La truffa perfetta non ha link: ti fa telefonare a te!

Ieri mi è arrivata una mail. "Grazie per il tuo acquisto": abbonamento a Norton 360, rinnovo automatico da 359 dollari al mese. Pagamento già andato a buon fine. Se non riconosci l'addebito, chiama questo numero. Hai 72 ore, dopo il rimborso non è più valido.

È tutto falso, ovviamente. Ma la cosa interessante non è che sia una truffa. È come è fatta. Perché in quella mail manca una cosa che ci hanno insegnato tutti a temere: non c'è nessun link.

Il colpo di genio è togliere il link

Ci abbiamo messo anni a imparare la regola numero uno: non cliccare sui link sospetti. I filtri antispam funzionano allo stesso modo, cercano indirizzi web pericolosi e allegati infetti, e li bloccano.

E i truffatori? Hanno tolto il link. Punto.

Sembra un autogol, e invece è la mossa più furba. Una mail senza link e senza allegati non ha niente che un filtro possa analizzare, quindi passa il controllo e ti arriva in casella. E siccome non c'è niente da cliccare, ti insospettisci meno: dov'è il pericolo, se non mi chiede di cliccare da nessuna parte? Al posto del link c'è solo un numero di telefono. E l'unica cosa che vogliono è che tu lo chiami.

Ha un nome: callback phishing

Questa tecnica si chiama callback phishing, o con la sigla tecnica TOAD, che sta per "attacco recapitato via telefono". Non è roba di nicchia. Una società di sicurezza, Trustwave, ha misurato un aumento del 140 per cento di questi attacchi in un solo trimestre. I marchi più imitati sono quelli di cui ti fidi: Norton, PayPal, il supporto tecnico dei grandi negozi.

Il bello è che dietro non c'è un genio del male che scrive apposta per te. È un'industria. A giugno una società, Malwarebytes, ne ha beccata una mentre i truffatori la stavano ancora montando: nei modelli non ancora finiti, al posto del numero di telefono c'era scritto #TFN#, un segnaposto che nel loro gergo vuol dire "numero verde". Lo riempie in automatico il programma che spedisce le mail a migliaia, poco prima di lanciare la campagna. Sei un indirizzo in una lista, niente di più.

Cosa ti fanno, se chiami

Qui casca l'asino, ed è la parte che conta. Il pericolo non è nella mail, è nella telefonata. Dall'altra parte trovi una persona gentile che si finge assistenza clienti e ti dice che sì, purtroppo l'addebito è partito, ma può annullarlo subito. Da lì la storia va in uno di tre modi.

Ti fa installare un programma per "sistemare il rimborso": in realtà è un software di controllo remoto (tipo AnyDesk o TeamViewer) e da quel momento vede il tuo schermo e comanda il tuo computer. Oppure ti chiede i dati della carta o del conto, per "riaccreditarti". Oppure fa il trucco del rimborso al contrario: finge di averti accreditato troppo, magari 3.000 euro invece di 300, e con tono disperato ti prega di ridargli la differenza con un bonifico o dei buoni regalo. Tu paghi davvero, lui non ti aveva dato niente.

La regola d'oro, una sola

Non serve diventare esperti. Basta una regola: il numero di telefono che trovi dentro una mail di allarme non lo chiami mai.

Se hai il dubbio di un addebito vero, controlli solo dai canali ufficiali: il sito che digiti tu nel browser, o l'app che hai già sul telefono, mai il contatto scritto nella mail. Quello lo hanno messo loro apposta.

E occhio all'orologio: la fretta è sempre il segnale. "Hai 72 ore, poi niente rimborso" non serve a te, serve a spegnerti il cervello e a farti chiamare prima di ragionare. Una truffa ha bisogno che tu corra. Un'azienda vera ti lascia tutto il tempo che vuoi.