skip to main | skip to sidebar
17 commenti

“Perché mai dovrebbero rubarmi o clonarmi il profilo Facebook?” Per esempio per questa truffa

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2017/04/26 21:05. 

Quando faccio raccomandazioni di sicurezza su come proteggere gli account sui social network, una delle obiezioni più frequenti che sento è “Ma perché mai qualcuno dovrebbe tentare di rubarmi il profilo Facebook o di clonarmelo? Io non sono nessuno.” E a quel punto scatta l’apatia.

Una risposta molto chiara a questa domanda arriva in queste ore da una truffa che sta facendo parecchie vittime in Svizzera e particolarmente nel Canton Ticino, dove abito, e che toglie dalla bolletta o dal credito telefonico 100 franchi (poco meno di cento euro).

La truffa inizia così: l’utente preso di mira riceve su Facebook (via Messenger), da un amico o un’amica, una richiesta apparentemente innocua, del tipo “Mi mandi il tuo numero di telefono? Serve per un concorso”.

Quando la vittima risponde dando il numero, l’amico ringrazia mandando alla vittima informazioni sul concorso, che si svolge via SMS, e chiedendo di mandargli il codice a quattro cifre che la vittima riceverà per questo concorso. La vittima segue l’invito dell’amico e subito dopo si vede sottrarre i soldi dal conto telefonico. Come è possibile?

Sulla base del resoconto pubblicato da Tio.ch, la dinamica della truffa dovrebbe essere la seguente.

1. Prima di tutto, l’amico è in realtà un impostore: un criminale che ha rubato l’account all’amico vero o gliel’ha clonato (creandone una copia con lo stesso nome e la stessa foto di profilo) e si spaccia per lui, conquistando così la fiducia della vittima.

2. Il truffatore chiede alla vittima il numero di telefono per immetterlo nel servizio di pagamento Sunrise Pay dell’operatore Sunrise, che consente di fare acquisti (per esempio di codici iTunes) addebitandoli sul conto telefonico del numero immesso.

3. Il servizio Sunrise Pay è protetto da un PIN di quattro cifre, che viene inviato al numero immesso, che in questo caso è quello della vittima.

4. La vittima manda questo PIN al truffatore, credendo che si tratti di un amico e senza rendersi conto che è un codice di sicurezza: pensa che sia un codice per partecipare a un concorso.

5. Il truffatore immette il PIN nella schermata di acquisto, dalla quale riceve i codici iTunes, che fa pagare alla vittima.

6. Il truffatore incassa rivendendo online i codici iTunes.


Come difendersi


Per prima cosa, non date a nessuno, ma proprio a nessuno, qualunque PIN ricevuto tramite questo servizio o qualunque altro.

In secondo luogo, attivate il blocco di questa funzione Sunrise Pay usando queste istruzioni fornite dall’operatore telefonico. Notate che la funzione di acquisto è abilitata automaticamente per tutti gli utenti di Sunrise: spetta a voi scoprire che esiste, scoprire che è abilitata, e decidere di disabilitarla.

Terzo, se dall’account di un vostro amico arrivano improvvisamente messaggi molto sgrammaticati, insospettitevi: probabilmente l’account è stato rubato o clonato da un impostore che non parla correntemente la lingua del vostro amico.

Per finire, attivate la verifica in due passaggi sui vostri account nei social network, in modo da rendere più difficile rubarveli grazie a password ovvie o usate per più di un sito e rendete privato l’elenco dei vostri amici in modo che un clonatore non possa sapere a chi mandare i messaggi-esca: in Facebook, andate alla vostra Lista amici, cliccate su Visualizza tutti gli amici, cliccate sulla matitina accanto a Trova amici, scegliete Modifica privacy e impostate a Solo io tutte e tre le voci che compaiono. È consigliabile farlo da un computer; si può fare anche su un tablet o smartphone, ma in questo caso bisogna usare il browser, non l’app di Facebook, per accedere alla Lista amici.

Stando sempre alle schermate pubblicate da Tio.ch, la truffa funziona particolarmente bene in Canton Ticino perché il PIN arriva sul telefonino della vittima all’interno di un messaggio in tedesco, lingua nazionale che non tutti i ticinesi masticano disinvoltamente, per cui l’avvertenza “nicht an Dritte weitergeben” (non inoltrare a terzi) che accompagna il PIN non viene capita. La stessa sorte d’incomprensione linguistica tocca anche al messaggio successivo di ringraziamento per l’acquisto effettuato.


Risarcimento e rintracciamento dei truffatori


Se siete stati colpiti da questa truffa, le vostre probabilità di risarcimento sono molto modeste, perché dando a terzi il PIN non avete rispettato le istruzioni di sicurezza fornite da Sunrise. Tuttavia vale la pena di segnalare all’operatore telefonico il problema, se non altro per informarlo della diffusione della truffa e magari incoraggiarlo a mandare avvisi chiari anche in italiano. Prendete questa truffa come un buon incentivo a imparare il tedesco.

Secondo questa pagina di Sunrise, il limite di acquisto mensile è pari a 100 franchi, per cui non dovrebbe essere possibile subire addebiti superiori a questo importo con una singola transazione fraudolenta.

I truffatori sono difficili da rintracciare: Sunrise probabilmente ha solo il loro indirizzo IP (facilmente falsificabile) e poco altro. Forse potrebbe informare Apple segnalandole che i codici iTunes sono stati ottenuti in modo fraudolento, ma bisognerebbe vedere se Sunrise ha modo di conoscere i dettagli di una transazione o se Apple, per sicurezza, glieli nasconde.


Morale della favola


Adesso dovrebbe essere chiaro che qualunque account social può essere preso di mira dai ladri d’identità: non importa di chi è o cosa contiene o non contiene. Proteggetevi.


2017/04/26


Ho ricevuto una segnalazione direttamente da una vittima di questa truffa. La riassumo qui sotto, omettendo i dati personali:

È stato falsificato l’account di una mia amica su facebook. Il truffatore, fingendosi la mia amica e utilizzando il suo account, mi ha chiesto il mio numero di telefono cellulare (Sunrise business) per un concorso, dicendomiche mi sarebbe arrivato un SMS con un numero da darle per questo concorso. Quando è arrivato l'sms con il numero gliel'ho dato, accorgendomi dopo che era un account falso e che quel numero era il PIN per certificare ed accedere ad un pagamento online (Sunrise Pay). Così diceva l'SMS in lingua straniera.

La vittima mi ha detto di aver chiamato Sunrise ma di non aver avuto alcun aiuto concreto:

Immediatamente Dopo l’accaduto ho chiamato Sunrise business chiedendo come fare per bloccare un'ipotetica transazione avvenuta con il mio account Sunrise, e loro dopo 30 minuti di chiamata mi hanno ripetuto di non poter fare nulla e al limite di poter controllare l’indomani se ci fossero state chiamate o messaggi “strani” effettuati col mio numero. Ho chiesto insistentemente se ci fosse un protocollo che permettesse di agire subito e bloccare un ipotetica transazione, e dopo lunghe attese e incertezza da parte della signorina del cal center mi è stato detto che “non sapevano come aiutarmi”.
Invia un commento
I commenti non appaiono subito, devono essere tutti approvati manualmente da un moderatore a sua discrezione: è scomodo, ma è necessario per mantenere la qualità dei commenti e tenere a bada scocciatori, spammer, troll e stupidi.
Inviando un commento date il vostro consenso alla sua pubblicazione, qui e/o altrove.
Maggiori informazioni riguardanti regole e utilizzo dei commenti sono reperibili nella sezione apposita.
NOTA BENE. L'area sottostante per l'invio dei commenti non è contenuta in questa pagina ma è un iframe, cioè una finestra su una pagina di Blogger esterna a questo blog. Ciò significa che dovete assicurarvi che non venga bloccata da estensioni del vostro browser (tipo quelle che eliminano le pubblicità) e/o da altri programmi di protezione antimalware (tipo Kaspersky). Inoltre è necessario che sia permesso accettare i cookie da terze parti (informativa sulla privacy a riguardo).
Commenti
Commenti (17)
Non ho capito una cosa: "Notate che la funzione di acquisto è abilitata automaticamente per tutti gli utenti: spetta a voi scoprire che esiste, scoprire che è abilitata, e decidere di disabilitarla."
Abilitata automaticamente per tutti gli utenti di...? Facebook? Messenger? iTunes?
Si riferisce all'operatore telefonico (in questo caso Sunrise).
Diego,

confermo quello che ha scritto Genesis61 e ho corretto l'articolo per maggiore chiarezza.
Il link https://www.sunrise.ch/it/clienti-privati/aiuto/mobile/utilizzo-del-cellulare/sunrise-pay/kann-ich-die-zahlung-mit-sunrise-pay-sperren-.html , che dovrebbe spiegare come attivare il blocco del servizio di pagamento di Sunrise Pay, in realtà dice solo che si può fare, ma non spiega come...
"[S]e dall’account di un vostro amico arrivano improvvisamente messaggi molto sgrammaticati, insospettitevi". Oddio, dipende anche dall'amico, purtroppo :P

Comunque, buono a sapersi, visto che io e mia moglie abbiamo Sunrise. Fortunatamente conosciamo il tedesco e non credo cascheremmo in truffe del genere (siamo sempre molto sospettosi - pensa che una volta mia sorella mi ha scritto perché era in Scozia e aveva avuto problemi con la sua carta... e pensando che fosse una truffa, prima di aiutarla l'ho tempestata di domande per accertarmi fosse davvero lei), ma sapere di avere una funzione del genere abilitata non mi piace. La disattivo subito.

Considerazione a parte: certo che alcune aziende svizzere dovrebbero ricordarsi che c'è una fetta non indifferente di italofoni nel loro mercato.
"Prendete questa truffa come un buon incentivo a imparare il tedesco."

Ein paar weisswurstl und eine Bier, danke!

Non penso che il mio tedesco sia adatto alla situazione :/ Mi sorprende veramente la semplicità di queste truffe e come la gente ci caschi senza farsi due domande
Credo che una truffa del genere possa essere effettuata non solo tramite Facebook ma tramite altri social e magari anche attraverso la posta elettronica.
Però anche la storia mi sembra un po' improbabile. I miei amici hanno già il numero telefonico, se dovesse succedere qualcosa alla loro rubrica sarei direttamente io a telefonare.
Se non ha già il mio numero magari si tratta di un semplice conoscente e, di solito, uno sta più attento verso chi non si conosce bene.
Metti uno acceda ad un account di un mio amico o al mio. Poi che fa, manda il messaggio a tutti? Oppure ne sceglie qualcuno? Ma se manda il messaggio a tutti magari qualcuno si insospettisce, siamo in un social.
La dinamica della truffa perciò mi sembra strana.
Da quanto leggo nell'articolo di Tio non si tratta di un furto di account, ma di un account clonato. Più difficile da prevenire per il possessore dell'account, ma più facile per le vittime capire che non si tratta del proprio amico/amico/conoscente/parente. Per prevenire la dinamica di questo tipo di truffa l'account di facebook dovrebbe essere impostato in modo tale da impedire la visione della lista amici, della foto profilo e di tutti gli altri dati personali a chiunque. Quantomeno questo dovrebbe diminuire la possibilità che l'account venga clonato (che è diverso dal farsi rubare l'account).
La domanda mi sorge spontanea: ma ancora qualcuno crede a queste panzane ? Qualcuno ancora risponde a mail o messaggi di questo tipo con richieste di numeri e dati personali ? boh....
"“Mi mandi il tuo numero di telefono? Serve per un concorso”

Unica risposta che una persona dotata di intelletto non subnormale dovrebbe dare a questa richiesta:

.....Tu vuoi COSA? E per fare CHE? (cit.)

Grizzly,

in effetti potrebbe anche trattarsi di semplice clonazione. Ho aggiornato l'articolo per tenerne conto. Grazie!
Max de Poli: oppure nel caso più semplice, se la richiesta arriva da un amico, si dovrebbe rispondere "ma ce l'hai già!"

Max senza cognome: finché non si decideranno a istituire una patente per avere una connessione a internet/smartphone/tablet/computer, in modo da "bocciare" tutti gli analfabeti funzionali finché non si decidono a imparare almeno le basi di come funzionano queste cose, sì, la gente che casca alle truffe banali ci sarà sempre.
Per rob.
In effetti il link di Sunrise non e' per nulla esplicativo.
In realta' e' abbastanza facile. Fai il login su MySunrise con le tue credenziali e seleziona l'abbonamento (o gli abbonamenti) su cui vuoi disavilitare il Setivizio pre-pay. Una volta selezionato nell'abbonamento vai nella sezione "blocchi" e li' puoi bloccare vari servizi (Prepay, SMS a valore aggiunto) e altro.
Attenzione che le modifiche non sono immediate; di solito richiedono qualche ora prima che siano effettive.
Comunque la protezione che offre Sunrise per questo servizio e' abbastanza debole: mi sembra che per acquistare un codice Itunes (valido su qualunque account dello Shop svizzero) basti il nr. di telefobo ed il codice che viene inviato successivamente: in teoria basterebbe avere fisicamente accesso anche per pochi istanti ad un telefono di cui si conosca il numero.
In ogni caso, qui il problema sta in questa pessima mania di pensare che basti comunicare un codice di quattro cifre per confermare di essere il proprietario di un certo numero e di una certa quantità di soldi. Esistono milioni di modi per soffiare un numero di questo tipo a qualcun altro, anche senza truffarlo via internet. Sunrise, shame on you!
Info utilissima, grazie!
Ma questo succede solo con Sunrise o può succedere anche con altri operatori, come Swisscom ?
Hanno copiato l'articolo
http://www.yourlifeupdated.net/web/perche-rubano-account-facebook-per-fare-le-truffe-come-questa/amp/
Luca,

grazie della segnalazione. Ho contestato qui e qui la forma ingannevole.