Phishing: 11 cose da sapere per proteggersi online

E-mail: quali sono i campanelli d’allarme a cui fare attenzione? Come difendersi dalle truffe digitali?

Alzi la mano chi non ha almeno un indirizzo di posta elettronica. Ormai, la digitalizzazione d’impresa e la rapidità con cui vengono effettuate le comunicazioni telematiche, nonché l’obbligo per aziende e professionisti di essere in possesso di una Pec (Posta elettronica certificata), hanno portato proprio tutti a dotarsi di un indirizzo e-mail. I pericoli in cui puoi imbatterti sono numerosi, ecco perché in questo articolo ti indicherò 11 cose da sapere per proteggersi online dal phishing.

Magari, ricevi costantemente comunicazioni di lavoro, inviti ad eventi, comunicati stampa, promozioni e newsletter sulla tua posta elettronica. Quante volte ti sarà capitato di cestinare direttamente qualche e-mail che non è finita in automatico nella cartella spam? E quante volte ancora avrai ricevuto messaggi con un oggetto allarmante in cui ti veniva richiesto di comunicare i tuoi dati personali e di pagamento? Messaggi che ti hanno fatto dubitare subito della veridicità del contenuto, in quanto corrispondevano chiaramente a comunicazioni fraudolente e ingannevoli.

Ecco, tra le numerose truffe che si possono consumare online, la più comune è il phishing. È la più nota, ma anche la più insidiosa dal momento che i truffatori escogitano operazioni sempre più sofisticate per far cadere gli utenti (a volte, distratti e incauti) nella ragnatela dei siti trappola: le e-mail, infatti, sembrano provenire da fonti attendibili, ma in realtà puntano a sottrarre dati personali come il numero della carta di credito e le credenziali di accesso al servizio di home banking.

Chi utilizza le tecniche del phishing per ottenere, tramite artifici e raggiri al fine di indurre in errore l’utente, le credenziali di autenticazione necessarie ad accedere abusivamente a spazi informatici esclusivi del titolare (ad esempio, relativi alla gestione dei conti correnti online) e a svolgere, senza autorizzazione, operazioni bancarie o finanziarie, può rispondere dei seguenti reati: sostituzione di persona [1], accesso abusivo a sistemi informatici o telematici [2], truffa [3].

Come riconoscere la minaccia? Sapere in che modo agiscono i truffatori ti consentirà di capire in che modo puoi difenderti. In questo articolo, ti indicherò 11 cose da sapere per proteggersi online e 4 tipi di e-mail a cui fare attenzione per non lasciarsi ingannare dai contenuti dei messaggi di posta elettronica che forniscono indicazioni dettagliate per accedere a pseudo-siti creati ad hoc dai truffatori.

Infine, ti spiegherò per quale reato è perseguibile il soggetto che mette a disposizione il conto corrente per l’accredito del denaro ottenuto tramite phishing e come ottenere il risarcimento del danno. Ma procediamo con ordine.

Cos’è il phishing?

Come ha precisato il tribunale di Monza [4], il phishing consiste nel «pescare», mediante l’abusivo inserimento nel sistema informatico di un’istituzione finanziaria o mediante false e-mail indirizzate ai clienti delle banche o delle poste, i dati significativi dei rapporti di conto corrente intrattenuti dagli stessi. Dati che vengono poi utilizzati in modo fraudolento per “donare” carte di credito e/o di pagamento o per disporre online operazioni di trasferimento di denaro su conti correnti nella disponibilità dei criminali con il successivo prelevamento dei contanti e la conseguente sparizione del denaro sottratto in maniera fraudolenta.

In tal caso, si configura il reato di truffa disciplinato dall’articolo 640 del Codice penale, il quale punisce chi, ricorrendo ad artifici o raggiri, induce qualcuno in errore, determinando uno spostamento patrimoniale in favore del colpevole.

Ma cosa si intende per artifici e raggiri? L’artificio consiste nella simulazione o nella dissimulazione della realtà allo scopo di indurre in errore la vittima, mentre il raggiro corrisponde a qualsiasi escamotage finalizzato a scambiare il falso con il vero.

La norma del Codice penale mira a tutelare il patrimonio e la libera formazione del consenso.

Phishing: come agiscono i truffatori?

Per trarre in inganno gli utenti, i truffatori inviano false e-mail riportando il logo, il nome e il layout tipici dell’ente o dell’istituto di credito da cui il destinatario crede di aver ricevuto il messaggio di posta elettronica. In tal modo, la povera vittima immagina che possa trattarsi effettivamente di una comunicazione ufficiale e veritiera.

Giocando spesso sull’ingenuità e/o sulla distrazione degli utenti, in queste email l’autore del phishing invita il destinatario a cliccare su un link che rimanda ad un sito Internet, simile in tutto e per tutto a quello reale, e ad inserirvi i suoi dati personali. Una volta ottenute le informazioni riservate, il truffatore sarà in grado di effettuare le transazioni bancarie a nome della vittima oppure a sfruttare la sua carta di credito.

Phishing: 4 tipi di e-mail a cui fare attenzione

Talvolta, è possibile riconoscere una truffa online in un batter d’occhio, in quanto i campanelli d’allarme a cui prestare attenzione sono spudoratamente evidenti. Altre volte, invece, bisogna strizzare gli occhi e le meningi, stare in guardia come un segugio e badare bene ad alcuni piccoli dettagli, spesso impercettibili. Ammettiamolo: quotidianamente, nella fretta di passare in rassegna le varie comunicazioni, non facciamo caso ad alcuni segnali che, invece, dovrebbero metterci in allerta.

A seguire, ecco 4 tipi di e-mail a cui fare attenzione e alcuni suggerimenti utili per non farti cogliere impreparato.

Email di allerta

Devi sapere che, di solito, le e-mail di phishing fanno leva sugli stati emotivi dell’utente; contengono infatti messaggi in grado di suscitare ansia, fretta e preoccupazione nella vittima, inducendola ad un’azione tempestiva.

Ad esempio, un’e-mail può annunciare la chiusura di un conto bancario, la scadenza di un servizio (magari, mai attivato), la spedizione di un pacco (magari, mai ordinato), la vincita di un premio, la segnalazione di un mancato pagamento. Le email di phishing possono richiedere l’aggiornamento delle tue informazioni di contatto, il ripristino del tuo conto o di un abbonamento.

Talvolta, alcune email possono presentare anche toni “intimidatori” e minacciare la sospensione di un account in caso di mancata risposta. Spesso, a seguito di questa richiesta, non indicano una data di scadenza per l’invio delle tue informazioni.

A cosa fare attenzione? Nell’oggetto, questo tipo di comunicazioni contengono spesso punti esclamativi, parole maiuscole, un invito pressante a compiere un’azione.

Email che richiedono l’inserimento di dati riservati

Non daresti i tuoi dati bancari neppure ai tuoi genitori/figli e, allora, perché fornirli su richiesta di un’email proveniente da uno pseudo istituto bancario? È la regola principale: mai inserire informazioni relative ai codici della tua carta di pagamento, le chiavi di accesso al servizio home banking o altri dati personali. La tua banca non ti chiederà mai queste informazioni tramite e-mail.

Email con indirizzi sospetti 

Accertati del reale mittente dell’email: se non lo riconosci, se sono presenti degli errori, se l’indirizzo include una variante o un sottodominio, sicuramente si tratterà di un’e-mail di phishing.

Inoltre, ti consiglio di diffidare delle e-mail con indirizzi lunghi, contenenti caratteri inusuali.

Email con allegati inattesi e sospetti

Frequentemente, i truffatori utilizzano gli allegati delle email ingannevoli per inviare malware o virus: fenomeno conosciuto come “malspam“. Pertanto, se hai ricevuto un’email inattesa contenente un file sospetto in allegato, non aprirlo e non scaricarlo, specialmente se si tratta di file di tipo .exe, .vsb, .js, o .bat.

Phishing: 11 cose da sapere per proteggersi online

Ora che sai quali sono i 4 tipi di e-mail a cui fare attenzione, in questo paragrafo ti indicherò 11 suggerimenti per proteggersi online:

1. utilizza un provider di posta elettronica affidabile;
2. installa sul tuo pc un filtro antispam;
3. controlla sempre il dominio del mittente dell’email: lunghezza, presenza di eventuali errori e di caratteri inusuali;
4. non cliccare sui link presenti nelle e-mail sospette: il collegamento ti rimanderà quasi certamente ad un sito contraffatto, difficilmente distinguibile dall’originale, allo scopo di carpire le tue informazioni personali;
5. non aprire e non scaricare i file allegati alle email sospette, specialmente se si tratta di .exe, .vsb, .js, o .bat;
6. quando inserisci i tuoi dati personali in una pagina web, assicurati che sia protetta: nella barra del browser, deve essere presente il lucchetto. Inoltre, cliccando sull’indirizzo della pagina, deve comparire ‘‘https://’’ e non ‘‘http://’’;
7. attiva un servizio di sms con la tua banca affinché l’istituto possa avvisarti in caso di pagamento con carta o di un bonifico;
8. tieni sotto controllo il tuo conto corrente;
9. aggiorna con una certa frequenza la password della tua email;
10. nel caso di furto di dati bancari contatta immediatamente l’istituto di credito per bloccare conti correnti e bancomat;
11. qualora dovessi essere vittima di una truffa online, segnala l’attacco di phishing alla Polizia postale.

Phishing e riciclaggio

Come ti ho già spiegato nei paragrafi precedenti, il phishing è una truffa informatica effettuata tramite l’invio di una e-mail con il logo contraffatto di un istituto di credito o di una società di commercio elettronico, in cui si invita il destinatario a fornire dati riservati come il numero della propria carta di credito e la password di accesso al servizio di home banking. Questa richiesta viene spesso motivata con ragioni di ordine tecnico.

Accanto alla figura dell’hacker (esperto informatico) che si procura i dati del malcapitato, assume rilievo anche quella del collaboratore presta conto che mette a disposizione un conto corrente per accreditare il denaro ottenuto tramite phishing, ai fini della destinazione finale delle somme sottratte fraudolentemente. La Corte di Cassazione [5] precisa che il comportamento di questo soggetto è punibile a titolo di riciclaggio, disciplinato dall’articolo 648 bis del Codice penale, e non a titolo di concorso nei reati con cui si è realizzato il phishing (articoli 615 ter e 640 ter del Codice penale), «giacché la relativa condotta interviene, successivamente, con il compimento di operazioni volte a ostacolare la provenienza delittuosa delle somme depositate sul conto corrente e successivamente utilizzate per prelievi di contanti, ricariche di carte di credito o ricariche telefoniche».

Phishing su conti correnti online: la prova della banca

In caso di bonifici illecitamente effettuati su conti correnti online attraverso il phishing, la banca è tenuta a fornire la prova del corretto funzionamento del proprio sistema e, quindi, della riconducibilità dell’operazione al correntista che l’abbia disconosciuta, in applicazione del principio consolidato sulla ripartizione dell’onere della prova in materia di responsabilità contrattuale.

Come ha precisato il tribunale di Parma [6], la corretta operatività del servizio bancario mediante collegamento telematico rientra a pieno titolo nel rischio d’impresa, con la conseguenza che «grava sulla banca una responsabilità di tipo oggettivo o semi-oggettivo, da cui la stessa va esente solo provando quantomeno in via presuntiva che le operazioni contestate dal cliente sono allo stesso riconducibili».