Fai attenzione ai siti falsi del mercato assicurativo di Obamacare

Tra i combattimenti a Washington e le notizie di interruzioni del sito del mercato, una questione relativa all'Affordable Care Act (aka Obamacare) non è stata affrontata: i truffatori.

La società di sicurezza Trend Micro ha riferito di vedere già spam indirizzato a parole come "assistenza sanitaria statale", "iscrizione" e "assicurazione medica". Questi termini non sono ancora abbastanza chiari, ma Christopher Budd, responsabile delle comunicazioni sulle minacce di Trend Micro, ha dichiarato a SecurityWatch che problemi profondi con i siti Web del Marketplace potrebbero peggiorare le cose.

Una rete confusa

"La maggior parte degli stati ha i propri siti ufficiali e quindi è possibile avere siti di broker di terze parti", ha spiegato Budd, toccando come sono organizzati i mercati assicurativi. "L'ambiente che questo crea appena fuori dal cancello è così confuso da creare spazio per il phishing."

Budd afferma che senza mezzi chiari per verificare se un sito è ufficiale o meno, le persone rischiano di trovarsi ingannate da siti Web fraudolenti dall'aspetto convincente. Abbiamo già visto quanto gli spammer e i truffatori siano molto esperti che adattano i loro messaggi per adattarli allo zeitgeist . E poiché questi siti web trattano questioni mediche e assicurative, le persone sono già preparate a consegnare tonnellate di informazioni personali, come i loro numeri di previdenza sociale. Peggio ancora, alcune persone si iscriveranno a tutta la loro famiglia, potenzialmente dando ai ladri l'accesso a molte informazioni personali.

Il problema principale, afferma Budd, è che alcuni dei siti Web statali non hanno seguito le migliori pratiche per la sicurezza o addirittura si sono adeguatamente marcati come parte dell'ACA. "Per dare credito, il sito federale è professionale, ben marcato e fornisce SSL", ha affermato Budd, sottolineando come HealthCare.gov utilizzava automaticamente SSL.

I mercati a livello statale non erano così ben messi insieme. "Ci sono alcuni siti statali che se vai in HTTPS, ti dà un errore 404", ha detto Budd. Altri stati avevano certificati di prova invece di quelli legittimi e un sito Web di terze parti riportava automaticamente Budd a HTTP quando tentava di connettersi tramite HTTPS.

Come stare al sicuro

Per evitare i siti di truffa, Budd ha detto che le persone non dovrebbero iniziare utilizzando i motori di ricerca per trovare informazioni. I risultati della ricerca possono essere facilmente contaminati dai siti di phishing e il targeting di frasi popolari è una strategia chiave utilizzata dai truffatori.

Invece, le persone dovrebbero iniziare su https://www.healthcare.gov. Da qui, possono trovare il sito Web del marketplace appropriato per il loro stato. Informazioni su legittimi fornitori di assicurazioni di terzi sono disponibili anche su questi siti.

Quando possibile, connettiti tramite SSL e utilizza HTTPS, anziché HTTP, all'inizio dell'URL. Sui siti HTTPS, una piccola icona a forma di lucchetto dovrebbe apparire a sinistra dell'URL. È possibile fare clic su questo e verificare l'autenticità del sito Web.

Se il certificato è scaduto o se non si è sicuri di potersi fidare del sito Web per qualsiasi motivo, portarlo offline. Budd ha dichiarato a SecurityWatch che alcuni fornitori di assicurazioni possono essere contattati telefonicamente o di persona.

La maggior parte dei browser moderni, come Chrome, aprirà una schermata di avviso se rileva qualcosa di spiacevole sulla certificazione del sito. "Se il tuo browser genera un avviso, fermati lì se non sai cosa stai facendo", ha detto Budd.

Tempo di cambiare

Budd ha riconosciuto che gli stati hanno una battaglia in salita per affrontare le questioni di sicurezza che circondano i mercati. Ha detto che l'infrastruttura a chiave pubblica, la tecnologia crittografica che protegge questo tipo di comunicazioni, era "una delle tecnologie più complicate, costose e confuse là fuori". Aggiungete al fatto che oggigiorno la maggior parte degli stati è a corto di soldi e non sorprende che esistano questi problemi.

Per aiutare a proteggere gli utenti dai truffatori, Budd ha affermato che la prima priorità dovrebbe essere quella di mettere in atto SSL per ogni sito associato all'ACA. Successivamente, ha suggerito la creazione di un sigillo - come quello usato da Verisign - così le persone meno esperte di tecnologia sanno di trovarsi su un sito legittimo. Ha anche suggerito che il governo federale potrebbe seguire l'esempio del settore finanziario e controllare i siti ACA.

Budd ha sottolineato che i mercati assicurativi - in effetti, l'intero servizio - sono nuovi di zecca. Ha nuovamente indicato il settore finanziario, che ha impiegato anni per perfezionare il suo approccio ai servizi online. Dato il livello di interesse per questo programma, i truffatori e gli spammer non saranno molto indietro. Si spera che i siti del Marketplace maturino abbastanza rapidamente per far fronte a tali minacce.