In questi 2 giorni, dopo la pubblicazione di decine di migliaia di credenziali di caselle di posta, si è parlato ovunque di phishing e, mentre i provider cercano di capire quale fosse il modello utilizzato, molti siti istruiscono gli utenti a proteggersi da questo fenomeno.

E cosa c'entra questo con l'email marketing?

Chi fa email marketing può essere danneggiato dal fenomeno phishing ed è quindi importante che venga compreso e che vengano prese le dovute precauzioni per cercare di limitarlo al massimo e limitarne i danni.

Il problema principale non è direttamente il phishing ma la fuga di informazioni (information leak) che può derivare dai contenuti che inviamo via email ai nostri interlocutori.

Mi spiego con un caso pratico:

Io sono l'hacker, voi avete un ecommerce e un vostro cliente è vittima di phishing.

Ipotizzate che io, tramite phishing, abbia ottenuto le credenziali della casella di posta elettronica di un vostro cliente. Con queste credenziali posso ora accedere alla sua casella e leggere le email presenti e le email che riceverà, e tutto questo posso farlo senza che lui si accorga di niente. Non potrò farlo all'infinito perchè i gestori del sistema si accorgeranno di una eventuale operazione massiva di questo tipo, ma ci sarà una finestra di tempo nella quale potrò operare indisturbato. Risulta fondamentale, diventa, capire quali informazioni posso ottenere sfruttando il contenuto di una email. I messaggi di email marketing (quelli che ci interessano) che potreste aver inviato al cliente sono di queste tipologie:

• Richiesta di opt-in
• Ricorda password
• Invio email standard (promozione, newsletter, conferme ordini, etc)

Dovreste quindi analizzare, per ognuna di queste tipologie di email, cosa io (hacker) possa fare e quali ulteriori informazioni possa ottenere sul vostro cliente. Cercate di capire quali siano le modalità tramite le quali io possa ottenere le credenziali del vostro cliente per accedere al vostro sito e ottenere altre informazioni riservate o addirittura fare un acquisto a suo nome (se utilizzate tecniche di acquisto con 1 clic).

La richiesta di opt-in o la conferma di registrazione non dovrebbero mai contenere le credenziali complete ma solo parte di esse o credenziali temporanee che verranno aggiornate dall'utente.

Il meccanismo di ricorda password non dovrebbe inviare al vostro cliente la sua password attuale ma piuttosto generarne una nuova. Se inviaste la password senza modificarla, l'hacker della situazione potrebbe quindi avere accesso ad una nuova password usata dall'utente (e spesso gli utenti usano la stessa passwod in più siti) e dopo aver cancellato l'email di ricorda password non rimarrebbe traccia dell'operazione. Generando invece una password nuova non forniamo all'hacker di turno una informazione fondamentale e poi, anche se l'hacker avesse cura di cancellare l'email di cambio password, prima o poi il vostro cliente si accorgerebbe che qualcosa non va poichè non riuscirà più ad accedere al vostro servizio. Nel caso in cui l'accesso anche solo temporaneo al vostro sito da parte dell'hacker fosse molto grave allora dovreste preoccuparvi anche di permettere il reset della password solo in seguito a qualche verifica aggiuntiva (chiedere qualche dato presente nel profilo che voi avete di quell'utente).

Le email "normali". L'ultimo caso, il meno "intuitivo" dei tre, è quello in cui nelle vostre email siano presenti dei "link" verso il vostro servizio che effettuano automaticamente l'accesso al servizio tramite l'utilizzo di "token" di autenticazione. In questo caso semplicemente cliccando uno di questi link potrei avere accesso all'area riservata del vostro cliente sul vostro sito (e quindi vedere altri dati personali del vostro cliente o effettuare operazioni per conto suo, anche a vostro danno).

Quest'ultimo caso è di particolare rilievo perchè mancando una consapevolezza da parte dell'utente finale (il vostro cliente) della presenza di questi "token di autenticazione" all'interno del messaggio è molto più probabile che non venga recepita la pericolosità di un inoltro o una condivisione del contenuto della mail stessa. E' importante quindi usare tecniche di comunicazione che trasmettano il più possibile la confidenzialità dei contenuti trasmessi e far capire chiaramente all'interlocutore ciò che è "segreto" e ciò che invece è pubblico.

Purtroppo in questo caso si tratta di un compromesso tra semplicità e sicurezza. Molti siti che utilizzano link per automatizzare l'autenticazione sul sistema prevedono che alcune sezioni dell'area riservata non possano essere accedute con questa autenticazione ma che sia necessario digitare la password. Un link presente in un messaggio email, quindi, non dovrebbe mai permettere ad un utente che abbia avuto (volontariamente o involontariamente) accesso a quella email di ottenere informazioni personali sul destinatario dell'email.