Un sms che annuncia il rimborso Irpef che in realtà non c'è, fornendo un link che porta l'utente su un sito apparentemente dell'Agenzia delle Entrate spingendolo a inserire lì gli estremi della carta di credito: ed è subito truffa, una nuova ondata di messaggi che in queste ore sta raggiungendo cittadini anche in Toscana.
Il messaggino stratifica più tecniche fra sito clone per indurre alla fiducia, il pretexting per abbassare le difese nei più diffidenti, il phishing per impossessarsi di dati sensibili. Passiamole insieme in rassegna così da poterle individuare e scardinare, proteggendosi.
Il testo che arriva via sms è questo: "L'Agenzia delle Entrate ha emesso una comunicazione a Lei indirizzata, che riceve in qualità di titolare. https://aigek.eu.cc/it". E questa la schermata che compare cliccando il link.
[gallery(0)]
Il meccanismo è semplice e si fonda su più tecniche manipolatorie che trovate scomposte nell'immagine più avanti. Il punto: promettendo soldi e innescando un senso d'urgenza, si spinge il contribuente a cliccare su un link su cui inserire i propri dati, in questo caso la carta di credito. Obiettivo: appropriarsi dei codici personali per ripulire conti correnti o, come nel caso presente, usare la carta a proprio vantaggio. E' il phishing.
Il sito clone
La tecnica del sito clone è sofisticata, e vede l'Agenzia delle Entrate in posizione di parte lesa, per così dire.
Loghi, insegne e grafica sono in tutto e per tutto confusivi rispetto a quelli originali ma c'è un di più. Osserviamo insieme la schermata qui sotto:
[gallery(1)]
Come si vede, sul lato destro c'è un riquadro che ingegnosamente mira a superare le eventuali perplessità dell'utente. Con riferimento al numero di carta di credito si intitola "Perché è richiesto?" La spiegazione scritta dai malfattori è talmente arzigogolata da poter generare un effetto paradosso nei più scafati. Tanti, però, possono essere invece indotti a fidarsi della semplice presenza di quel riquadro.
Si chiama pretexting, ecco cos'è
Il sistema si chiama pretexting ed è una tecnica manipolativa di ingegneria sociale: consiste nel fornire una giustificazione pretestuosa così da abbassare le barriere difensive dell'utente vittima della truffa soddisfacendone il senso critico. In pratica, si riduce la percezione del pericolo.
Analizziamo lo scritto all'interno, smontando punto per punto la verosimiglianza della motivazione addotta. Il messaggio di pretexting dice: "I rimborsi Irpef sono erogati prioritariamente mediante bonifico sul conto corrente indicato. La conferma dei dati della carta collegata all'Iban consente di verificare le coordinate dell'accredito".
Questo testo è volutamente confusivo ma contiene un errore macroscopico che lo smonta di sana pianta: il numero della carta di credito non serve a verificare l'Iban né la carta entra a parte delle procedure di bonifico su conto corrente poiché le due cose poggiano su livelli operativi distinti.
La richiesta del numero di carta e del CVV serve invece plausibilmente ai truffatori per autorizzare acquisti o pagamenti a loro vantaggio.