Cyber trappole
- Si chiamano BEC, Man in the middle, Man in the mail: ma cosa si nasconde dietro questi nomi? Si tratta di tentativi, più o meno riusciti, di raggiro attraverso le conversazioni elettroniche, come racconta la voce di un nostro lettore, vittima, suo malgrado, di un cambio fraudolento di IBAN.
Viviamo in un’epoca in cui ci si trova, volenti o nolenti, sotto un costante flusso di cyber-informazioni: un sovraccarico di stimoli e dati che potrebbe portarci a sviluppare una sorta di apatia, rifugiandoci dietro all’ingenua presunzione che “tanto a me non succederà mai niente”, “amiocugggino furbo mi ha installato il firewall più potente del pianeta, ma pagato due soldi”, “figuriamoci se truffano me, mica sono l’ultimo degli scemi”. Uscire da questo torpore, informarsi correttamente, senza lasciarsi travolgere dall’onda, così da capire quali siano gli strumenti più indicati per la difesa, e non facendo affidamento sul famoso cugggino sodale nella ricerca del risparmio a tutti i costi, può portare indubbi vantaggi. Così indubbi da potere toccare anche cifre a più zeri.
Se è vero che, facendo tesoro delle parole dell’esperto di cybersicurezza Luca Bechelli, “siamo tutti vulnerabili agli attacchi”, è altrettanto vero, sempre citando Bechelli, che “I più preparati resistono al meglio in queste situazioni”. Facendo nostre le segnalazioni che in questi mesi ci sono giunte più insistentemente, in questo numero di Muletti Dappertutto affrontiamo il tema delle mail trappola nel corso delle transazioni commerciali.
BEC – Business Email Compromise -, Man in the middle, Man in the mail, spoofing, sono tanti I nomi dei fenomeni, ma lo scopo è solo uno: carpire la fiducia, impossessarsi dei dati, frapporsi tra noi e il nostro interlocutore nella conversazione elettronica e infine portare a segno il colpo, modificando le coordinate native dell’IBAN da bonificare e facendo versare lì i soldi.
Se è vero che ormai è diventato relativamente facile non cadere nella trappola di quelle mail spam scritte con un italiano sgrammaticato, con allegati, in arrivo da indirizzi sconosciuti e con richieste strampalate, risulta decisamente meno semplice farlo se le mail che apriamo non hanno allegati, sono scritte senza errori e, fattore non trascurabile, paiono giungere da un indirizzo a noi ben noto, con cui intratteniamo relazioni commerciali più o meno frequenti.
Si tratta di una truffa nota già da anni ma che negli ultimi mesi sta avendo una preoccupante e più vivace recrudescenza, come raccontano le parole di un nostro lettore, trovatosi suo malgrado nella trappola:
———
“In azienda dobbiamo saldare una piccola fattura a un fornitore che, via mail, ci aveva mandato il codice IBAN da bonificare; non è il primo acquisto che facciamo ma anzi, ne siamo clienti da diverso tempo, spendendo cifre di un certo rilievo. Liquidato il dovuto, come al solito, non ci pensiamo più, convinti di avere concluso, anche stavolta, l’iter commerciale. Qualche giorno dopo, una chiamata da parte del fornitore che lamentava il mancato pagamento.
Più che certi del nostro, ribadiamo di avere correttamente saldato il dovuto, ricontrolliamo la contabile, verificando cifra per cifra e lettera per lettera l’IBAN. Nessun errore, abbiamo corrisposto quanto dovuto e attraverso il mezzo che la mail arrivata ci aveva indicato. Ed ecco la doccia fredda: al telefono il fornitore ci informa che quel codice non gli appartiene. Che la mail a cui noi ci siamo affidati e che mostriamo come prova delle nostra buona fede – anche perché perdere la credibilità guadagnata negli anni con sacrifici e lavoro per una cifra del genere, beh, non ne vale proprio la pena -, è sì uguale a quella inviata da loro tranne per un piccolo, ma quanto mai importante, dettaglio: l’IBAN.
Chi si è intrufolato in quella conversazione, violando la casella mail, cambiando in tempo reale il codice, e quale tra la nostra e quella del fornitore? Non abbiamo certezza, se non di essere caduti, noi e loro, in una trappola che porta a denunce, atteggiamenti ostili poco edificanti e a spendere nuovamente per saldare quella fattura che noi avevamo già pagato. Riavremo mai la cifra sparita nei meandri di un conto sconosciuto? Io non ci credo molto. Però un obbligo di controllo incrociato da parte delle banche sulla corrispondenza tra IBAN e intestatario del conto di destinazione ridurrebbe di molto questo tipo di sempreverdi truffe. Obbligo che, a quanto pare, non esiste lontanamente”.
———
Ed è così, come racconta il nostro lettore, come ben indicato in diversi decreti legislativi, direttive europee, decisioni dell’Arbitro Bancario Finanziario attraverso differenti Collegi, FAQ della Banca d’Italia: per legge il prestatore di servizio, ossia la banca – sia quella di partenza del bonifico, sia quella di arrivo – non è obbligata a operare il controllo di congruità incrociando l’informazione sul beneficiario con quella del titolare del conto di accredito. Rientra solo nell’ambito della discrezionalità dell’intermediario predisporre questa misura di controllo.
A cosa è obbligato quindi l’istituto bancario?
A fare da tramite nello spostamento di denaro tenendo in considerazione solo il codice univoco IBAN e non informazioni accessorie come il nome del beneficiario, come spiega il decreto legislativo 27 gennaio 2010, n. 11, che all’articolo 24, nella sezione “Responsabilità”, recita: “Se un ordine di pagamento è eseguito conformemente all’identificativo unico, esso si ritiene eseguito correttamente per quanto concerne il beneficiario e/o il conto indicato dall’identificativo unico”.
In caso di non conformità del codice, invece, “Se l’identificativo unico fornito dall’utilizzatore è inesatto, il prestatore di servizi di pagamento non è responsabile, ai sensi dell’articolo 25, della mancata o inesatta esecuzione dell’operazione di pagamento. Il prestatore di servizi di pagamento del pagatore compie sforzi ragionevoli per recuperare i fondi oggetto dell’operazione di pagamento”.
Si tratta di una esenzione di responsabilità che, per quanto abbia reso le transazioni bancarie più rapide, economiche e abbia abbattuto i confini tra pagamenti nazionali e transnazionali nell’area SEPA, ha come rovescio della medaglia una minore tutela contro le possibili truffe e gli errori.
Nel caso di discordanza tra i dati, il processo non si blocca a monte, ma il legislatore impone alle parti coinvolte di collaborare per cercare di riavere il deposito, come indica l’art. 88, 3° comma, del PSD2: “Il prestatore di servizi di pagamento del pagatore compie sforzi ragionevoli per recuperare i fondi oggetto dell’operazione di pagamento. Il prestatore di servizi di pagamento del beneficiario collabora a tali sforzi anche comunicando al prestatore di servizi di pagamento del pagatore tutte le informazioni pertinenti per il recupero dei fondi”.
Come evitare di cadere in trappola?
Non si è mai al sicuro, ma il primo passo è l’informazione: sapere che esiste anche questo genere di truffe crea una maggiore consapevolezza e l’attivazione, anche inconscia, di meccanismi di difesa.
Difesa che passa pure dall’affidarsi a un esperto in sicurezza informatica e dall’utilizzo di firewall, antivirus, sistemi operativi e programmi regolarmente aggiornati. Allarmarsi in caso di cambio improvviso di IBAN: ritagliare 5 minuti di tempo per una telefonata di conferma, anche subito dopo il pagamento, prima che la banca lo elabori, può evitare di perdere mesi e soldi nella rintracciare un conto svuotato dai malfattori.
E, infine, non vergognarsi se si è vittime di una truffa: denunciare immediatamente, fare rete, raccontare quanto accaduto e diffondere la notizia può evitare la stessa sorte agli altri.
