Una finta pagina di accesso in dieci minuti, 97 marchi tra cui scegliere, 250 dollari a settimana

La cosa inquietante di BlueKit non è la tecnologia. È il listino prezzi. Duecentocinquanta dollari comprano una settimana, 480 due settimane, 940 un mese, e a fine agosto i gestori dichiaravano più di mille clienti.

I ricercatori di Malwarebytes seguono il servizio da quando è comparso su un forum criminale ad aprile e hanno pubblicato le loro conclusioni questa settimana. Chi si abbona riceve 176 finte pagine di accesso già pronte per 97 marchi: Amazon, Google, Apple, Facebook, TikTok, American Express, Bank of America, OpenAI, GitHub, Cloudflare. I venditori le descrivono come perfette al pixel e pubblicabili con un clic, cioè una decina di minuti dal pagamento al sito online. Lo stesso pannello invia anche le email e gli SMS di phishing, e c'è un assistente IA integrato privato dei soliti limiti di sicurezza, così scrivere l'esca non richiede più né buon inglese né particolare fatica.

L'annuncio elenca che cosa raccoglie: password, impronte del dispositivo, cookie di sessione e passkey. Il cookie di sessione è il dettaglio da capire. Se la pagina falsa inoltra il vostro accesso al sito vero mentre digitate, passa anche il codice dell'app di autenticazione, e quello che l'aggressore porta via è il cookie che il browser ha ricevuto subito dopo, già autenticato. Un secondo passaggio aiuta moltissimo, ma non è un campo di forza.

Il consiglio noioso resta quindi quello giusto: non arrivate mai a una pagina di accesso cliccando un link in un messaggio. Aprite l'app, oppure scrivete voi l'indirizzo. E il controllo di privacy e account di Tendvane vi mostra quali accessi sul PC hanno ancora soltanto una password a proteggerli, da cui conviene partire se avevate intenzione di mettere ordine.