Le truffe informatiche si fanno più sofisticate, ecco come riconoscerle e rimediare
Riconosciamo senza particolari difficoltà le e-mail fasulle contenenti virus o meccanismi volti a carpire l’identità o i dati del destinatario. Ci siamo abituati: provengono da indirizzi composti da mix insensati di lettere e numeri, destinano offerte o notizie irrealistiche e contengono evidenti errori grammaticali. Le truffe informatiche, tuttavia, sono diventate oggi più sofisticate e spesso centrano l’obiettivo, il più delle volte consistente nella sottrazione di denaro dal conto corrente o da altri depositi bancari di titolarità della vittima. A differenza del phishing, condotto mediante e-mail, le tecniche criminali oggi più insidiose sono quelle che si accomunano per non essere facilmente riconoscibili da parte della vittima. In questo articolo ci concentriamo sul cosiddetto smishing attuato con la tecnica dello spoofing. Andiamo per gradi per capire il fenomeno, descriverne un esempio e individuare i rimedi. Lo smishing consiste in una particolare tipologia di phishing, attuato non già a mezzo e-mail, ma con l’invio di un SMS sul cellulare della vittima designata. Anch’esso, come il “classico” phishing, è teso a carpire, grazie alla collaborazione della vittima, i suoi dati anagrafici, bancari o codici di accesso ai sistemi di online banking. Fino a qui tutto ok: siamo generalmente in grado di riconoscere la stranezza del messaggio grazie a elementi quali il mittente inconsueto, gli errori grammaticali o le notizie inaspettate o improbabili (es: “hai vinto 1 milione di euro!”, “hai ereditato 5 milioni di euro dalla zia Elenoire del Nicaragua”, e simili). Le cose si fanno complicate quando il tentativo di raggiro sia condotto unendolo al cosiddetto spoofing, ossia quando il messaggio sms proviene da un mittente conosciuto, tipicamente la propria banca. In un SMS spoofing l’attaccante si impossessa dell’ID chiamante (caller ID) e invia un SMS utilizzando il suo numero di telefono, alterando così “la provenienza dell’SMS in modo tale che il destinatario veda come mittente un soggetto diverso da quello che effettivamente ha effettuato l’invio” (ABF Coll. Roma, n. 21696/2020). In questo modo l’hacker si impersonifica in un mittente a noi noto. Il messaggio viene visualizzato sullo smartphone nella chat della nostra banca, proprio in coda e di seguito agli altri messaggi che l’istituto di credito ci ha mandato in precedenza: sembra del tutto un sms inviato dalla nostra banca. Per questa ragione, lo spoofing è annoverato tra le tecniche più insidiose e subdole: non avendo dubbi sul mittente, potremmo riconoscere la truffa solo dal contenuto del messaggio. E ciò non è sempre facile, anche perché l’attacco si avvale di articolate tecniche di social engineering: i truffatori studiano le vittime per personalizzare l’attacco e renderlo più efficace; l’ingegneria sociale fa leva sui punti deboli del carattere umano, ad esempio sulla paura, sulla fiducia nel mittente, sull’effetto sorpresa, nonché – appunto – sull’affidabilità del mezzo informatico con il quale è sferrato l’attacco. La situazione tipica è proprio quella in cui l’SMS giunto nella chat della banca è un messaggio di allarme, spesso “firmato” dal servizio antifrode della banca, che ci informa di movimenti sospetti sul conto già avvenuti o in atto e che sollecita all’azione, ossia cliccare sul link della banca per fare accesso e verificare se, o meno, ci siano state intrusioni non autorizzate. Questo è l’atto primo. Cliccando sul link atterriamo in una schermata web che appare identica a quella del sito ufficiale della banca (con le stesse posizioni delle scritte, gli stessi colori, lo stesso stile, tutto uguale) Atto secondo. Negli appositi spazi inseriamo per accedere i nostri primi due dati di accesso, ovvero ID e password. In questo momento, mentre a nostra insaputa il sistema civetta ha immagazzinato i primi due codici, compare un messaggio che avverte che i dati sono errati e, “a causa dei movimenti sospetti sul conto”, lo stesso è stato bloccato in via cautelativa dal servizio antifrode della banca. È presente il numero del servizio antifrode e l’invito a contattarlo immediatamente per rimediare alla situazione. Atto terzo. Al numero indicato (che ovviamente non corrisponde al numero ufficiale del servizio antifrode della banca, ma è simile o ben mascherato) ci risponde un operatore istruito, che parla con linguaggio tecnico e gentile, ci assicura, si dimostra consapevole e conferma che, in effetti, sono in corso intrusioni nel nostro conto corrente e che adesso ci guiderà per ripristinare il tutto e respingere il pericolo: in realtà, lui è il truffatore! Atto quarto. Il sedicente operatore riesce tutto sommato a convincerci e guidarci nelle operazioni – a suo dire – utili per “sbloccare” il conto e ripristinare nuovi dati di accesso. Non riusciamo a riconoscere che tutto ciò è strano, perché siamo oramai in condizioni di agitazione e preoccupazione dovuta al fatto che siamo ormai definitivamente convinti che qualcuno abbia hackerato il conto e sottratto denaro. Atto quinto. Il truffatore, che ha già in suo possesso i primi due dati di accesso al nostro conto (carpiti in precedenza grazie alla pagina web civetta), li inserisce sul vero online banking della banca, ma per entrare gli serve l’autorizzazione della OTP sul nostro cellulare: ci convince ad autorizzare con OTP, entra nel conto, dispone un’operazione (ad esempio un bonifico verso terzi) e, grazie alle sue abili tecniche oratorie, riesce a farci cliccare di nuovo sulla OTP necessaria ad autorizzare l’operazione. La truffa è servita e i soldi sono andati. La denuncia all’Autorità Penale è doverosa, ma – purtroppo – è raro risalire alla identità degli hacker e, quand’anche si riesca, si giunge a soggetti nullatenenti dai quali non si recupera nulla. Il d.lgs. 27 gennaio 2010 n. 11, riformato dal d.lgs. 15 dicembre 2017 n. 218 di recepimento della Direttiva UE n. 2366/2015, la c.d. PSD 2, stabilisce le regole e gli obblighi che devono osservare i prestatori di servizi di pagamento, tra cui le banche e i servizi di online banking (ma anche bancomat e altri). La legge protegge molto l’utente in qualità di soggetto debole nel paragone con la banca, operatore al contrario specializzato e dotato di forza contrattuale smisuratamente maggiore. In via generale, per le truffe subìte dal cliente attraverso l’uso dei sistemi di pagamento predisposti e gestiti dalla banca, ne risponde quest’ultima. Tuttavia, è il cliente che risponde dell’ammanco di denaro, con esclusione del diritto al rimborso da parte della banca, quando “abbia agito in modo fraudolento” oppure, più frequentemente, quando non abbia adempiuto ai suoi obblighi con “dolo o colpa grave” (art. 12, comma terzo, d.lgs. 11/2010), i quali tipicamente sono obblighi di segretezza e corretta conservazione dei dati di accesso ai servizi bancari e degli strumenti in dotazione (ad es.: bancomat, token, app smartphone, ecc.). Quando la banca (o altro intermediario finanziario) si rifiuta di rimborsare il denaro (i), il cliente può presentare ricorso all’Arbitro Bancario e Finanziario (A.B.F.), sistema alternativo alla giurisdizione ordinaria per la risoluzione di questi tipi di controversia e, successivamente, al Tribunale ordinario. Le decisioni dell’ABF su tutto il territorio nazionale vanno oramai nel senso di negare il rimborso nella maggior parte dei casi di phishing e smishing. L’ Arbitro tende invece a essere più comprensivo nei confronti dell’utente, ovvero è più propenso a escluderne la colpa grave, in presenze di tecniche di truffa più sofisticate, quali il man-in-the-middle, il sim swap fraud o, appunto, lo spoofing. I Collegi ABF, tranne alcune eccezioni, sono conformi nel sostenere che lo spoofing, annoverandosi tra i metodi noti alla scienza informatica, ma non altrettanto al pubblico dell’utenza online, è capace di sorprendere la buona fede anche di un pur normalmente attento fruitore del servizio e “il subdolo meccanismo di aggressione ha luogo attraverso un sofisticato metodo di intrusione caratterizzato da un effetto sorpresa capace di spiazzare l’utilizzatore, grazie alla perfetta inserzione nell’ambiente informatico originale e nella correlata simulazione di un messaggio che a chiunque non potrebbe che apparire genuino […]” (ABF, Coll. Coord. n. 3498/2012. In senso conforme si vv. alcun fra i molti accoglimenti delle domande di rimborso di: Coll. Bari n. 16662/2019; Coll. Roma n. 21969/ 2020; Coll. Milano n. 18747/2021; Coll. Bologna n. 2327/2022) (ii). Purtroppo, come anticipavamo, non tutti i Collegi territoriali ABF, in particolare Torino, sono della stessa linea decisionale e, talvolta, l’utente si vede rigettare il ricorso. In tali casi non rimane altro che citare la banca di fronte al Tribunale, ma l’esito del giudizio non è affatto scontato, poiché dipende da come si è concretamente svolta la vicenda. Proprio l’esito incerto per entrambe le controparti, però, può condurre all’apertura del dialogo con l’istituto bancario e portare alla conclusione bonaria della controversia, epilogo che spesso è consigliabile per evitare di imbarcarsi in lunghe e complesse vicende giudiziarie. Ad ogni modo, si tenga presente che questo articolo è stato semplificato al fine di consentire un’agevole lettura: le questioni che emergono da alcuni dei casi descritti, e da molti altri, anche con connotati differenti, sono spesso complesse e ricche di dettagli tecnici. Un professionista con esperienza nel settore può essere utile a riconoscere e valutare i profili del caso concreto e la sussistenza – o meno – del diritto al rimborso. (i) In realtà, la procedura prevede che la banca ripristini immediatamente la provvista salvo poi richiamarla a sé non appena individui la sussistenza della responsabilità, per frode, dolo o colpa grave del cliente). (ii) Più precisamente si considerino alcuni esempi di casi esaminati dall’ABF.SMS spoofing
Un caso esempio.
Rimedi?
Note
