Prima lezione di nuoto nella merda: bisogna galleggiare!
Oggi non ho alcuna voglia di raccontare gli eventi, non parlerò di PEC o di Revolut. Anche i sassi nelle caverne si sono accorti dell'immenso puttanaio in corso che, per dirla con le parole di un caro amico, è un iceberg di merda.
Siamo messi male. Siamo tutti coinvolti da uno scenario di Business Email Compromise (BEC) ad alto livello d'impatto, e il confine tra l'autorevolezza delle istituzioni e la malafede dei criminali non è più distinguibile .
In estrema sintesi, per i distratti, i criminali informatici, usando credenziali vere, assumendo l'identità digitale delle Autorità italiane, hanno potuto:
accedere all'archivio della corrispondenza storica (inviata e ricevuta) di PEC ufficiali, hanno analizzato la rete di interlocuzioni con banche, istituti di credito, compagnie assicurate e piattaforme fintech;
inviare PEC autentiche da domini istituzionali reali, indirizzando richieste d'informazione giudiziaria e patrimoniale agli istituti finanziari, richiedendo ed ottenendo fascicoli informativi completi su specifici clienti e correntisti;
acquisire un patrimonio informativo ad alta riservatezza.
L'acquisizione di un set così vasto di dati, che comprende documenti d'identità, selfie di verifica KYC, estratti conto, saldi, abitudini di spesa e movimenti di criptovalute, permette attività di data enrichment senza precedenti e mette nelle mani dei malintenzionati un "arsenale nucleare" di ingegneria sociale.
Una persona comune, leggendo le notizie, pensa "che casino... ma infondo chissenefrega, non mi riguarda, non sono un calciatore, né un attore, non conto un cazzo e ho sul conto solo ragnatele e tarzanelli".
Questo è il vero problema, un pensiero più pericoloso del data breach stesso perché trasforma ciascuno di noi nella vittima designata, quella più indifesa, quella che ci cascherà, anzi, che c'è già cascata.
Non sono ottimista ma nemmeno pessimista. Per realismo ed esperienza, dalle aziende coinvolte e dalle istituzioni mi aspetto le solite comunicazioni farsa in cui le rassicurazioni prevalgono sui fatti, che paiono scritte apposta per non generare allarme, completamente prive di alcuna utilità pratica. Se saremo fortunati, al massimo verranno ipotizzati generici rischi per tentativi di phishing diretto, ricatti estorsivi e l'invio di mail truffa da PEC reali, indistinguibili da messaggi autentici.
C'è di peggio, molto peggio e, anche se è davanti al nostro naso, ci rifiutiamo di vederlo perché siamo persone per bene, incapaci di commettere crimini, incapaci di fare del male, incapaci di ragionare come un criminale.
Lo faccio io. L'ho sempre fatto... lo so, non è una bella cosa.
Ecco cosa rischia ciascuno di noi:
Synthetic Identity Theft e Apertura di Conti "Ombra" (Mule Accounts)
- Come funziona: Possedendo la copia dei documenti d'identità validi, il codice fiscale e i selfie di verifica (KYC) trafugati dalle banche, i criminali possono superare i controlli d'identificazione automatizzata di altre piattaforme fintech, istituti bancari online o exchange di criptovalute.
- Il rischio per il cittadino: Vengono aperti conti correnti o carte ricaricabili intestate all'inconsapevole cittadino, utilizzati poi come conti polmone (money mules) per riciclare proventi di altre truffe o per acquistare beni illegali. La vittima si troverà indagata per riciclaggio o concorso in truffa senza aver mai aperto quel conto, senza aver pasteggiato con caviale sullo yacht, senza aver visto un euro.
Richiesta di Finanziamenti e Prestiti Personali Fittizi
- Come funziona: Utilizzando gli estratti conto, le buste paga o le dichiarazioni dei redditi presenti nei fascicoli della banca, i truffatori richiedono micro-prestiti o finanziamenti al consumo (es. acquisto a rate di beni tecnologici o prestiti personali online).
- Il rischio per il cittadino: La vittima scoprirà la truffa solo quando riceverà le sollecitudini di pagamento o i decreti ingiuntivi da parte delle società finanziarie, rischiando la segnalazione nelle banche dati dei cattivi pagatori (CRIF/SIC).
- Danni Finanziari Indiretti: Blocco del Credito e Blacklisting Involontario: la vittima viene automaticamente segnalata nei sistemi di informazione creditizia (es. CRIF o Centrale Rischi) come debitore moroso. Le persone scoprono l'abuso solo mesi dopo, quando ci si vede rifiutare un mutuo per la casa, un prestito personale o un leasing auto per un'incolpevole sofferenza finanziaria a proprio nome.
Truffe basate su SIM Swapping e Intercettazione dei Codici di Sicurezza (MFA)
- Come funziona: Conoscendo tutti i dati anagrafici esatti e possedendo la scansione del documento di riconoscimento, l'attaccante si presenta presso un negozio di telefonia (o tramite procedura online) richiedendo la sostituzione della SIM dell'interessato per presunto smarrimento o guasto.
- Il rischio per il cittadino: Una volta disattivata la SIM legittima e attivata quella del truffatore, quest'ultimo intercetta gli SMS di autenticazione a due fattori (OTP) inviati dalle banche o dai servizi online, prendendo il controllo dei veri conti correnti, delle caselle e-mail, dei servizi online della vittima.
Vishing d'Autorità (Spoofing Telefonico Integrato con la PEC)
- Come funziona: La vittima riceve prima una PEC o e-mail istituzionale credibile (o un'e-mail ordinaria che cita i dati reali della PEC compromessa), e subito dopo una telefonata da un presunto "Maresciallo della Guardia di Finanza", "Funzionario di Polizia" o "Ispettore dell'Agenzia delle Entrate". Il chiamante (che mediante caller ID spoofing fa apparire sul display il numero reale dell'ente o un testo) cita dettagli riservatissimi del conto bancario della vittima per dimostrare l'autenticità dell'indagine.
- La trappola: Viene detto al cittadino che il suo conto è "sotto attacco" o "oggetto di sequestro preventivo" e che l'unico modo per proteggere i propri risparmi è effettuare immediatamente un bonifico verso un inesistente "conto di custodia giudiziaria" fornito dall'operatore.
Finti Accertamenti Fiscali e Sanzioni per Transazioni in Criptovalute o Asset Esteri
- Come funziona: Poiché la PEC compromessa ha permesso di avere visibilità di indagini su movimenti bancari e criptovalute, i truffatori inviano alle vittime comunicazioni con intestazioni ufficiali addebitando presunte evasioni fiscali, omessa dichiarazione di quadri RW o violazioni della normativa antiriciclaggio.
- La trappola: Viene intimato il pagamento immediato di una "sanzione ridotta" o di un "conguaglio d'imposta" tramite bonifico o crypto-wallet per evitare l'avvio di un procedimento penale e il pignoramento dei beni.
Spear Sextortion e Ricatti Reputazionali basati sugli Estratti Conto
- Come funziona: Analizzando gli estratti conto, i criminali rilevano abitudini di vita, iscrizioni a piattaforme online, frequentazioni di cliniche private, acquisti specifici o donazioni riservate.
- La trappola: Inviano un'e-mail alla vittima minacciando di divulgare a parenti, datori di lavoro o sui social network la cronologia delle sue spese e dei suoi spostamenti a meno che non venga pagato un riscatto in Bitcoin entro poche ore.
Medical Identity Theft e Truffe Sanitarie Mirate
- Come funziona: Nei casi in cui i dati trafugati includano informazioni sulla salute, cartelle cliniche, diagnosi, prescrizioni o rimborsi per cure sanitarie, i truffatori dispongono di un quadro clinico riservatissimo.
- La trappola:
- La vittima viene contattata da sedicenti "Centri Medici", "Laboratori d'Analisi" o "Uffici d'Igiene" che citano la specifica patologia o l'esame svolto di recente, intimando il pagamento di presunti ticket insoluti o proponendo la vendita di farmaci salvavita o dispositivi medici introvabili.
- In casi ancora più gravi (Medical Identity Theft), i dati sanitari e il codice fiscale della vittima vengono usati da terzi per ottenere prestazioni sanitarie o farmaci costosi a carico del Servizio Sanitario Nazionale, alterando l'anamnesi ufficiale dell'inconsapevole cittadino.
Sfruttamento delle Abitudini di Vita per Furti in Casa e Stalking
- Come funziona: la combinazione di indirizzi residenziali, dati sulle consegne periodiche o estratti conto che rivelano acquisti e prenotazioni di viaggi fornisce la mappa esatta degli spostamenti della persona.
- La trappola:
- Furti residenziali pianificati: Sapendo che il cittadino ha prenotato un soggiorno o una vacanza (rilevata dall'estratto conto), i criminali agiscono a colpo sicuro nell'abitazione lasciata incustodita.
- Stalking e pericoli all'incolumità fisica: Dati di contatto, abitudini di frequenza di palestre/cliniche e orari di lavoro esfiltrati espongono soggetti vulnerabili (o persone con identità protetta) a condotte persecutorie o minacce per la propria sicurezza personale.
Inoltre, si apre un immenso capitolo di rischi indiretti dovuti proprio al fatto che tutti non parlino d'altro, una manna per un folto sottobosco di truffatori approfittatori di basso rango:
Sciacallaggio da Eco Mediatico. (News-Jacking Scam)
- Come funziona: Quando un attacco informatico o una falla di sicurezza diventano di pubblico dominio, con titoli di testa al telegiornale, articoli sui giornali e discussioni virali sui social, i criminali informatici non si limitano a usare i dati rubati, ma sfruttano lo stato di allarme, ansia e disorientamento della popolazione generale per lanciare una seconda ondata di truffe ("Truffe Secondarie").
- La trappola: In questo caso, il truffatore non ha neanche bisogno di possedere i dati reali della vittima: gli basta sfruttare il fatto che chiunque abbia un conto corrente o una PEC si sente potenzialmente a rischio.
Il Finto "Servizio di Verifica Compromissione" (Phishing & Malware)
- La trappola: Sfruttando la psicosi collettiva, i criminali creano siti web civetta, post sponsorizzati sui social network o e-mail di massa con titoli come:
- "Verifica subito se il tuo Codice Fiscale o il tuo IBAN figurano tra i dati rubati nell'attacco alla Prefettura".
- Il danno: Il cittadino allarmato entra sul sito finto e inserisce di sua iniziativa i propri dati personali, il codice fiscale, il numero di telefono e l'IBAN per "controllare". In questo modo regala ai truffatori dati puliti e confermati. In altri casi, viene chiesto di scaricare un "tool di scansione di sicurezza" che in realtà è un malware / Trojan bancario che infetta lo smartphone o il PC.
Il Finto SMS/E-mail di "Messa in Sicurezza del Conto"
- La trappola: I truffatori inviano SMS o e-mail di massa spacciandosi per la banca della vittima:
- "A seguito dell'attacco informatico alle PEC ministeriali di cui parlano i giornali, la tua banca ha avviato la procedura di messa in sicurezza dei conti. Clicca qui per verificare le tue credenziali e aggiornare il PIN".
- Perché funziona: La vittima ha appena visto la notizia al telegiornale, quindi trova la comunicazione estremamente coerente e verosimile. La guardia si abbassa drasticamente perché il messaggio sembra una reazione logica e protettiva della banca all'emergenza nazionale.
Falsi Avvocati, Associazioni e "Class Action per il Risarcimento Danni"
- La trappola: I cittadini o le aziende vengono contattati da presunti "Studi Legali", "Associazioni di Tutela dei Consumatori" o "Società di Consulenza":
- "Stiamo raccogliendo le adesioni per la Class Action e la richiesta di risarcimento danni contro l'Ente e gli istituti coinvolti nel data breach. Hai diritto a un indennizzo fino a 5.000 euro".
- Il danno: Per "aprire la pratica" o per partecipare all'azione collettiva, viene richiesto il versamento di una quota di iscrizione (es. 50-150 euro) o la trasmissione dei propri documenti d'identità e coordinate bancarie per "l'accredito del rimborso", generando un doppio danno (economico e di furto d'identità).
Finti Tecnici della Polizia Postale o del CSIRT
- La trappola: Una telefonata o un messaggio informa il cittadino che la sua utenza è risultata tra quelle intercettate nella PEC compromessa e che è necessario effettuare una "bonifica tecnica urgente":
- "Sono l'Ispettore X della Polizia Informatica. Dobbiamo verificare se il suo computer o il suo conto sono stati infettati dagli hacker dell'attacco alla Prefettura".
- Il danno: Viene chiesto alla vittima di installare software di controllo remoto (come AnyDesk o TeamViewer) o di seguire istruzioni al telefono. Una volta preso il controllo del dispositivo, i criminali svuotano il conto corrente o installano spyware, infostealer e keylogger permanenti.
Ovviamente, a tutto questo, si affiancano le attività classiche, sempre di gran moda, ma in versione potenziata e sotto steroidi:
Phishing e Spear Phishing "Iper-Circostanziato"
- Come funziona: riceverai una comunicazione che cita spese reali, utenze attive, abbonamenti o acquisti recenti, ingiungendo il pagamento immediato di presunte bollette insolute, conguagli o bonifici verso nuove coordinate bancarie.
- Perché inganna: Il messaggio non è generico ma contiene riferimenti precisi alle reali abitudini di vita ed economico-patrimoniali della persona.
"MIMESI"
A fatica, abbiamo imparato a riconoscere le truffe grazie a qualche errore grammaticale, indirizzi e-mail sospetti o testi troppo generici, grafica disallineata e altri dettagli simili. Oggi non è più così. L'uso di canali di comunicazione ufficiali, l'uso di dati intimi ed estremamente dettagliati, la competenza accumulata in anni di malaffare condotto a livello professionale, la disponibilità di AI applicata al crimine rendono indistinguibili le truffe.
"TI RIGUARDA"
Ti senti immune perché non conti niente? Sei uno dei tanti, ti confondi nella massa e nessuno ti prenderà di mira?
SEI UN ILLUSO
Purtroppo non funziona come pensi tu. I tuoi dati sono li e chi ne ha copia li usa in modo sistematico, dal primo all'ultimo sventurato della lista. Si chiama "Pig butchering" e tu sei un tenero lattonzolo. Puoi pensare di non avere granché nelle tasche, ma perderai molto di più, ti troverai rovinato, con debiti così grandi da non poterli mai ripagare.
Sei un illuso anche per un altro motivo: nessun criminale si scomoderà a cercare dati su di te per truffarti, al contrario, trufferanno te perché i tuoi dati sono nella disponibilità di un criminale.
"SVEGLIATI"
No, nessuno ti aiuterà, nessuno ti supporterà se perderai tutto, a nessuno fregherà niente di te, della tua famiglia o della tua disperazione. In compenso sarai istituzionalmente e abbondantemente coccolato, rassicurato e anestetizzato.
Beh...
Nonostante l'indubitabile valore ipoalgesico del turpiloquio e delle bestemmiare, le imprecazioni non ti aiuteranno granché, così come non ti sarà di alcun aiuto o sollievo osservare la squallida gara per trovare chi è più colpevole in tutto questo cinema di criminali e imbecilli al potere.
La buona notizia è questa: respiri ancora!
Svegliati, datti una scrollata e prova a fare qualcosa di utile... forse sei ancora in tempo.
Rimboccati le maniche, rendi la vita difficile ai criminali. Inizia a pensare in modo diffidente, sempre. Metti in discussione tutto e verifica.
"DIFFIDA"
Diffida dell'Autorità apparente (L'indirizzo e-mail non basta)
- Quando riceverai una PEC, anche se arriva da un indirizzo reale (es.
@pec.prefettura...o@agenziaentrate...), ricorda che le caselle di posta possono essere violate o simulate. - Nessuna Autorità giurisdizionale, Forza dell'Ordine o Banca ti chiederà mai di:
- Spostare soldi su "conti di sicurezza" o "conti deposito temporanei".
- Inviare credenziali, PIN, password o codici OTP via e-mail o telefono.
- Fornire nuovi selfie con il documento in mano via e-mail.
- Pagare una sanzione penale o tributaria tramite ricariche o criptovalute.
Diffida di tutto, controlla ogni cosa con una "Verifica Esterna"
- Se ricevi una comunicazione (PEC, e-mail, SMS o telefonata) che ti richiede di effettuare un bonifico, modificare coordinate bancarie o inviare documenti personali o cliccare su un link.
- NON rispondere direttamente alla e-mail o alla PEC
- NON chiamare i numeri di telefono indicati nel testo dell'e-mail
- Fai una verifica autonoma: vai sulla homepage dell'ente che ti ha contattato, cerca su un motore di ricerca il numero di telefono ufficiale del centralino della tua Banca, della Prefettura o del Comando delle Forze dell'Ordine, chiama direttamente e chiedi riscontro dell'atto.
Diffida in particolare dei LINK
- NON cliccare su link presenti nei messaggi di posta
- NON cliccare su link presenti negli sms o messaggi whatsapp
- ...NON CLICCARE MAI, è meglio.
Diffida molto anche dei QR Code
- Si farà grande uso di Quishing (Phishing tramite QR Code negli allegati)
- Per aggirare le protezioni digitali ed ingannare le persone, basta fare uso di un QR Code. I filtri non lo intercettano e le persone non lo decifrano con gli occhi, in compenso lo trovano irresistibilmente figo e comodo. "Per consultare il fascicolo riservato o completare la verifica dell'identità". Inquadri, Game OVER.
Diffida della fretta, delle urgenze e degli stati d'ansia artificiali
- I truffatori fanno leva sulle emozioni: ti diranno che il tuo conto sta per essere bloccato, che c'è un mandato d'arresto o che perderai i tuoi soldi se non agisci "entro 1 ora".
- L'urgenza è il principale segnale di una truffa. Di fronte a una richiesta urgente, fermati, respira e porta fuori il cane. Quando torni, fai una verifica esterna.
"ASPETTA"
Qualsiasi cosa sia, lascialo li e riprendilo domani, anzi, dopodomani.
Qualsiasi cosa arrivi e ti richieda azione immediata, una intimazione entro 5 giorni, una notifica per un pagamento immediato e scontato, una occasione imperdibile ma solo per oggi, una opportunità ma ce ne sono ancora solo 3... una drammatica urgenza qualsiasi è una red-flag. Mettila da parte, non occupartene subito. Non cadere nel tranello.
"QUALCOSA DI TECNICO"
MISURE PRATICHE DI MITIGAZIONE DEL RISCHIO
Lo so, devi chiamare tuo nipote, il vicino di casa, non hai voglia, non hai tempo, non sai come fare... ma se sei un drago su Instagram, fidati, ce la puoi fare.
Per prevenire danni derivanti dai dati trafugati, adotta subito queste cautele:
- Attiva gli Alert di Spesa e di Accesso al Conto: Imposta su tutte le tue app, in particolare quelle delle banche, le notifiche push o SMS per qualsiasi operazione in uscita, anche di piccolo importo. Si, sono una rottura, ma saranno un campanello d'allarme per accorgerti precocemente di essere sotto attacco.
- Proteggi il tuo numero di telefono (Rischio SIM Swap): Se improvvisamente lo smartphone perde campo in modo prolungato ("Nessun servizio") senza motivo apparente, contatta subito il tuo operatore telefonico da un'altra linea per verificare che non sia stata richiesta una SIM sostitutiva a tuo nome.
- Metti in sicurezza l'Identità Digitale (SPID / CIE): Assicurati che lo SPID e l'accesso ai servizi della Pubblica Amministrazione siano protetti da Autenticazione a Più Fattori (MFA) tramite app con notifiche push e non solo via semplice SMS.
- Verifica la presenza di Finanziamenti o Conti a tuo nome: Puoi richiedere gratuitamente un visura alla banca dati CRIF (o al Sistema di Informazioni Creditizie) per verificare se a tuo nome risultano richieste di credito o finanziamenti che non hai mai autorizzato.
- Non cedere mai a ricatti ed estorsioni: Se ricevi e-mail ricattatorie che minacciano la pubblicazione dei tuoi dati o del tuo estratto conto:
- Non rispondere e non pagare alcuna somma (il pagamento conferma ai criminali che sei disposto a pagare e genera successive richieste estorsive).
- Conserva le e-mail o le comunicazioni ricevute per consegnarle alle Forze dell'Ordine.
Ma per quanto tempo bisognerà tenere la guardia alzata?
Per sempre, amico mio, per sempre!
Eccolo, lo sento arrivare....
"Eh, signora mia, ma questo data breach ha riguardato solo un migliaio di persone... sono poche, perché preoccuparsi?"
Nessun problema, se non capisci che questo è solo l'inizio, se non ti rendi conto della fragilità di un intero sistema, se pensi che quello che sta accadendo non possa ripetersi, non ti preoccupare... "A Maurì, magna tranquillo!"
Si, siamo nella merda, tanta, e non si tocca.
Bisogna nuotare.
Buona fortuna
