Settimana 10: Vecchie truffe in una nuova veste
I truffatori cercano costantemente di adattare i loro metodi per ingannare gli internauti. Nell’ultima settimana sono stati segnalati all’UFCS due nuovi tipi di frode, che si basano su fenomeni già esistenti o che combinano diversi tipi di truffe.
Un’e-mail apparentemente autentica a nome di Amazon comunica ai destinatari che sono tra i «250 clienti svizzeri selezionati» che possono vincere premi allettanti come buoni Amazon, l’ultimo modello di iPhone o una PlayStation 5.
Attacco che combina un concorso a premi fraudolento con il phishing
Il messaggio contiene un link per la presunta partecipazione a un concorso: si tratta però di un concorso fraudolento che attira i destinatari su un sito web specifico, dove si leggetra le righe che inserendo i dati della carta di credito si conclude un’offerta pluriennale. Non si tratta di phishing classico: i criminali sfruttano deliberatamente le zone grigie nel tentativo di evitare la chiusura del sito web o l’avvio di un’azione penale. In questo caso, è ancora più sorprendente che cliccando sul link si apra una pagina in cui viene chiesto alla vittima di inserire i propri dati di accesso ad Amazon. I dati inseriti finiscono direttamente ai truffatori, che possono utilizzarli per accedere all’account Amazon, effettuare ordini, visualizzare le informazioni di pagamento memorizzate e abusare dei dati personali – il classico phishing.
Solo a questo punto segue la solita procedura con il presunto sondaggio, il presunto premio e il successivo reindirizzamento alla trappola dell’abbonamento. In questo caso, i truffatori combinano deliberatamente due tipi di frode: se da una parte questo approccio aumenta le loro entrate, dall’altra accettano anche consapevolmente che il sito verrà disattivato più rapidamente.
Presunto furto di numeri di carte di credito e altre informazioni personali
Quando si tenta di commettere una frode, è importante per gli autori spaventare il maggior numero possibile di potenziali vittime e convincerle a intraprendere azioni avventate. Nel caso della cosiddetta «fake sextortion», questo funziona apparentemente solo in misura limitata, perché è improbabile che le persone che non hanno mai consumato contenuti pornografici cadano in questa truffa. La situazione è diversa nel caso di denunce di furto di informazioni sensibili come i dati delle carte di credito: chiunque navighi su Internet ha probabilmente già inserito da qualche parte il numero della propria carta di credito. Di conseguenza, più vittime si sentiranno insicure e più persone saranno tentate di pagare il riscatto. È probabile che gli autori delle false e-mail di sextortion sfruttino proprio questa leva. La scorsa settimana, ad esempio, l’UFCS ha ricevuto numerose e-mail esattamente nello stesso stile e con formulazioni simili, con l’unica differenza che la minaccia non era di pubblicare le foto compromettenti, ma di vendere numeri di carte di credito e altri dati sensibili sul darknet. Il numero di segnalazioni ricevute dall’UFCS dimostra il sentimento di insicurezza provato da numerosi utenti davanti a questa minaccia.
Mentre le fake sextortion sono solitamente riconosciute come fraudolente da molte persone, questa ondata ha portato a numerose segnalazioni da parte di persone preoccupate. Tra l’altro, le false e-mail di sextortion spesso sembrano provenire dall’indirizzo del destinatario per aumentarne la credibilità. In questi casi, però, l’indirizzo del mittente è falso.
Raccomandazioni
Concorsi fraudolenti e phishing
- Osservate con occhio critico le inserzioni sui social media e le e-mail accompagnate da allettanti promesse di premi.
- Siate particolarmente cauti se, per accedere a offerte gratuite, vi vengono chiesti i dati della vostra carta di credito o di login.
- Ove possibile, proteggete i vostri accessi online con l’autenticazione a due fattori (2FA).
- Non inoltrate tali concorsi ai vostri contatti.
- Se avete fornito i dati della vostra carta di credito, contattate immediatamente il relativo fornitore.
Presunto furto di numeri di carte di credito e altre informazioni personali
- Ignorate simili e-mail e segnalatele come spam al vostro provider di posta elettronica.
- Controllate l’estratto conto della carta di credito e segnalate eventuali irregolarità al fornitore della carta.
- Inserite i numeri di carta di credito solo su siti web che trasmettono i dati in forma criptata. Tali siti web sono riconoscibili dal simbolo del lucchetto o della chiave nella barra degli indirizzi del browser e dall’indirizzo Internet (URL), che inizia con «https://».
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria: