Una email dell’Agenzia delle entrate con un rimborso da riscuotere. Una del fornitore di energia con una bolletta non pagata e un collegamento per regolarizzare. Una della banca che chiede di confermare i dati per una nuova normativa. Grafica perfetta, logo, firma. Il phishing è la porta d’ingresso della maggior parte delle truffe online: non prende i soldi, prende le credenziali con cui i soldi vengono presi dopo.
Enti e aziende non chiedono credenziali, dati della carta o documenti attraverso un collegamento in una email: i messaggi che lo fanno sono phishing, e si riconoscono dall’indirizzo reale del mittente e dal dominio del collegamento, non dal logo. Se hai inserito dei dati, cambia le credenziali da un dispositivo sicuro e blocca le carte: gli addebiti che seguono sono operazioni non autorizzate.
Come funziona
Il messaggio imita un mittente affidabile e chiede un’azione: cliccare, accedere, confermare, scaricare. Il collegamento porta a una pagina identica a quella vera, dove inserisci credenziali, dati della carta o codici, oppure da cui scarichi un file che installa un programma.
Con le credenziali i truffatori accedono al conto, alla posta, agli altri account; con i dati della carta fanno acquisti; con i documenti attivano contratti. Le campagne sono di massa, ma esistono versioni mirate, costruite con informazioni su di te raccolte altrove, che sono molto più convincenti e che spesso precedono la telefonata del finto operatore della banca.
Come si riconosce
Il mittente reale. Il nome visualizzato è libero: chiunque può scrivere il nome di un ente. L’indirizzo reale, che si vede toccando o passando sopra al nome, quasi sempre non corrisponde al dominio dell’ente.
Il collegamento. Passando sopra senza cliccare, o tenendo premuto sul telefono, si legge l’indirizzo di destinazione: se il dominio non è quello dell’ente, o è una variante con lettere in più o in meno, è phishing. Gli accorciatori di indirizzi nascondono la destinazione, e in un messaggio di un ente non hanno motivo di esserci.
La richiesta. È il criterio più affidabile: i rimborsi si riscuotono nelle aree riservate con l’identità digitale, le bollette si pagano dai canali abituali, e le verifiche obbligatorie dei dati tramite email non esistono.
L’urgenza. Scadenze di ore, minacce di blocco del conto o del servizio. Gli errori di lingua e le formule generiche sono un indizio, ma attento: le versioni mirate sono scritte bene e conoscono il tuo nome, quindi la loro assenza non prova nulla.
Gli allegati. Fatture, ricevute e documenti inattesi, soprattutto file eseguibili o archivi, sono il veicolo tipico dei programmi malevoli.
La regola che sostituisce tutti i controlli
Non seguire i collegamenti nei messaggi. Se il messaggio riguarda un tuo rapporto, vai al sito o all’applicazione dell’ente digitando l’indirizzo o usando l’app che hai già installato, e verifica lì: un rimborso vero è nell’area riservata, una bolletta non pagata è nell’area clienti. Se non c’è nulla, il messaggio era falso.
Per le email che sembrano della tua banca vale la regola delle truffe telefoniche: chiama la banca al numero stampato sulla carta.
Se hai cliccato o inserito dati
Solo cliccato, senza inserire nulla: chiudi la pagina, non scaricare e non installare niente; se hai scaricato un file, eliminalo senza aprirlo.
Inserite credenziali: cambiale subito da un dispositivo sicuro, per quel servizio e per ogni altro in cui usavi la stessa password, e attiva l’autenticazione a due fattori. Se erano credenziali bancarie, avvisa la banca.
Inseriti dati della carta: blocca la carta, chiedi la sostituzione, controlla i movimenti e contesta gli addebiti non riconosciuti, anche quelli di pochi euro.
Inseriti documenti: denuncia e sorveglianza sui contratti a tuo nome, perché è il materiale con cui si costruisce un furto di identità.
Aperto un allegato: scansione con un programma aggiornato, cambio delle password da un altro dispositivo e, nel dubbio, assistenza tecnica; nel frattempo non usare quel dispositivo per operazioni bancarie.
Un controllo che quasi nessuno fa e che conta: nella casella di posta verifica le regole di inoltro automatico e i dispositivi collegati. Chi entra nella posta spesso imposta un inoltro silenzioso per leggere le comunicazioni della banca.
Le tutele
Gli addebiti eseguiti con dati carpiti tramite phishing sono operazioni non autorizzate ai sensi del decreto legislativo 11/2010: la banca deve dimostrare che l’operazione era autenticata e correttamente registrata, il rimborso è dovuto entro la fine della giornata operativa successiva alla comunicazione, e può essere negato solo provando il tuo dolo o la tua colpa grave.
Fornire le credenziali su una pagina indistinguibile da quella vera, dopo un messaggio ben costruito, non è di regola colpa grave, e la prova spetta alla banca. Chiedi inoltre se l’operazione richiedeva l’autenticazione forte e se è stata applicata: in caso contrario non sopporti alcuna perdita, salvo condotta fraudolenta.
Le pagine di phishing si segnalano al Commissariato di PS online, che ne ottiene la chiusura, e all’ente imitato, che di regola pubblica avvisi. Anche la funzione di segnalazione del tuo gestore di posta serve, perché migliora i filtri per tutti. Le campagne mirate costruite su dati personali si possono segnalare al Garante, perché quei dati provengono spesso da violazioni di archivi.
Che cosa fa lo Sportello +Tutela
Lo Sportello +Tutela di Consumerismo stabilisce per prima cosa che cosa è stato compromesso, perché da quello dipende tutto il resto: credenziali, dati della carta, documenti o dispositivo. Indica i passaggi nell’ordine giusto nelle prime ore, che è quando si limita il danno, compresi i controlli sulla casella di posta che quasi nessuno fa. Prepara il disconoscimento e il reclamo alla banca con la richiesta dei dati sull’autenticazione delle operazioni, e il ricorso all’Arbitro Bancario Finanziario se il rimborso viene negato. Cura le segnalazioni delle pagine fraudolente, che ne producono la chiusura. La verifica iniziale della posizione è gratuita. Segue la pratica fino alla definizione, nelle condizioni che ti vengono spiegate al primo contatto.
Quali documenti servono
Il messaggio ricevuto, possibilmente con l’intestazione completa, e le schermate, l’indirizzo della pagina su cui hai inserito i dati, l’elenco dei dati inseriti, le azioni fatte dopo con le date, come il cambio delle credenziali e il blocco della carta, l’estratto conto con gli eventuali addebiti e la denuncia.
Tempi realistici e possibili esiti
Il cambio delle credenziali e il blocco della carta sono immediati e fermano il danno in corso: sono le due cose da fare prima di qualsiasi altra, denuncia compresa. Il rimborso degli addebiti non autorizzati arriva di regola in giorni o poche settimane quando la contestazione è tempestiva. Le segnalazioni delle pagine producono chiusure in tempi variabili. Lo Sportello guida i passaggi immediati e prepara le contestazioni, senza poter garantire il recupero di somme sottratte con mezzi non revocabili.
Per approfondire: decreto legislativo 11/2010 · Commissariato di PS online
Per lo Sportello +Tutela puoi anche scrivere a piututela@consumerismo.it o telefonare allo 0694805440.
Domande frequenti
L’email aveva il logo e la firma dell’ente: come la distinguo?
Logo e firma si copiano in due minuti. Guarda l’indirizzo reale del mittente, non il nome visualizzato, e l’indirizzo del collegamento senza cliccare. Soprattutto, chiediti che cosa ti chiede: nessun ente chiede credenziali o dati della carta tramite un collegamento in una email.
Ho inserito la password della posta elettronica: cosa rischio?
L’accesso alla tua posta, da cui si possono reimpostare le password di altri servizi e leggere le comunicazioni della banca. Cambia subito la password, attiva l’autenticazione a due fattori e controlla due cose che quasi nessuno guarda: le regole di inoltro automatico impostate nella casella e i dispositivi collegati.
Ho aperto un allegato e il computer sembra normale.
I programmi malevoli spesso non danno segni. Esegui una scansione con un antivirus aggiornato, cambia le password da un altro dispositivo e non usare quel computer per operazioni bancarie finché non è verificato. Nel dubbio fallo controllare, e segnala il messaggio.
La banca dice che ho fornito io le credenziali e non rimborsa.
Fornire le credenziali su una pagina identica a quella della banca, dopo un messaggio ben costruito, non è di regola colpa grave, e la prova spetta alla banca. Contesta con reclamo scritto ricostruendo l’inganno con le schermate, chiedi i dati sull’autenticazione dell’operazione e poi ricorri all’Arbitro Bancario Finanziario.
Come segnalo un messaggio di phishing?
Al Commissariato di PS online, inoltrando il messaggio o allegando le schermate con il collegamento; all’ente imitato, che spesso ha un indirizzo dedicato; e con la funzione di segnalazione del tuo gestore di posta, che migliora i filtri per tutti. Poi elimina il messaggio.
Il messaggio conosceva il mio nome e i miei dati.
È una campagna mirata, costruita con dati raccolti altrove, spesso da violazioni di archivi: è più convincente, non più autentica. La conoscenza dei tuoi dati non è un criterio di autenticità, e queste campagne si possono segnalare anche al Garante proprio per l’origine dei dati usati.
Hai un problema su Truffe, telemarketing e pratiche scorrette? Scrivici!
Stai inviando allo Sportello +Tutela di Consumerismo No Profit APS ETS il racconto del tuo problema e i tuoi recapiti. Lo legge un operatore, che valuta gratuitamente il caso e ti risponde entro 24 ore. Non stai firmando nulla e non ti stiamo chiedendo denaro.
Non devi allegare niente adesso: tieni da parte i documenti che riguardano il tuo caso, se andiamo avanti ti diremo quali servono.
