indurre un'azione immediata. Inoltre, il falso allegato PDF è in realtà un semplice collegamento ipertestuale mascherato, anziché un file legittimo.

Un altro importante segnale di allarme è la richiesta di accedere tramite una pagina esterna. I processi legittimi di appalto o di valutazione dei fornitori raramente richiedono ai destinatari di verificare le proprie credenziali di posta elettronica tramite link di terze parti non correlati, inviati in email non richieste.

Ancora più importante, il provider di posta elettronica che la pagina di phishing tenta di imitare non ha assolutamente alcun legame con la truffa stessa.

Potenziali rischi di malware

Sebbene questa particolare campagna si concentri principalmente sul furto di credenziali, modelli di phishing simili vengono spesso riutilizzati per distribuire malware. I criminali informatici utilizzano comunemente la posta elettronica come metodo di distribuzione di software dannoso, incorporando contenuti nocivi all'interno di allegati o link.

Gli autori delle minacce possono distribuire documenti Microsoft Office infetti, file PDF, archivi ZIP o RAR, file JavaScript o programmi eseguibili. In molti casi, il processo di infezione inizia solo dopo che la vittima apre il file, abilita le macro o esegue manualmente il software scaricato.

Alcune campagne di phishing evitano completamente gli allegati e indirizzano invece le vittime a siti web dannosi in grado di avviare automaticamente il download di malware o di indurre gli utenti a installare falsi aggiornamenti e programmi di installazione.

Considerazioni finali

La campagna email "Valutazione dei fornitori" è una truffa di phishing mascherata da legittimo invito a presentare un'offerta commerciale. Il suo obiettivo principale è rubare le credenziali di accesso agli account email tramite una pagina di login convincente ma fraudolenta. Le email non sono collegate ad alcuna organizzazione autentica, programma di gestione dei fornitori o processo di approvvigionamento.

I destinatari dovrebbero evitare di interagire con il messaggio, astenersi dal cliccare su eventuali link o pulsanti incorporati e cancellare immediatamente l'e-mail. Mantenere la cautela nei confronti delle comunicazioni commerciali non richieste è fondamentale per proteggere le informazioni personali, i conti aziendali e la sicurezza finanziaria da minacce informatiche sempre più sofisticate.