Due giorni fa abbiamo ordinato online un regalo, e da allora controlliamo il telefono più spesso del solito. Così, quando arriva un SMS che parla di un problema con la consegna e invita a cliccare su un link per sistemare tutto, la tentazione di farlo subito è fortissima. Arriva proprio quando aspettiamo un pacco, ed è questo tempismo a renderlo credibile. Prima di toccare quel link, però, c’è una cosa da fare: chiudere il messaggio, aprire l’app del negozio o del corriere che abbiamo già sul telefono e controllare lì lo stato della spedizione. Se c’è davvero un intoppo, lo troveremo scritto in quella pagina. Quel messaggio, invece, può essere soltanto un’esca.
Il falso problema di consegna che porta alla richiesta della carta
Questa truffa ha anche un nome, smishing, che unisce le parole SMS e phishing e indica i tentativi di rubare dati attraverso i messaggi sul cellulare. Il CERT-AGID, la struttura dell’Agenzia per l’Italia Digitale che si occupa di sicurezza informatica, ne ha ricostruito il funzionamento.
Il messaggio parla di un pacco che ha avuto qualche problema e contiene un collegamento. Aprendolo, ci si ritrova su una pagina costruita per sembrare quella del servizio postale, con colori, loghi e grafica molto simili agli originali. Per sistemare la consegna vengono chiesti prima nome, indirizzo e altri dati personali, e solo dopo, quando ormai ci sentiamo dentro una procedura normale, arriva la richiesta più delicata: i dati della carta, per pagare un piccolo importo e fissare un nuovo tentativo di consegna.
Prima di continuare, ti ricordo che è disponibile, per ricevere le notifiche delle n ultime notizie il canale Whatsapp, cliccando qui. Unisciti anche tu per non perdere le ultime novità. IL TUO NUMERO DI TELEFONO NON LO VEDRÀ NESSUNO!
Il pretesto può cambiare da un messaggio all’altro. A volte si parla di un indirizzo incompleto, altre volte di una consegna da riprogrammare o di un pacco fermo in attesa di istruzioni. Sono varianti dello stesso raggiro, che girano in campagne diverse, con mittenti diversi, e che puntano sempre sulla fretta.
Perché il nome del corriere sul telefono può ingannare
Sì, è vero: il messaggio falso può comparire nella stessa conversazione in cui, nei mesi precedenti, abbiamo ricevuto SMS veri del corriere o del servizio postale. Poste Italiane lo spiega nelle sue indicazioni contro lo spoofing, la tecnica con cui i truffatori falsificano il mittente e fanno apparire sul nostro telefono lo stesso nome che vediamo sempre.
Oggi, poi, logo e grafica si copiano con facilità, e anche un testo scritto in un italiano corretto va controllato con la stessa attenzione: gli errori grammaticali possono essere un indizio, ma un messaggio ben scritto lascia comunque aperto il dubbio. Meglio guardare a quello che il messaggio ci chiede di fare.
Capita anche che, dopo l’SMS, arrivi una telefonata. Dall’altra parte c’è una persona che si presenta come operatore della banca o del corriere e chiede una password, un codice appena ricevuto, una conferma. In questi casi la cosa più sicura è chiudere la chiamata e contattare noi l’azienda, usando il numero riportato sul sito ufficiale o sul retro della carta.
Quei pochi euro possono nascondere una richiesta molto più rischiosa
La cifra richiesta è quasi sempre piccola, qualche euro appena, ed è proprio questo a farci abbassare la guardia. Pensiamo di rischiare al massimo il costo di una spedizione, mentre stiamo consegnando informazioni che possono servire per operazioni ben più costose.
Per quel pagamento, infatti, la pagina chiede il numero della carta, la scadenza e il CVV, il codice di tre cifre sul retro, e spesso anche il codice di autorizzazione che la banca manda via SMS o tramite app per confermare un acquisto. Con questi dati, i truffatori possono tentare spese e addebiti a nostro nome.
Anche il lucchetto accanto all’indirizzo della pagina può confondere. Indica una connessione cifrata, cioè protetta mentre i dati viaggiano, e lo possono avere anche i siti falsi. E i pagamenti legati alle spedizioni esistono davvero, per esempio i dazi doganali su alcuni pacchi in arrivo da fuori Europa. Anche quando c’è una somma da versare, la verifica va fatta sui canali ufficiali del corriere, partendo sempre dal nostro ordine.
Come verificare la spedizione partendo dal proprio ordine
Il controllo più sicuro comincia dal negozio in cui abbiamo comprato. Entriamo nel sito o nell’app con il nostro account e apriamo la sezione degli ordini, dove compare quello che stiamo aspettando, con il nome del corriere a cui è stato affidato e, nella maggior parte dei casi, il codice di tracciamento. A quel punto apriamo l’app ufficiale del corriere, se l’abbiamo già installata, oppure scriviamo noi l’indirizzo del suo sito nella barra del browser, e inseriamo il codice per vedere a che punto è la consegna.
Se troviamo davvero un problema, o se qualcosa non ci convince, possiamo contattare l’assistenza con i recapiti indicati sul sito ufficiale o nell’app. Il numero scritto nell’SMS sospetto, invece, va ignorato.
Hai già cliccato o inserito i dati? Come intervenire
Se ci accorgiamo della truffa dopo aver aperto il link, la prima cosa è mantenere la calma, perché le mosse da fare dipendono da quello che è successo. Se abbiamo soltanto aperto la pagina, senza inserire nulla e senza scaricare file, basta chiuderla e lasciar perdere il messaggio, evitando di installare qualsiasi applicazione proposta. È una situazione molto diversa da quella di chi ha già lasciato password o dati della carta, e non serve allarmarsi, anche se nei giorni successivi è meglio tenere un occhio un po’ più attento sul telefono.
Se invece abbiamo inserito una password, va cambiata subito, entrando dal sito o dall’app ufficiali del servizio, e va sostituita anche negli altri account in cui l’avevamo usata. Quando sul telefono è stato scaricato un file o installata un’applicazione, il dispositivo potrebbe essere stato compromesso: in questo caso va controllato con le funzioni di sicurezza del sistema e, se il dubbio resta, conviene rivolgersi all’assistenza tecnica.
La situazione più delicata riguarda la carta. Se abbiamo comunicato i suoi dati o un codice di pagamento, dobbiamo chiamare subito la banca o l’emittente, usando il numero ufficiale riportato sul retro della carta o nell’app, chiedere il blocco e segnalare le operazioni che non riconosciamo. Teniamo da parte il messaggio, gli screenshot della pagina e i riferimenti delle transazioni sospette, che serviranno per la contestazione.
Le operazioni non autorizzate si possono infatti contestare, chiedendo il rimborso secondo le procedure della propria banca. Come andrà dipende dalle circostanze, e l’aver inserito un codice ricevuto via SMS entra nella valutazione senza cancellare in automatico le tutele previste.