⚠ AVVISO — TRADUZIONE NON VERIFICATA
Tradotta da un'intelligenza artificiale, non ancora rivista da un madrelingua. Per ora non la stampi e non la distribuisca.
Parla italiano? Un'ora del suo tempo basta per rivederla. Scriva a [email protected]
(NOTICE — unvalidated AI translation, not reviewed by a native speaker. Please do not print or distribute this yet.)
«C'è un problema con il suo conto»
È la truffa più segnalata dagli americani sopra i sessant'anni. Non la più costosa, ma quella che arriva più spesso, e con il maggior numero di travestimenti.
Come arriva
Un messaggio, una email o un messaggio in segreteria che parla di un problema:
- Un addebito che lei non ha fatto. Risponda SÌ o NO
- Il suo conto è bloccato o sospeso
- La sua password sta per scadere
- Un pagamento non è andato a buon fine e il servizio verrà interrotto
- Il suo pacco non è stato consegnato
- Un pedaggio non pagato
- Verifichi i suoi dati per non perdere le prestazioni
- Il suo antivirus si è rinnovato da solo per 499 dollari. Chiami per annullare
Si fingono chi lei ha più probabilità di avere: Amazon, la sua banca, Netflix, la posta, Apple, Medicare, Microsoft, la società elettrica, PayPal.
Che cosa vogliono
Una di tre cose, e a loro ne basta una qualsiasi:
- La sua password, tramite un collegamento a una pagina di accesso falsa dall'aspetto perfetto
- Il suo codice di verifica, le sei cifre che le manda la banca
- Una telefonata fatta da lei, che si trasforma in una delle truffe più grosse di questo sito
La terza è quella che cresce più in fretta, e la più subdola. Non c'è nessun collegamento da esaminare e nessun sito falso da riconoscere. Solo un numero di telefono e una storia. I consigli di sicurezza che si riducono a «non clicchi sui link» qui non le servono a niente.
Le forme che assume
La stessa truffa, veicoli diversi. Ogni forma ha il suo modo di sembrare innocua.
La falsa email «verifichi il suo conto»
La più antica, e tuttora la più diffusa. Un messaggio identico a quello di un'azienda che lei usa, con un pulsante che dice Verifica, Conferma, Controlla o Aggiorna. Quel pulsante porta a una copia della vera pagina di accesso. Lei scrive la password nella copia, e quella copia è loro.
La copia è spesso perfetta. I loghi, i caratteri, il testo in fondo, perfino il piccolo collegamento per disiscriversi in fondo alla pagina, sono presi di peso da una email vera. Il fatto che una pagina sembri giusta non è una prova. Sembrare giusta è esattamente tutta la loro merce.
Il messaggio sul telefono
La stessa cosa, più corta, e più difficile da esaminare perché lo schermo del telefono nasconde quasi tutto l'indirizzo. Il pacco, il pedaggio e il richiamo di un prodotto sono i tre che riceverà più spesso, e hanno una pagina tutta loro (in inglese).
Il mittente falsificato
Il nome che lei vede non è l'indirizzo da cui il messaggio è partito. I programmi di posta mostrano un nome comodo da leggere, e quel nome se lo sceglie chi manda. «Avviso frodi Chase» può stare sopra un indirizzo come [email protected].
Sul telefono questo conta di più, perché di solito il nome comodo è tutto quello che le viene mostrato. È toccando il nome del mittente che compare l'indirizzo sottostante, e quasi nessuno lo tocca.
Il collegamento e l'allegato
Un collegamento la porta da qualche parte. Un allegato porta qualcosa a lei. Si usano entrambi, e l'allegato è quello che la gente si aspetta di meno.
Arriva come fattura, ricevuta, fax, messaggio vocale, etichetta di spedizione o avviso del tribunale, in PDF, in documento Word o in file ZIP. Certi allegati contengono semplicemente lo stesso collegamento falso all'interno, e questo fa passare il messaggio davanti ai filtri che controllano solo i collegamenti. Altri le chiedono di abilitare la modifica o abilitare il contenuto all'apertura, ed è quel secondo clic a installare qualcosa.
Lei non ha ordinato una fattura che non stava aspettando. Un documento che arriva dal nulla va trattato come un collegamento: lo lasci chiuso, contatti l'azienda a modo suo e chieda se le hanno mandato qualcosa.
Il codice QR
Più recente, e funziona perché un quadrato di puntini non le dà niente da leggere. Non c'è nessun indirizzo da scrutare, quindi non c'è niente di sbagliato da notare.
Compaiono come adesivi incollati sopra il codice vero di un parchimetro o di una colonnina di ricarica, stampati su volantini e su falsi avvisi di distacco delle utenze, e dentro le email come immagine, cosa che li fa passare davanti ai programmi che esaminano solo i collegamenti.
Il telefono di solito le mostra l'indirizzo prima di aprire qualsiasi cosa. Legga quell'indirizzo prima di toccare Apri. Se non è l'azienda che si aspettava, chiuda. E un codice arrivato in un messaggio che lei non ha chiesto è semplicemente un collegamento in un messaggio che lei non ha chiesto. Non lo usi affatto.
L'avviso «è stato lei?»
Il più astuto di tutti, perché prende in prestito la forma stessa del messaggio che dovrebbe proteggerla.
«Avviso di sicurezza: si è effettuato l'accesso al suo conto da un nuovo dispositivo a Dallas, in Texas. Se non è stato lei, protegga il suo conto qui.»
Non è successo niente. Non c'è stato nessun accesso. È proprio l'allarme a essere l'esca, e «No, non ero io» è il pulsante che sperano, perché porta a una pagina di accesso che è loro.
Lo stesso trucco arriva come reimpostazione di una password che lei non ha mai chiesto, e come richiesta di verifica sul telefono che continua a vibrare finché lei non approva solo perché smetta.
Non approvi mai una richiesta che non ha avviato lei. Una reimpostazione che non ha chiesto non è un compito, è un avviso. Ignori il messaggio, apra il conto come lo apre sempre, e guardi lei stesso.
I segnali
Ognuno di questi è un motivo per rallentare e guardare. Nessuno di essi è una prova, in nessuna delle due direzioni. Un messaggio che porta tre di questi segnali può benissimo essere la sua vera banca in una mattinata storta, e un messaggio che non ne porta nessuno può benissimo essere una truffa. Un segnale è un invito ad andare a controllare di persona. Non è mai una sentenza, e non è mai un motivo per sentirsi sciocchi per aver creduto a una cosa fatta bene.
Il collegamento è sbagliato, e lo sbaglio è piccolo. Vero: chase.com. Falsi: chase-secure-alerts.com, chase.verify-account.net, chasebank-support.co.
Regola migliore: non esamini affatto i collegamenti. Non diventi bravo a riconoscere i falsi. Semplicemente non ne usi mai nessuno. Scriva lei l'indirizzo, o usi il suo segnalibro, o l'applicazione della sua banca.
Il saluto è generico. «Gentile cliente», «Gentile titolare». La sua banca conosce il suo nome.
Fretta più una scadenza. 24 ore. Immediatamente. Altrimenti il conto verrà chiuso.
Piccoli errori. Grammatica strana, uno spazio insolito prima della punteggiatura, un logo di un colore leggermente sbagliato. Attenzione: quelli bravi non ne hanno più nemmeno uno. L'intelligenza artificiale ormai scrive pulito. L'assenza di errori non dimostra niente.
L'unica strada in avanti sta dentro il messaggio. Ogni via che le offre, il pulsante e il numero e il codice e l'allegato, abita dentro il messaggio stesso. Le aziende vere sono contente che lei le raggiunga a modo suo. Un messaggio che ha bisogno che lei resti dentro di sé le sta dicendo qualcosa.
È arrivato dal nulla. Lei non aspettava nessun pacco. Non passa su quella strada a pedaggio. Non ha quell'abbonamento. Anche se a volte ce l'ha davvero: ne mandano migliaia e qualcuno cade giusto.
Come guardare senza toccare niente
Questa parte non le serve. La regola qui sotto risolve tutti i casi senza alcun esame. Ma alla gente piace guardare, e guardare è sicuro finché non tocca mai.
Sul computer, ci passi sopra col mouse. Appoggi il puntatore sul collegamento senza cliccare. L'indirizzo vero compare nell'angolo in basso della finestra, o in un riquadro accanto al puntatore.
Sul telefono, prema e tenga premuto. Tenga il dito sul collegamento per un secondo invece di toccarlo. Si apre un pannello che mostra l'indirizzo completo, con Copia e Annulla. Lo legga, poi Annulla.
Per vedere il mittente vero, tocchi il nome del mittente. Il nome comodo si apre e mostra l'indirizzo vero sottostante.
Legga un indirizzo da destra, non da sinistra. Trovi la prima barra singola. Le due parole immediatamente prima sono il proprietario della pagina, e nient'altro lo è:
- chase.com/login è Chase
- secure.chase.com/alerts è Chase
- chase.secure-login.net/verify è secure-login.net, non Chase
- chase-com.info/account è chase-com.info, non Chase
Tutto quello che sta a sinistra di quelle due parole può dire assolutamente qualsiasi cosa. È tutto qui il trucco, ed è per questo che i falsi si leggono così bene.
Ora metta via tutto questo. Saper esaminare un collegamento è un gioco di società. Non usarne mai nessuno è una difesa. Chi ci casca non è chi non sarebbe stato capace di accorgersene. È chi era stanco, indaffarato o di fretta, e ci ha dedicato un secondo invece di cinque.
Che cosa fare
Non usi mai il collegamento. Non usi mai il numero che sta nel messaggio.
Invece:
- Apra l'applicazione della sua banca, o scriva l'indirizzo che già conosce
- Chiami il numero sul retro della sua carta
- Entri come entra sempre
Se l'avviso è vero, la starà aspettando dentro il suo conto. Se lì non c'è niente, non c'era niente.
Non legga mai un codice di verifica a nessuno. La banca glielo manda proprio per tenere fuori gli altri. Nessun ente legittimo le chiederà mai di dirlo ad alta voce o di scriverlo in una chat. Chi glielo chiede è fermo davanti alla porta della sua banca e sta cercando di farsi consegnare la chiave.
Non risponda STOP a un messaggio truffaldino. Conferma che quel numero è letto da una persona vera. Lo cancelli, oppure lo segnali inoltrandolo al 7726 (SPAM), gratuito con tutti gli operatori americani.
I tre passi, applicati a un messaggio
Questo sito ha un solo metodo, e qui funziona esattamente come funziona per una telefonata.
Cerchi lei.
Non il collegamento. Non il numero nel messaggio. Non l'indirizzo nella firma. Apra l'applicazione che ha già, o scriva l'indirizzo che già conosce, o usi il numero sul retro della sua carta.
Contatti lei l'azienda.
Prima chiuda il messaggio, poi si metta in contatto a modo suo e chieda chiaramente: «Ho ricevuto un messaggio che dice che c'è un problema con il mio conto. Veniva da voi?» Se l'avviso è vero, la starà aspettando dentro il conto. Se lì non c'è niente, non c'era niente.
Aspetti un giorno.
Quasi niente dentro un conto vero ha bisogno di una risposta stasera. Un vero blocco per frode, una vera bolletta scaduta e un vero richiamo di prodotto sopravvivono tutti a una notte di sonno. La scadenza indicata nel messaggio è l'unica parte di cui si può essere certi che è falsa.
Il messaggio vuole che tutti e tre i passi avvengano dentro di sé: il suo collegamento, il suo numero, il suo orologio. Portarne fuori anche uno solo basta a farla finita.
Se ha cliccato e ha scritto la sua password
- Cambi subito quella password, sul sito vero, scrivendo lei l'indirizzo
- Se usa quella password anche altrove, la cambi anche lì. Il danno vero è questo. Una sola password ripetuta apre un'intera vita.
- Cambi prima la password della sua posta elettronica se era la stessa
- Attivi la verifica in due passaggi ovunque venga offerta
- Controlli gli estratti conto per tre mesi
Lei non è nei guai. Ha scritto qualcosa in una casella. Lo fanno milioni di persone ogni anno, comprese persone il cui mestiere è la sicurezza informatica.
Se ha aperto un allegato
Aprire il file di solito non è il momento del danno. Il danno viene da quello che le ha chiesto di fare dopo.
- Se lo ha aperto, chiuso, e non è successo altro, molto probabilmente sta bene. Lo cancelli.
- Se ha abilitato la modifica, abilitato il contenuto, autorizzato uno scaricamento, o se un programma si è installato da solo, faccia una scansione con il programma di sicurezza già presente sul computer e faccia dare un'occhiata a qualcuno di cui si fida.
- Se ha scritto una password per vedere il documento, faccia esattamente come nel punto precedente. Cambi quella password e la cambi ovunque l'abbia riusata.
L'unico cambiamento che rende tutto questo irrilevante
Riusare la stessa password dappertutto è il motivo per cui una sola password rubata diventa dieci conti rubati. Un gestore di password risolve la cosa per sempre: inventa una password diversa e più difficile per ogni sito e se le ricorda tutte, così lei ne deve ricordare una sola.
Molto probabilmente ce l'ha già, gratis, dentro un apparecchio che possiede. Apple («Password» su iPhone e Mac), Google («Gestore delle password» in Chrome e Android) e Microsoft (in Windows e Edge) ne includono uno. Non deve comprare né installare niente. Chieda a qualcuno di cui si fida di aiutarla ad attivarlo e a spostarci le password più importanti, prima la posta elettronica e la banca.
L'abitudine che chiude tutta questa categoria
Non usi mai un collegamento o un numero che è arrivato a lei. Raggiunga l'azienda a modo suo, ogni volta, senza eccezioni.
Non è vigilanza e non le chiede di esaminare niente. È un'abitudine, e una volta che ce l'ha, tutta questa categoria di truffa smette semplicemente di funzionare su di lei: la versione di oggi e ogni versione che inventeranno dopo.
Correlato: I tre passi · Tutte le pagine in inglese