Il pescatore principiante della truffa

Una storia di phishing bancario diversa dal solito: il ladro beffato

All’inizio sembra la classica storia di phishing bancario: un truffatore crea un sito web che somiglia a quello di una banca, manda una raffica di SMS a casaccio, che sembrano comunicazioni di allarme di quella banca e contengono un link al sito del truffatore, poi aspetta che le vittime che hanno ricevuto quel messaggio, e per pura coincidenza correntiste di quella banca, cadano nella trappola: cliccano sul link, visitano il sito “vero-simile”- e vi immettono le proprie credenziali di accesso ai rispettivi conti bancari.

Di solito queste storie si concludono tristemente, con un truffatore che svuota i conti bancari delle vittime. Ma stavolta non è così.

Tutto è iniziato la sera della vigilia di Natale, quando Monica, mia cliente da qualche anno, mi ha mandato un tweet avvisandomi che aveva ricevuto un SMS che sembrava provenire da una banca (il mittente apparente era CartaBCC) e conteneva un messaggio di allarme: “Abbiamo sospeso temporaneamente la sua utenza si prega di compilare il seguente modulo anagrafico per riattivarla. http://carta-bcc.com/relax“

Monica non è caduta nella trappola: anche se il messaggio era confezionato in modo da ingannare, con quel mittente falsificato, e creare ansia all’idea del blocco del conto corrente, il link contenuto nell’SMS era chiaramente sospetto per chiunque lo esaminasse a mente fredda. Infatti, carta-bcc.com non sembra proprio un nome da sito bancario. Monica è comunque insospettita e nonostante sia la vigilia di Natale mi chiama:

“Ciao Alice, perdonami per l’ora e per la giornata, sarai sicuramente presa dai preparativi per la cena, ma mi è arrivato un sms sospetto, che ti ho già inoltrato, so per certo che si tratta di una truffa”.

“Ciao Monica, nessun disturbo, non ho letto il tuo sms ma controllo in diretta”

“Che faccio? Compilo?” mi ha chiesto ironicamente Monica. Ovviamente no, Monica!

Quella sera ero a cena con mio cugino (che chiamerò ALEX), poliziotto informatico, a cui racconto immediatamente la telefonata. Visitando il link con le opportune precauzioni ha visto che il falso sito bancario era ancora attivo e conteneva la schermata di richiesta credenziali di una nota banca italiana.

La cosa era piuttosto sorprendente, dato che di solito questi siti-truffa vengono identificati e rimossi dalle autorità nel giro di poche ore, ma il bello doveva ancora arrivare. Visitando il sito del truffatore ha esaminato la struttura, che era pubblicamente accessibile.

Alex mi ha dice di aver scoperto un vero tesoro: il file nel quale il truffatore archiviava i dati immessi dalle vittime.

Ebbene sì, non tutti i criminali informatici sono professionisti infallibili: questo genio del male aveva commesso l’errore fondamentale di lasciare pubblicamente accessibile il file nel quale stava man mano registrando le credenziali delle proprie vittime: indirizzo IP, login, nome, password, numero e CVV della carta bancaria, scadenza della carta, numero di telefono.

Per fortuna, grazie anche al provvidenziale intervento di Alex, la pagina-trappola è stata rimossa nel giro di qualche ora e quindi i dati rubati non erano più reperibili pubblicamente. Purtroppo, come sempre in questi casi, non è facile raggiungere le vittime una per una, e quando le si raggiunge è troppo tardi.

Una volta tanto è andata bene, insomma: ma truffatori come questi compaiono tutti i giorni, per cui conviene imparare da questi incidenti a lieto fine come riconoscere i tentativi di inganno.

• Non bisogna mai fidarsi dei mittenti degli SMS, perché possono essere falsificati facilmente;
• Non bisogna mai cliccare sui link presenti negli SMS, specialmente se si tratta di messaggi di allarme che riguardano conti bancari;
• Bisogna ricordare che nessuna banca seria allerterà i propri clienti tramite dei messaggini contenenti dei link o chiederà telefonicamente di confermare codici di accesso.

Siate prudenti. Monica ha reagito con prontezza alla comunicazione. Ma quanti di noi si sono riconosciuti nella sua storia? I truffatori sono un passo avanti a noi, per cui la diffidenza più che sfiducia preconcetta è prudenza lungimirante.