Ti chiama la “banca” per un bonifico da bloccare?

Sei sul divano, disteso in totale relax… ma poi il telefono inizia a squillare!

Sul display appare il numero verde della tua banca, magari la scritta “Servizio Clienti”. Rispondi, e una voce che parla un perfetto italiano (e anche con brusio in sottofondo) ti dice: “Sig. [TUO NOME], sono l’ufficio frodi della banca X. C’è un’operazione in corso verso l’Estonia da 1.830 euro. Se non inserisce il codice di blocco entro 30 secondi, il bonifico diventa irreversibile. Dobbiamo intervenire al più presto per bloccarlo, altrimenti il bonifico partirà automaticamente. Le darò subito le indicazioni così da impedire che lei perda i suoi soldi. Apra l’app…”

In quel momento ti crolla il mondo addosso e pensi a tutta la fatica per guadagnare quei soldi e che stanno spiccando, proprio ora, il volo… ti agiti. Il truffatore dall’altra parte della cornetta conta esattamente su questo e si sta preparando a colpire.

Quello che ti ho appena raccontato è il modo preferito da alcuni criminali per fregare il prossimo sfruttando l’intelligenza e la paura. Cercano di manipolarti e di metterti fretta, perché in questo modo sarà lungo e complesso per te tornare in possesso dei soldi poiché per la banca risulterai essere stato proprio tu ad aver autorizzato l’operazione! E lo fanno senza nemmeno collegarsi sul tuo PC: è molto più semplice convincere una persona agitata a voce piuttosto che convincerla e guidarla passo-passo ad installare un programma malevolo.

Se mai ti dovesse capitare, non sentirti solo. Non sei “tu” il bersaglio, sei solo un numero in una lista. I truffatori comprano migliaia di numeri con annesso nome dell’utente nel dark web e usano software (“Autodialers”) per chiamare a tappeto. Basta anche solo che interagiscano con una piccolissima fetta che hanno fatto giornata. Non hanno scelto te; hanno avuto la fortuna di trovare un numero con una persona che ha risposto. E poi, com’è possibile che appaia il numero vero? Ci sono tecniche fraudolente che lo permettono (“Spoofing”)!

Hanno la Tua Password! Ma necessitano ancora di un Tuo Codice…

I criminali informatici possono ottenere molto facilmente le tue chiavi (informatiche) di casa se non presti attenzione!

Ma come ci riescono? La tua password ad esempio può essere “pescata” nel Dark Web, quella porzione nascosta di Internet dove i criminali comprano e vendono dati rubati a seguito di fughe di dati (“data breach”) da server aziendali. Ti sembra incomprensibile quanto ho scritto? Vado dritto al concreto: vengono pubblicati dei maxi elenchi digitali (testo o tabelle, in formato .txt, .csv…) che contengono un sacco di associazioni “indirizzo mail + password” (e non solo). Anche io che penso tanto di fare il figo sicuramente sarò comparso su questi file.

Magari anni fa ti sei iscritto a un forum di giardinaggio o a un’app di fitness usando la stessa email e la stessa password che usi per la banca o per altri importanti siti web. Proprio quei siti dove ti sei registrato al volo dicendo “ma chissenefrega se accedono al mio profilo, poi tanto cosa vuoi che vedano? L’ultimo modello di tosaerba che ho comprato? Problemi loro…” .

E invece proprio a causa di questo gesto comune di distrazione o noncuranza, i criminali hanno comprato per pochi centesimi una chiave di accesso alla tua vita digitale.

Quindi, hanno la tua email e la tua password. Si collegano al sito della tua banca (vale anche su portali noti di e-commerce dove hai salvato le tue carte), inseriscono le credenziali… ma poi si bloccano!
Davanti a loro, proprio quando hanno la possibilità di accedere al tuo conto, con il bel tastone “Accedi” solo da cliccare… SBAM! Non possono più andare avanti, perché il sistema chiede di inserire un codice di sicurezza a 6 cifre. Fine dei giochi! Hanno sbattuto la testa contro l’Autenticazione a Due Fattori (detta in gergo 2FA o MFA).

È quel sistema che, oltre alla password, richiede un secondo controllo di sicurezza. Per farla breve, è quel codice numerico temporaneo che ti arriva come SMS sul tuo cellulare o che visualizzi aprendo l’app dedicata come Microsoft Authenticator o Google Authenticator. Esatto, proprio quel codice temporaneo che spesso ci fa sbuffare quando non sappiamo dove abbiamo messo il telefono o siamo convinti di aver digitato correttamente il numero, salvo poi scoprire di aver scritto un ’43’ invece di un ’34’!

Torniamo a noi, i criminali sono lì, davanti alla schermata di login, pronti ad accedere e svuotarti il conto… se solo potessero entrare! Vedono il traguardo vicino, ma la porta è chiusa a doppia mandata per via di quel codice di cui sei in possesso e che aprirebbe loro le porte del paradiso!

L’unico modo che hanno per superare questo ostacolo è convincere l’unica persona che detiene la seconda chiave a consegnargliela volontariamente. Quella persona sei tu!

💡 Il Consiglio del Doc: Dove possibile, non utilizzare gli SMS come secondo fattore di autenticazione. E’ possibile intercettarli e leggerne il contenuto! Imposta sempre le app di autenticazione (come Google Authenticator o Microsoft Authenticator) sui siti che lo consentono.

Ti chiama un Numero Fidato? Forse no!

“Ma Doc”, mi dirai, “sul display del mio telefono era comparso proprio il numero verde della mia banca! Te lo giuro! Come avrei potuto non fidarmi?”

Ti credo sulla parola. E so benissimo che è andata esattamente così. Non sei impazzito, sei appena inciampato nello “Spoofing” (“raggiro”), una vecchia tecnica dei truffatori digitali per camuffare il proprio numero telefonico.

Vedi, la tecnologia dietro le nostre telefonate non è più quella dei vecchi cavi di rame, che andavano per la maggiore fino a qualche decennio fa. Oggi viaggia tutto su internet tramite i centralini VoIP (Voice over IP). Quando un criminale riesce a configurare uno di questi sistemi per far partire le chiamate, si ritrova davanti a un campo di testo chiamato “Caller ID”. E sai cosa fa? Sfrutta semplicemente dei provider su Internet un po’ troppo “leggeri” che non verificano se chi sta chiamando sia davvero il proprietario di quel numero. Ci inserisce letteralmente il numero verde della tua banca, delle Poste, o perfino di una persona a te cara, se gli gira. Nessuno glielo impedisce.

È la stessa identica debolezza della vecchia posta cartacea (ma anche delle mail): io posso prendere una busta, scriverci il mio testo truffaldino, e poi mettere come mittente “Il Presidente della Repubblica”. Chiunque può farlo. Il postino legge l’indirizzo, te la consegna e tu, vedendo quel mittente illustre, la apri e leggi con grande attenzione quanto è contenuto all’interno. Se non ci sono scritte cose troppo strane, potresti non sospettare di nulla… e la truffa è servita!

Il tuo smartphone fa il resto della frittata: legge quel numero falso in entrata, lo trova nella tua rubrica e ti visualizza a schermo il nome rassicurante ‘La Tua Banca’. In quel momento rispondi senza farti troppe domande. Poiché le reti telefoniche attuali non verificano la vera identità di chi chiama, l’unica vera barriera di sicurezza sei tu.
Regola d’oro: se ricevi una chiamata inaspettata che ti chiede dati o soldi, metti giù il telefono e richiama tu stesso il numero della banca (lo trovi sul retro della tua carta o sul loro sito ufficiale, così sei sicuro di chiamare il numero corretto). E, consiglio da amico, non farti prendere dalla fretta e non usare mai il tasto ‘richiama’ della cronologia del telefono, digitalo manualmente!

Per darti una mano in più contro i truffatori, sappi che non serve scaricare chissà quale applicazione strana. I produttori del tuo smartphone (Android o iOS) hanno già inserito delle ottime funzioni di sicurezza gratuite per filtrare in automatico le chiamate sospette. Non le filtreranno tutte al 100%, ma una mano importante possono darla.

Ci vuole letteralmente un minuto per attivarle. Ti lascio qui sotto le guide ufficiali per farlo passo dopo passo, direttamente dalle case madri:

• Hai uno smartphone Android? Segui la guida ufficiale di Google per filtrare le chiamate spam.

• Hai un iPhone? Segui la guida ufficiale di Apple per silenziare i numeri sconosciuti e lo spam.

🛑 QUESTA GUIDA NON FINISCE QUI! QUESTO E’ UN ARTICOLO IN CONTINUO AGGIORNAMENTO 🛑
Nelle prossime settimane vedremo insieme la parte successiva, ti spiegherò:
” COME TI MANIPOLANO “
Vuoi sapere non appena il prossimo blocco sarà online? Segui il Dottore dei Computer sui social: è lì che pubblico le pillole in anteprima!