Il nome che vedi sul telefono non è una garanzia, proprio per niente
Questa è la parte che manda in tilt tante persone: il numero chiamante può essere falsificato. Si chiama caller ID spoofing: chi chiama manipola le informazioni trasmesse alla rete in modo che sul tuo display compaia un numero legittimo, anche quello della banca. La FCC (autorità USA sulle telecomunicazioni) lo spiega in modo molto chiaro: lo spoofing è proprio l’atto di “falsificare” l’identità mostrata dal Caller ID.
In generale con il termine spoofing si indica una tecnica di falsificazione dell’identità: qualcuno si spaccia per un soggetto legittimo per guadagnare fiducia e indurre l’altra parte a fare qualcosa che normalmente non farebbe. Può riguardare numeri di telefono, indirizzi email, siti web o sistemi di rete. In passato ne avevamo già parlato a proposito del DNS spoofing, una variante diversa ma basata sullo stesso principio: far credere all’utente di trovarsi davanti a una fonte autentica quando in realtà non lo è.
Non è magia nera, è un abuso di come funzionano alcuni sistemi telefonici, in particolare quando entrano in gioco VoIP e infrastrutture che permettono di impostare “il numero mostrato”. Anche CISA (Cybersecurity and Infrastructure Security Agency) nota che lo spoofing del Caller ID è reso più facile da VoIP e può sfruttare la fiducia mal riposta nelle telefonate.
“Ma mi è arrivato anche un SMS della banca”
Seconda gamba della truffa: l’SMS. In molti casi l’utente riceve un messaggio che sembra arrivare dalla banca, magari nello stesso thread dove arrivano i messaggi reali. Qui entrano due fenomeni: sender ID spoofing (falsificazione del mittente) e dinamiche di recapito che, su alcuni canali, rendono credibile l’aggancio a conversazioni esistenti. Non è un dettaglio tecnico da nerd: è il tassello che “chiude il cerchio” e abbassa le difese.
Se vuoi un termine ombrello: parliamo di vishing (voice phishing) e spesso anche smishing (SMS phishing). Trend Micro, ad esempio, descrive il vishing come una tecnica in cui l’attaccante usa la telefonata per costruire fiducia e raccogliere informazioni, citando esplicitamente il ruolo dello spoofing del Caller ID.
La vera arma non è il numero, è la pressione
Qui arriva il punto più importante e più “umano”: la tecnologia da sola non basta a truffarti. Serve la leva psicologica giusta. E le truffe bancarie moderne sono un piccolo capolavoro di ingegneria sociale perché usano sempre lo stesso cocktail:
- Urgenza: “sta succedendo adesso, deve agire subito”.
- Autorità: “sono l’ufficio antifrode, la banca, un ispettore, un ente ufficiale”.
- Riduzione delle alternative: “non chiami altri numeri, resti in linea, facciamo noi”.
- Colpa o vergogna: “se non collabora, rischia di perdere tutto”.
È la stessa logica descritta nelle linee guida di CISA sul social engineering: far leva su fiducia, urgenza e manipolazione del contesto per indurre la persona ad agire contro il proprio interesse. Ed è un attimo cascarci. Ho sentito e visto coi miei occhi persone che reputo più che intelligenti e preparate rischiare di perdere tutto il contenuto del proprio conto in banca. Basta un dettaglio e tutto può succedere.
Perché hanno già i nostri dati (e perché non è casuale)
La parte che rende tutto più credibile è quando l’attaccante conosce già dettagli reali. Succede spesso perché molti dati personali circolano da anni: vecchi data breach, elenchi venduti, profili arricchiti con incroci tra fonti diverse. Non serve che abbiano bucato la banca o che abbiano hackerato il sistema bancario. Molto più spesso hanno trovato o comprato informazioni sul bersaglio e le usano per costruire un copione su misura. Questo è il motivo per cui le vittime spesso dicono: “ma sapeva davvero tutto”. In realtà, sapeva abbastanza da far sembrare reale il resto. Ed è sufficiente. Purtroppo.
Il momento in cui la truffa si tradisce
Ma non disperiamo, quasi sempre c’è un punto di rottura, un passaggio obbligato che serve all’attaccante per completare l’operazione. Molto spesso si tratta della richiesta del vecchio codice utente “per analizzarlo”. In altri casi è una richiesta di OTP, di confermare un’operazione, di installare un’app, di fare un bonifico verso un “conto sicuro”.
Ed è qui che la dinamica cambia tono: se la persona rifiuta, la gentilezza dell’operatore sparisce e compare la pressione. È un indicatore enorme, perché una procedura antifrode reale non ha bisogno di agitarsi o addirittura rispondere male per funzionare. A quel punto iniziano a spazientirsi. Prima o poi miglioreranno anche in questo, ma fino ad allora usiamo questa irrequietezza come segnale.
In generale possiamo affermare che questo tipo di truffe sta crescendo perché favorito da un contesto ottimale in questo senso: lavoro da remoto, poca attenzione, chiamate tra una cosa e l’altra, notifiche continue. In più, molte persone si fidano ancora del concetto “se appare il numero ufficiale, è vero”. Oggi non è più così.
Le autorità delle telecomunicazioni stanno cercando di stringere le regole proprio su questo punto. Ofcom (regolatore UK) ha pubblicato aggiornamenti e roadmap sul tema Calling Line Identification e blocco delle chiamate con numeri “spoofati”, a conferma che la minaccia è concreta e diffusa ed è necessario prestare la massima attenzione.
La regola d’oro per evitare anche questa truffa informatica della finta banca
In mezzo a tutta questa evoluzione, c’è una regola che non invecchia: non comunicare codici e credenziali al telefono. Il punto non è diventare paranoici. Il punto è accettare che oggi la “prova visiva” del numero non è più una prova. È solo un elemento di scena, e a volte fa parte della trappola. Se questo articolo ti ha fatto pensare “mi poteva capitare”, bene: è il tipo di consapevolezza che previene guai seri. E no, non c’è nulla di cui vergognarsi. Queste truffe funzionano perché sono progettate per funzionare.
