L'infrastruttura dietro la truffa
Questi messaggi non arrivano da un adolescente in un garage con un telefono usa e getta. Dietro una campagna professionale di phishing via SMS si nasconde un'infrastruttura industriale.
I server per l'invio di massa sono generalmente ospitati fuori dall'Unione Europea: Ucraina, Moldavia, alcuni paesi del Sud-est asiatico, il che complica la cooperazione giudiziaria. I numeri mittenti sono numeri usa e getta rinnovati ogni ora per aggirare le blacklist. Le pagine web fraudolente sono ospitate su domini registrati 24 o 48 ore prima della campagna, spesso tramite registrar senza scrupoli.
Il costo totale di una campagna chiavi in mano: server, numeri, dominio, pagina clonata, è stimato tra i 150 e i 300 €. Con un tasso di clic del 2% su 100.000 messaggi inviati e un tasso di conversione del 10% (dati bancari inseriti), il ritorno sull'investimento è enorme.
La pagina di phishing
La falsa pagina imita DHL, La Poste, Colissimo o Chronopost con una precisione inquietante: i loghi giusti, i colori giusti del marchio, a volte persino una barra di avanzamento della consegna e un numero di tracciamento generato casualmente ma formattato in modo convincente.
La richiesta è di 1,99 € di 'spese doganali' o 'spese di riconsegna'. L'importo è volutamente basso: non fa scattare l'allarme psicologico che accompagna una transazione consistente.
L'obiettivo non sono quei 2 €. È il numero a 16 cifre della tua carta, la data di scadenza e il CVV sul retro. Con queste tre informazioni, è possibile effettuare addebiti su qualsiasi servizio di pagamento online.
Cosa succede dopo
Poche ore dopo l'inserimento, la tua carta viene 'testata': micro-transazioni da 0,01 € a 0,50 € su piattaforme che accettano pagamenti senza autenticazione forte (alcuni servizi in abbonamento, mance, donazioni).
Una volta che la carta è convalidata come attiva, seguono acquisti più consistenti. La tecnica preferita: l'acquisto di carte regalo Steam, Amazon o Google Play, che possono essere convertite in denaro sui mercati secondari nel giro di pochi minuti senza lasciare una traccia bancaria diretta.
Recuperare il denaro tramite un chargeback richiede in media dai 3 ai 6 mesi. La tua banca ti rimborserà quasi certamente: ma solo se contesti le transazioni entro i termini previsti (13 mesi al massimo per i pagamenti in Francia).
Come smettere di caderci
Quattro semplici regole che eliminano il 95% del rischio:
- →Non cliccare mai sul link di un SMS di consegna: vai direttamente sul sito ufficiale del corriere (laposte.fr, dhl.fr) e inserisci manualmente il numero di tracciamento ricevuto dal venditore.
- →Controlla l'URL prima di inserire qualsiasi cosa: 'laposte-colis-paiement.com' o 'colissimo-fr.net' non sono La Poste. L'URL legittimo è sempre laposte.fr.
- →I veri corrieri non chiedono mai i dati della carta via SMS per una consegna: è un indicatore assoluto di frode.
- →Segnala l'SMS al 33700 (la piattaforma nazionale francese anti-smishing gestita dalla GSMA): questo aiuta a far chiudere più rapidamente i numeri fraudolenti.
Queste truffe resistono perché sfruttano un contesto perfettamente plausibile, ordiniamo tutti dei pacchi, e spesso ne abbiamo più di uno in viaggio contemporaneamente. Una vigilanza sistematica su ogni link ricevuto via SMS, senza eccezioni, è l'unica vera difesa. Un link in un messaggio di consegna: mai cliccarlo direttamente.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform, GIP ACYMA), "L'hameçonnage à la livraison de colis" (Package-delivery phishing scam)
- 33700 — French national platform against SMS spam and smishing (operated by the French telecom operators)
- Code monétaire et financier, Article L133-24 (Légifrance) — 13-month deadline to report/contest an unauthorized payment operation
Attiva la protezione anti-phishing