Su Whatsapp arriva un messaggio da un amico. Il numero è quello che abbiamo già salvato in rubrica. Oppure squilla lo smartphone e sul display compare un numero che sembra appartenere alla nostra banca o addirittura a un’autorità. Sono due truffe differenti, ma sfruttano lo stesso meccanismo: farci fidare di ciò che vediamo sullo schermo.
La tecnologia ha reso le frodi più credibili. Ma ci sono alcuni particolari che possono permetterci di fermarle prima che sia troppo tardi.
Truffe WhatsApp e banche: in cosa consistono?
L’allarme arriva in Abruzzo. Il presidente regionale del Codacons, Vittorio Ruggieri, richiama l’attenzione in particolare sulla manipolazione del numero telefonico visualizzato, mentre istituti di credito e autorità continuano a raccomandare di non comunicare codici e credenziali.
Il messaggio può arrivare realmente dall’account WhatsApp di una persona che conosciamo. E’ probabilmente l’elemento che rende il nuovo raggiro così efficace. Questo perché il truffatore potrebbe essersi già impossessato del suo profilo.
Il meccanismo può iniziare con un messaggio apparentemente innocuo: un amico ci chiede di aiutarlo a vincere un concorso, sostenere un candidato o esprimere una preferenza attraverso un link. Dopo il clic può arrivare la richiesta decisiva: inserire o comunicare un codice di registrazione ricevuto sul proprio telefono.
Quel codice non è un semplice voto. Può essere la chiave necessaria per registrare l’account WhatsApp su un altro dispositivo.
WhatsApp raccomanda esplicitamente di non condividere mai con nessuno il codice di registrazione, neppure con amici o familiari. È qui che il sistema diventa particolarmente insidioso. Una volta ottenuto l’accesso all’account, il malvivente dispone di qualcosa di estremamente prezioso: la fiducia dei nostri contatti. Può quindi scrivere ad amici e parenti impersonando la vittima:
- «Ho un problema».
- «Puoi anticiparmi questi soldi?»
- «Mi fai urgentemente un bonifico?»
- «Ti mando l’Iban, domani te li restituisco».
La richiesta appare molto più credibile perché non arriva da uno sconosciuto, ma dal numero e dall’account di una persona conosciuta. E la catena può continuare: un account compromesso viene utilizzato per cercare di sottrarne altri.
C’è poi un’altra tecnica che punta su un elemento al quale siamo abituati ad attribuire grande affidabilità: il numero visualizzato sul telefono. Si chiama spoofing.
AGCOM lo definisce come la manipolazione delle informazioni che identificano il chiamante: in sostanza, sul nostro display può comparire un numero diverso da quello dal quale la telefonata è realmente partita.
È proprio questo a rendere credibile il raggiro. Il cittadino riceve una telefonata, guarda il numero e può essere indotto a pensare che appartenga realmente a una banca o a un altro soggetto conosciuto.
A quel punto comincia la parte psicologica della truffa. Ad esempio: «C’è un’indagine sulla sua banca, sposti subito i soldi».
Il conto sarebbe a rischio. Qualcuno starebbe cercando di rubare il denaro. Bisognerebbe quindi collaborare con gli investigatori oppure trasferire urgentemente i risparmi su un altro conto per metterli al sicuro.
Può arrivare persino l’invito a non parlare con gli operatori della propria banca, perché l’operazione sarebbe riservata. È proprio l’urgenza uno degli strumenti più potenti del truffatore. La vittima non deve avere il tempo di riflettere, chiamare un familiare, contattare la propria filiale o verificare autonomamente quanto sta accadendo.
È forse questa la regola più importante da imparare. Vedere sul display un numero conosciuto non costituisce, da solo, la prova dell’identità di chi sta chiamando.
Come difendersi dalle nuove truffe
Non servono particolari competenze informatiche. Servono soprattutto alcune abitudini.
Mai comunicare il codice ricevuto da WhatsApp. È la prima regola. Se riceviamo un codice di registrazione che non abbiamo richiesto, non dobbiamo comunicarlo a nessuno. Nemmeno se a chiederlo è apparentemente nostro figlio, nostro fratello o il nostro migliore amico.
WhatsApp specifica che il codice di registrazione non deve essere condiviso con altre persone. E se qualcuno ci chiede improvvisamente di votare attraverso un link, la verifica più semplice richiede pochi secondi. Non chiediamogli conferma nella stessa chat che potrebbe essere già controllata dal truffatore. Contattiamo attraverso un altro canale.
Attivare la verifica in due passaggi C’è poi una protezione ulteriore che vale la pena attivare. WhatsApp mette a disposizione la verifica in due passaggi, che aggiunge un ulteriore livello di sicurezza all’account. Il servizio sta inoltre evolvendo il tradizionale PIN utilizzato per questa funzione verso sistemi basati su password.
È consigliabile anche associare e verificare un indirizzo email, utile nelle procedure di protezione e recupero previste dal servizio.
Se, invece, qualcuno telefona sostenendo che il nostro conto è in pericolo, la soluzione più semplice è interrompere la conversazione. Non bisogna eseguire bonifici sotto pressione né comunicare password, codici dispositivi o altre credenziali.
Poi bisogna contattare autonomamente la banca utilizzando i recapiti ufficiali, per esempio quelli riportati nell’app bancaria, sul sito ufficiale o sulla documentazione dell’istituto. La regola può essere riassunta così: non verificare l’identità del chiamante attraverso le informazioni che il chiamante stesso ci fornisce.
Se ci dice «cerchi questo numero su Google e vedrà che appartiene davvero alla banca», non abbiamo ancora dimostrato che la persona al telefono sia realmente la banca. È esattamente il principio sul quale si basa lo spoofing.
Le due truffe hanno caratteristiche differenti, ma condividono alcuni segnali d’allarme:
- Urgenza: «Deve farlo immediatamente».
- Segretezza: «Non dica nulla alla sua banca o ai suoi familiari».
- Denaro: viene richiesto un bonifico o un trasferimento verso un conto indicato durante la conversazione.
- Codici: viene chiesto di comunicare OTP, codici WhatsApp, password o credenziali.
Quando due o più di questi elementi compaiono contemporaneamente, la cosa più importante da fare è molto semplice: non fare nulla nell’immediato. Chiudere la conversazione e verificare autonomamente.
Cosa fare in caso di sospetto o truffa subita?
Se ci accorgiamo di avere consegnato il codice al truffatore e perdiamo l’accesso all’account, bisogna agire rapidamente.
WhatsApp indica una procedura precisa: registrare nuovamente il proprio numero e inserire il codice di sei cifre ricevuto tramite SMS o chiamata. Quando la registrazione viene completata, gli altri dispositivi che stanno utilizzando abusivamente quell’account vengono disconnessi.
Potrebbe comparire anche la richiesta del PIN o della password della verifica in due passaggi. Se il truffatore l’avesse attivata, il recupero potrebbe richiedere ulteriori passaggi e tempi di sicurezza. Una volta recuperato l’account è opportuno anche controllare i dispositivi collegati.
C’è però un’altra cosa da fare mentre si cerca di recuperare WhatsApp. Una telefonata, un SMS o un messaggio attraverso un’altra piattaforma possono impedire che un amico o un familiare invii denaro pensando di aiutare noi. È la stessa WhatsApp a raccomandare di avvisare familiari e amici quando si sospetta che qualcuno stia utilizzando abusivamente l’account per impersonarci nelle conversazioni e nei gruppi.
Se invece abbiamo già trasferito del denaro, la priorità cambia. Bisogna contattare immediatamente la propria banca, spiegare che si tratta di una possibile frode e chiedere quali operazioni possano essere intraprese per bloccare o tentare di recuperare il trasferimento. Prima si interviene, meglio è.
Se sono state comunicate credenziali bancarie o dati delle carte, bisogna chiedere anche il blocco degli strumenti compromessi e modificare le credenziali interessate utilizzando esclusivamente i canali ufficiali. Subito dopo è opportuno raccogliere tutto ciò che può documentare la truffa: screenshot delle conversazioni, numeri telefonici, orari delle chiamate, Iban, ricevute dei bonifici, link ricevuti e messaggi SMS.
Non cancellare tutto per la paura o la rabbia: quelle informazioni possono essere utili per ricostruire quanto accaduto.
Quando il raggiro riguarda account, messaggi, telefonate o operazioni finanziarie fraudolente è possibile rivolgersi alle forze dell’ordine e alla Polizia Postale, portando con sé tutta la documentazione raccolta. In Abruzzo è inoltre presente la rete territoriale del Codacons, che comprende anche una sede a Pescara e offre assistenza ai consumatori.
Ma soprattutto bisogna superare un ostacolo che spesso aiuta indirettamente i truffatori: la vergogna di essere caduti nel raggiro. Le tecniche utilizzate non sono più necessariamente il messaggio scritto male proveniente da uno sconosciuto.
Possono utilizzare l’account di una persona che conosciamo. Possono conoscere alcune nostre informazioni. Possono creare una situazione di emergenza. E possono manipolare il numero visualizzato dal telefono. Per questo la nuova regola di sicurezza dovrebbe essere molto semplice.
Un messaggio può sembrare scritto da un amico. Una telefonata può sembrare provenire dalla banca. Un numero può sembrare autentico. Prima di inviare soldi o comunicare un codice, però, facciamo una cosa che richiede meno di un minuto: fermiamoci e verifichiamo attraverso un secondo canale.
Perché oggi, nelle truffe digitali, riconoscere un numero non significa necessariamente riconoscere chi c’è davvero dall’altra parte.
