Phishing con URL autentici?

[Dascos]

"Peraltro, in una tale evenienza, non riesco a immaginare come si necessiti di una email di phishing per rastrellare informazioni: se Tizio può agire liberamente sul sistema di Caio, può tranquillamente vedere, ascoltare, farsi inviare quello che vuole"

Sì e no. Se il target fosse un pc dell'impiegato della tal azienda da cui devo recuperare delle credenziali per fare login sul sito della banca, allora è giusto, non ho bisogno del pishing, cerco di prendere il controllo dep pc target e attendo oppure "scavo" alla ricerca di ciò che mi serve.

Se invece voglio rastrellare "in massa", è molto più semplice agire con pishing, 'ndo cojo cojo, mando a 10.000.000 di utenti, ci cascano solo in 5, rastrello tutto il possibile da quei 5 in modo automatizzato. Se dovessi "prendere il controllo" di ogni singolo pc per andare a cercare i dati di interesse perderei un sacco di tempo inutilmente su ogni singola macchina

[U235]

@filips
Ci posso essere tanti modi per trarti in inganno. Tralasciando l'indirizzo di provenienza della mail, in quanto si possono mandare mail con il dominio contraffatto in maniera relativamente semplice, il "problema" principale si sposta sul link in cui clicchi, in quanto subentra il browser (dando per scontato che usi un browser tra i più moderni/rinomati), e questo ha dei sistemi di difesa anche riguardo anche lo spoofing dns. In primo luogo il certificato ssl e la connessione crittografata. Per cui ti saresti dovuto accertare (sul momento) che la connessione fosse crittografata e che il dominio e il certificato fossero riferiti al dominio in questione. Se hai accertato questo diventa molto difficile che il dominio non sia quello legittimo, in quanto anche con un attacco MITM il tuo client non possiede il certificato e la connessione non risulta crittografata (https) o quanto meno, anche se crittografata, il certificato è molto difficile che risulti riferito al dominio PayPal senza esserlo davvero, quindi da questo te ne saresti dovuto accorgere (se sei stato attento...). Inoltre esiste anche un altro meccanismo del browser, ovvero HSTS (HTTP Strict Transport Security) che fa in modo che quando visiti un sito che ne fa uso (Paypal; Google e altri Big e non) venga indicata dal server un intestazione (Strict-Transport-Security) che specifica un tempo nella quale il client deve necessariamente stabilire una connessione crittografata, quindi il browser nel quale viene memorizzato questo dato automaticamente (es chrome: chrome://net-internals/#hsts e poi fai la query per domini), non consentirà in futuro nessun accesso al dominio se non crittografato su ssl con certificato corretto, e questo a prescindere dall'indirizzo ip corretto o no. In pratica anche se "spooffi" il dns, se usi http per scavalcare il problema del certificato il browser non te lo permette in nessun modo (non aspettarti il classico avviso "...continua comunque su questo sito..." come avviene "a volte"), idem se usi https e tenti di far accettare al browser un certificato non valido. Ma aimè... ho notato che Paypal non include i sotto domini, motivo per cui qualcuno potrebbe dirottarti li per permettere una connessione non crittografata. Ma anche in questo caso torniamo al problema del controllo da parte dell'utente: Paypal ha la pagina di login nel dominio principale (https://www.paypal.com/it/signin), quindi sta a te non adare a fare login in sotto domini.
Detto questo, avvelenare i dns non è esattamente semplicissimo, addirittura alcuni provider di connettività offrono un servizio di dns "sicuri" crittografati all'interno della propria rete. ma in ogni caso rimane sempre possibile sopratutto se magari "clicchi nel posto sbagliato"...
Dopo tutto sto papacchione e alla luce di una tua affermazione:

"Per giunta la finezza di rivolgersi all'utente con nome e cognome, anziché in forma impersonale. A proposito, come avranno fatto ad avere i miei dati anagrafici, visto che su internet pubblico non ho mai lasciato apparire nemmeno mezza delle mie iniziali, nemmeno negli account Google (solo nel caso di transazioni su connessioni protette e contesti analoghi)? Devo quindi pensare che i cybercriminali abbinano violato qualche database sbirciandovi dentro?"

l'idea che mi sono fatto (irrazionalmente in quanto non hai parlato ne di wifi ne di hotspot pubblici) è che tu sia stato vittima di un "Evil twin attacks" da parte di qualcuno "abbastanza" vicino a te fisicamente parlando, e che magari conosce anche qualcosa di te o per "vicinanza" o comunque tramite "fuga di dati".
In questo tipo di attacco il "gemello malvagio" sarebbe un wifi che replica un wifi legittimo (es: un hotspot; la tua rete wifi casalinga ecc.) il cui scopo è trarre in inganno un potenziale utente e farlo connettere a questa, spesso con l'ausilio in contemporanea di un attacco DOS verso il wifi legittimo, in modo che non riaponda a dovere. La connessione del client al wifi fake consente ad un potenziale attaccante di conoscere il tuo traffico ed eventualmente instradarti verso gli ip che vuole lui, tipicamente un clone nel suo computer ovviamente. Nel caso di un fake hotspot pubblico spesso viene addirittura mostrato il login dei "big" (Google;Facebook;Paypal ecc.) con la richiesta di credenziali per poter accedere alla navigazione. Ovviamente il login serve per carpirti le credenziali.
Cosa intendo quando parlo di "fuga di dati"? beh possono essere tante cose a cui non ci si pensa... ad esempio la rete del mio vicino è "nascosta" (risata generale) e porta il suo nome e cognome. In ogni caso "voci" dicono che nel dark web trovi un sacco di informazioni illegali a pagamento e non.
Da qualche tempo esiste addirittura un apparecchietto nato da un crowdfunding (non farò nomi, ma vorrei far notare il costo relativamente basso oltre la facilità a replicarlo con qualche arduino e un raspberry) che automatizza molti tipi di attacchi "wireless", tra cui anche "Evil twin attacks", per cui spesso in giro ho trovato molti di questi "cosi" al lavoro, messi per la maggiore da neofiti che si limitano a lasciare tutto "basico", ma altri che mostravano cloni perfetti in cui si notava la mano di qualcuno più esperto.
Un ultima nota: i tuoi dati una volta immessi in rete sono in "internet pubblico" (la seconda mia interpretazione su cosa intendessi con questo), magari sono protetti, ma i dati sono li per essere usati in qualche modo, compreso in modo illecito se si scavalcano le protezioni. Bisogna fare un po di attenzione se ci tieni.

In conclusione: solitamente il problema non sta tanto nella tecnologia che si usa per proteggersi e proteggere i propri "cari" (clienti o altro), ma più che altro si tratta di disattenzione da parte dell'utente nel agire senza fare attenzione ai segnali che i sistemi di sicurezza mostrano...

[U235]

.

[filips]

"

.Se invece voglio rastrellare "in massa", è molto più semplice agire con pishing, 'ndo cojo cojo, mando a 10.000.000 di utenti, ci cascano solo in 5, rastrello tutto il possibile da quei 5 in modo automatizzato. Se dovessi "prendere il controllo" di ogni singolo pc per andare a cercare i dati di interesse perderei un sacco di tempo inutilmente su ogni singola macchina

Grazie. Leggo solo ora per mancanza delle notifiche mail relative alla discussione. Quindi, tirando le somme, potremmo affermare che le raccomandazioni standard di istituti di credito e simili sono attualmente qualcosa di equiparabile alla nonna che raccomanda a Pierino di non accettare caramelle dagli sconosciuti, quando le possibilità si spingono ben oltre: cioccolatini, biscotti, la zia Pina, il cugino Gino... :-)

Tra l'altro, nella breve indagine di cui dicevo, ho appreso che tool gratuiti o giù di lì per intraprendere tali operazioni illegali in modo relativamente semplice (automatizzato, probabilmente) sono messi a disposizione della massa, il che lascerebbe intuire scenari in cui non siano coinvolti hacker in senso stretto.

Nel caso mio specifico, come dichiarato dalla operatrice PPal, le mail da quella casella non trovano corrispondenze, dunque si tratterebbe di un tentativo bello e buono di estorcere dati sensibili. D'altra parte, la cronologia del browser lascia intendere che l'attacco è abbastanza sofisticato, in quanto riesce a interfacciarsi con l'utente utilizzando l'originale, cioè il dominio legale.

Io credo che circa un 90% degli utenti ci cascherebbe lasciandosi abbagliare..

[filips]

.

In conclusione: solitamente il problema non sta tanto nella tecnologia che si usa per proteggersi e proteggere i propri "cari" (clienti o altro), ma più che altro si tratta di disattenzione da parte dell'utente nel agire senza fare attenzione ai segnali che i sistemi di sicurezza mostrano...

Salve, ho letto con interesse la risposta, ma solo ora, perché, come ho detto a @Dascos, mi sono mancate le notifiche da parte di html.it.

Molto interessante la tua osservazione sulla assenza dei sottodomini, però, come avevo fatto presente, è di rilievo la presenza del dominio corretto di login all'interno della cronologia del browser.

Per quel che riguarda la tua speculazione circa "vicinanze" o "fughe di dati" ti posso dire che, a meno che non si sia in presenza di qualche divinità onnisciente in grado d'interfacciarsi col sottoscritto attraverso canali esoterici, siamo completamente fuori strada. Per es. non faccio uso di hotspot WiFi pubblici e nemmeno privati. Parlo di rete mobile. Essa la utilizzo invece come hotspot per TV o Chromecast. Se poi facessi uso di WiFi da mobile, al massimo sarebbe roba tipo Google=>orari bus ecc.

L'altra ipotesi è invece più plausibile (ma con "internet pubblico" intendevo canali social e in generale ogni mia traccia che rimanga visibile pubblicamente nel web). Escluderei comunque il dark web, visto che qui qualcuno è chiaramente entrato in possesso dell'informazione "correlazione-mail-nomintivo-utentePPal". Per questo, l'idea è di qualcuno che sia riuscito a violare la mia casella sbirciandovi dentro.

Dici poi bene (parole sante) quando affermi che occorre attenzione da parte dell'utente (dove va a cliccare, quali dati inserisce, gestione password ecc.), ma come tu stesso evidenzi, informazioni immesse sono automaticamente "pubbliche", il che credo implichi una significativa distinzione: la violazione per es. di una casella mail o di un sito non può essere contrastata dall'utente (cioè non è di sua competenza).

[U235]

...
Molto interessante la tua osservazione sulla assenza dei sottodomini, però, come avevo fatto presente, è di rilievo la presenza del dominio corretto di login all'interno della cronologia del browser.

Questo punto potrebbe trarti in inganno. Come hai valutato la cronologia del browser? O forse sarebbe meglio capire i vari passaggi. Nei post iniziali indichi link che non sono del dominio principale di PayPal. poi non ho cliccato in nessuno dei tuoi link, quindi magari mi sfugge qualcosa... In ogni caso il certificato si controlla sul momento non sulla cronologia che a volte può trarre in inganno.

Per quel che riguarda la tua speculazione ...

Se ne potrebbe discutere alla luce di quello che hai detto, ma francamente non è importante in questo momento. L'attenzione per il momento riguarda la parte del certificato ssl, questo dando per "ammesso" che in qualche modo ti abbiano "spooffato" il dns a prescindere da come.

Escluderei comunque il dark web, visto che qui qualcuno è chiaramente entrato in possesso dell'informazione "correlazione-mail-nomintivo-utentePPal". Per questo, l'idea è di qualcuno che sia riuscito a violare la mia casella sbirciandovi dentro.

Il dark web è come un mercato nero, se qualcuno viola delle caselle mail di un qualche provider (quindi in blocco, ma anche singolarmente) spesso le info le mette a disposizione, dietro pagamento, nel "mercato nero". In ogni caso la tua idea potrebbe essere corretta, ma il succo è comunque quello... se hai rivelato dati al di fuori della tua mente... no... va beh ora stavo esagerando ... diciamo: se hai immesso dati un un sistema elettronico collegato alla rete elettrica, allora questi dati sono a rischio, poi quanto siano a rischio è relativo, ma lo sono. Quindi oserei ripetere che reperire i dati è sempre possibile una volta digitalizzati (ma anche tramite cartaceo vocale ecc...). Ma anche questo tenderei a lasciarlo "per dopo", non è influente per capire come possa essere stato scavalcato il problema del certificato ssl (sempre se è avvenuto e non sia una cattiva interpretazione).

Dici poi bene (parole sante) quando affermi che occorre attenzione da parte dell'utente (dove va a cliccare, quali dati inserisce, gestione password ecc.), ma come tu stesso evidenzi, informazioni immesse sono automaticamente "pubbliche", il che credo implichi una significativa distinzione: la violazione per es. di una casella mail o di un sito non può essere contrastata dall'utente (cioè non è di sua competenza).

Ni... esistono molti strumenti per cercare di contrastare le violazioni, intendo strumenti che l'utente deve usare correttamente per ridurre al minimo il rischio, in quanto nella maggior parte dei casi l'attacco tende ad essere rivolto all'anello debole della catena di sicurezza, ovvero l'utente. Poi certo, a volte gli attacchi avvengono in un modo in cui l'utente non è coinvolto, ma anche in questi casi spesso l'anello debole è sempre l'uomo (magari l'amministratore di sistema). In ogni caso si, ovviamente le violazioni sono sempre possibili, ma non basta dire: "mi hanno hackerato la password di paypal!" per avere magari indietro "soldi spesi" dal tuo account.

Prendi ad esempio il tuo caso, potrebbe anche succedere che magari sei convinto di aver letto paypal.com ed invece magari scopri che si trattava di paypall.com o qualcosa di simile (ovviamente immagino abbia già controllato bene nel tuo caso). Senza considerare poi gli attacchi Punycode.
Un altro caso potrebbe essere quello in cui in qualche modo hai (tu o chissà chi...) installato un certificato root per una Authority CA fasulla sul tuo browser, a quel punto potresti tranquillamente trovarti il certificato sul dominio corretto in quanto il fasullo è l'autorità stessa. Ma anche in tutti questi casi c'è una vulnerabilità nel controllare attentamente quello che si fa non solo sul momento, ma anche i vari comportamenti in tempi non sospetti.
Il consiglio ultimo è sempre quello di non cliccare su link arrivati via mail o comunque è sempre preferibile digitare il dominio correttamente nel browser e ricontrollare più volte se si tratta di "roba" sensibile.

[filips]

Questo punto potrebbe trarti in inganno. Come hai valutato la cronologia del browser? O forse sarebbe meglio capire i vari passaggi. Nei post iniziali indichi link che non sono del dominio principale di PayPal. poi non ho cliccato in nessuno dei tuoi link, quindi magari mi sfugge qualcosa... In ogni caso il certificato si controlla sul momento non sulla cronologia che a volte può trarre in inganno.

Il 9 febbraio ricevetti la mail che mi invitava a controllare le transazioni. La notai però solo l'11 febbraio, perché a quella data si riferiscono le mail verso il contatto phishing PayPal. Inoltre è solo a tale data che trovo traccia di ciò nella cronologia del browser. Io feci clic, e la pagina web si aprì nella medesima app del gestore di posta in cui risiedeva il messaggio.

Nota che di messaggi del genere dalla casella incriminata (paypal@emails... con link click.enails.. e view.emails...) ne ho ricevuti un sacco. Davo per scontato che fossero autentici; solo dopo aver aperto il più recente (invito a controllare le operazioni) ho cominciato a sentir puzza di bruciato.

Sembra che i ladruncoli si stiano evolvendo, perché nelle missive è del tutto assente il tipico tono allarmistico che notoriamente viene indicato dai vari enti nelle istruzioni preventive i raggiri telematici. Qui al contrario il tono è cordiale e direi quasi amichevole, la comunicazione non è forzante, anzi è utilizzata una strategia psicologica pacata del tipo "se ti va vieni a controllare i movimenti / verificare questa proposta di marketing ecc". Se uniamo il tutto a una perfetta impaginazione, disposizione e allestimento grafico, assenza di errori ortografici e grammaticali, ecco che si giustifica senza appello l'iinevitabilità dell'impossibilità di accorgersi, almeno a un primo sguardo, della tela approntata dal ragno.

Incollo il link da cronologia:

[https]://www.paypal.com/signin?country.x=IT&locale.x=it_IT&utm_source=sfmc &utm_medium=email&utm_campaign=OW_EM_AH_MC_NI_NI_2 02302_320371_Consumer_Statement_it_IT&sfmc_id=SR3J XXYQNCSE4&utm_content=CTA_MODULE_LOGIN_Go_to_your_ account

Di seguito il risultato dell'analisi dell'URL, che eseguii subito dopo tramite Virustotal (dato derivante ancora dalla cronologia browser 11 febbraio)

Final URL
[https]://www.paypal.com/signin?country.x=IT&locale.x=it_IT&utm_source=sfmc &utm_medium=email&utm_campaign=OW_EM_AH_MC_NI_NI_2 02302_320371_Consumer_Statement_it_IT&sfmc_id=SR3J XXYQNCSE4&utm_content=CTA_MODULE_LOGIN_Go_to_your_ account
Serving IP Address
13.110.199.75

Ho appena verificato tale IP su

https://ip-geolocation.whoisxmlapi.com/api,

e questo è il risultato:

ip: String

"13.110.199.75"

location: Object

country: "US",
region: "California",
city:# "Financial District",

lat: 37.7912,

lng: -122.401,

postalCode: "",

timezone: "-07:00",

geonameId: 6948446

domains: Array

0: "click.emails.paypal.com",

as: Object

asn: 14340,

name: "SALESFORCE",

route: "13.110.0.0/16",

domain: "http://www.salesforce.com",

type: "Content"

isp: String

"Salesforce.com, Inc."

connectionType: String

e anche qui:
https://www.netify.ai/resources/ips/13.110.199.75

Sembrerebbe legale: PayPal ha uffici a San Francisco. Tu però hai detto che non ammette sottodomini. Questa tua osservazione mi ha fatto sorgere qualche interrogativo, perché leggendo questa pagina PayPal sembrerebbe che i sottodomini siano contemplati.

alla luce di quello che hai detto, ma francamente non è importante in questo momento. L'attenzione per il momento riguarda la parte del certificato ssl, questo dando per "ammesso" che in qualche modo ti abbiano "spooffato" il dns a prescindere da come.

Non so se mi abbiano spooffato il DNS: rete mobile, e sebbene l'utente sia l'anello debole, non vedo come qualcuno possa aver agito in tal senso.

Mi hai fatto venire un dubbio. Come detto, avevo cliccato il link, ma subito dopo, appena apparso il login, m'era sorto il sospetto, al che segnalai subito il fatto al centro PayPal preposto alle frodi.

Ora mi chiedo se il clic in sé e per sé comporti qualche rischio. Francamente, non riesco a vedere in che modo: per caso tramite Javascript?

Se mi dici che non ne comporta, allora posso ripetere la sequenza di azioni per vedere il certificato.

Ni... esistono molti strumenti per cercare di contrastare le violazioni, intendo strumenti che l'utente deve usare correttamente per ridurre al minimo il rischio, in quanto nella maggior parte dei casi l'attacco tende ad essere rivolto all'anello debole della catena di sicurezza, ovvero l'utente.

Quali sarebbero per la precisione tali strumenti? Mi verrebbe da pensare a servizi integrati in antivirus, ma tieni presente che, come ho detto, qui mi sto riferendo a un contesto mobile.

Poi certo, a volte gli attacchi avvengono in un modo in cui l'utente non è coinvolto, ma anche in questi casi spesso l'anello debole è sempre l'uomo (magari l'amministratore di sistema). In ogni caso si, ovviamente le violazioni sono sempre possibili, ma non basta dire: "mi hanno hackerato la password di paypal!" per avere magari indietro "soldi spesi" dal tuo account.

Questo, sinceramente, non l'ho mai capito. Posso concepire un attacco ransomware in cui il ricattatore convoglia il flusso del prezzo del riscatto in crypto (magnifico portato di questo infausto parto finanziario..), ma un utilizzo di coordinate bancarie ben precise.. voglio dire, se Tizio va a toccare il tuo borsellino, dovrà pur lasciare qualche traccia: indirizzo se effettua acquisti, percorso verso il conto di destinazione se bonifica..

Prendi ad esempio il tuo caso, potrebbe anche succedere che magari sei convinto di aver letto paypal.com ed invece magari scopri che si trattava di paypall.com o qualcosa di simile (ovviamente immagino abbia già controllato bene nel tuo caso). Senza considerare poi gli attacchi]Punycode].

Dai nomi riportati sopra non si direbbe. Il Punycode, in base a quanto appreso dall'articolo, sarebbe quell'atracco MiM cui avevo accennato? In effetti, accorgersi di un puntino sotto o sopra un carattere in tutto e per tutto identico a uno Unicode è impresa ardua!

Un altro caso potrebbe essere quello in cui in qualche modo hai (tu o chissà chi...) installato un certificato root per una Authority CA fasulla sul tuo browser, a quel punto potresti tranquillamente trovarti il certificato sul dominio corretto in quanto il fasullo è l'autorità stessa.

L'unica cosa che so di aver fatto, per la precisione l'anno scorso, è di aver installato certificati Let's Encrypt per rimpiazzare quelli scaduti. Questi non c'entrano nulla, immagino, con quelli utilizzati da PayPal, e comunque sono originali.

[U235]

Ciao filips,
Premetto che qui si fanno "chiacchiere", se vuoi certezze devi assumere un esperto di sicurezza informatica che ti controllerà tutte le cosa di cui necessita, in particolare il tuo PC/rete ecc.
Fatta questa premessa doverosa, aggiungo anche che non sono un hacker, ne un esperto di sicurezza informatica.
Ora quello che posso darti io è solo uno spunto per chiacchierare, ma senza poter analizzare la questione seriamente si posso solo fare ipotesi.
Per rispondere alla prima parte del tuo post, come premesso da subito, non ti fidare mai delle mail, le quali sono relativamente semplici da falsificare. Sopra tutto non cliccare mai in link in generale, giusto per essere sicuro. Inoltre nessuno ti può garantire che il semplice click e relativo caricamento della pagina web non sia un operazione pericolosa, in quanto esistono vulnerabilità che in alcuni casi permettono l'esecuzione di codice arbitrario dannoso (malware). L'unica protezione è sempre tenere aggiornato tutto il sistema (OS; AV; Browser; software in generale ecc.) e fare molta molta attenzione a cosa si visita.
Riguardo i sotto domini, o mi sono spiegato male io, o non hai compreso bene tu, ma poco importa, l'importante è chiarirsi. Tralasciando il fatto che come ti è stato detto (almeno mi pare) che quei sotto domini e l'IP che hai menzionato, PayPal non li "riconosce", o meglio essendo sotto domini diciamo che non li "usa" (vedi lista di sotto domini consigliati). Questo perlomeno da quello che hai detto che ti avrebbe detto la "signora di PayPal". Il discorso che ti ho fatto del sotto dominio riguardava il HSTS (che per rispondere ad un altra tua domanda è uno dei meccanismo di sicurezza fra gli altri, oltre il certificato ssl ed altre cose), quindi cerco di rispiegarti meglio cosa intendevo:
Quando visiti un sito web https che usa HSTS (es paypal.com) questo indica al browser che il dominio non possa essere visitato se non con protocollo https (e con certificato di sicurezza valido), quindi seppure qualcuno riuscisse a "spooffare" il dns (quindi sostituirsi al vero dominio PayPal senza esserlo dandoti un ip arbitrario e facendoti comparire nella barra il nome a dominio PayPal), non potrebbe falsificare il certificato ssl (salvo casi in cui hai installato una authority non legittima), provocando quindi un avviso di sicurezza nella pagina. Questo messaggio solitamente ti dice che il sito non ha un certificato valido, per cui non andrebbe visitato. Normalmente (se non si usa HSTS) l'utente potrebbe decidere comunque di continuare la navigazione, mentre usando HSTS il browser non ti permette in alcun modo di continuare comunque la navigazione (neanche se l'utente volesse). Ora per evitare il problema di questo avviso, un attaccante potrebbe usare lo stesso il dominio (spooffato), ma senza usare https, quindi senza mettere di mezzo il certificato, di conseguenza il browser a quel punto non presenterebbe più un avviso di certificato falso (o scaduto), per farlo li basterebbe usare http://paypal.com al posto di usare https://paypal.com, ma se il dominio usa HSTS allora non è possibile usare http, provandoci si otterrebbe il messaggio che non ti consentirebbe di andare avanti con la navigazione informandoti che il sito in questione usa sempre HTTPS e non può essere visitato con protocollo HTTP (oltretutto il vero dominio PayPal ti reindirizza comunque a https, mentre uno spooffato no, fa quello che li pare). Ma questo funziona solo con il dominio in questione, per i sotto domini è facoltativo (lo decide il dominio principale, quindi PayPal), nel senso che se provi http://sottodominio.paypal.com il browser potrebbe non comportarsi come spiegato poco fa anche se il dominio PayPal usa HSTS, ma semplicemente non da nessun avviso, di conseguenza non essendoci più un certificato di mezzo e nessun avviso di sicurezza, l'attaccante può scavalcare il migliore strumento di sicurezza per evitare il phishing, ovvero appunto il certificato ssl. Quindi ricapitolando, se usi http://sottodominio.paypal.com (non HTTPS) non hai nessuno strumento di sicurezza atto ad impedire la falsificazione del sito.
Per rispondere ad un altra tua domanda: non ha nessuna importanza il tipo di connessione che usi (mobile wifi ecc.), il certificato ssl e il suo meccanismo di sicurezza funzionano sempre nello stesso modo a prescindere. Per spooffare il DNS non necessariamente si deve agire sul device che usi o sulla lan direttamente, ad esempio potresti andare in qualche modo a "chiedere" al server dns dell'attaccante, che chiaramente ti da risultati che vuole lui. Le casistiche possono essere davvero tante, ecco perché il certificato è la crittografia (https) è fondamentale.
Riguardo le "tracce", se ti hanno rubato dei soldi ed hai denunciato il fatto, allora le forze dell'ordine potrebbero risalire in ultima istanza al truffatore seguendo il percorso fatto dai soldi, ma se questo ha usato ad esempio documenti falsi, o magari alla fine ha "girato" i soldi in stati canaglia (es la Russia in questo momento o comunque uno stato "non collaborativo"), sono persi (ti vorrei vedere andando a fare un casino a Putin dicendo: qualche russo si è preso i miei soldi ed ora li rivoglio!). In oltre se il truffatore ha fatto un giro di proxy, soprattutto in stati "canaglia" potrebbe non essere possibile avere informazioni sugli indirizzi usati (leggasi come: nomi dei colpevoli). Inoltre, nel caso di una mancata attenzione da parte tua (leggasi sono entrato anche se non c'era il certificato ssl oppure ho sbagliato dominio es con punicode), semplicemente PayPal non centra nulla, tu hai dato i tuoi dati ad altri, quindi ne sei responsabile, se qualcuno fa acquisti è come se lo avessi autorizzato tu.
Un modo per evitare il punycode potrebbe essere un qualche plugin del browser tipo: "IDN Safe" per chrome, che ti avvisa e ti mostra (a volte blocca direttamente) il dominio.
Un ultima cosa: l'autority che certifica il sito è una cosa (es Let's Encrypt), PayPal un altra. Il primo certifica il secondo, quindi se il primo è stato autorizzato ad essere un autorità (Let's Encrypt è legittimo, sempre che non sia un nome simile anche li!!!), potrà certificare il secondo anche se non è legittimo. In ogni caso nel certificato viene indicato quale autorità lo ha emesso.


Comunque, io non so bene se hai sbagliato ed eventualmente cosa, ma "raccontare" i passaggi potrebbe essere fuorviante. Non per sfiducia, per carità... ma potrebbe essere anche che tu sei convinto di aver fatto una cosa, invece magari scopri che non è andata esattamente come dici, magari a causa di confusione o difficoltà a controllare "dopo"... ecco perché ti serve nel caso un professionista che perizi per bene tutto. Ma il più delle volte il costo del recupero è maggiore del recuperato, sopra tutto se poi scopri che non potrai recuperare il maltolto anche conoscendo il nome del malfattore. Prendono sempre "piccole cifre" proprio per non rendere conveniente il recupero o comunque per non farsi scoprire subito anche nel caso non siano protetti da documenti falsi o stati canaglia. In pratica, se ti fregano solitamente rimani fregato (e me ne dispiaccio). Tutti possiamo cascarci, anche i più attenti potrebbero abbassare la guardia, magari anche solo per vivere bene senza stare a controllare ogni aspetto.