Podcast RSI - Emily Pellegrini, l’influencer virtuale che virtuale non era; deepfake per una truffa da 25 milioni di dollari

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

---

Benvenuti alla puntata del 16 agosto 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo, e questa settimana vi porto due storie, e due notizie, che sembrano scollegate e appartenenti a due mondi molto distanti, ma hanno in realtà in comune un aspetto molto importante.

La prima storia riguarda una delle più pubblicizzate influencer virtuali, Emily Pellegrini, annunciata dai giornali di mezzo mondo come un trionfo dell’intelligenza artificiale, così attraente e realistica che viene contattata da celebri calciatori che la vogliono incontrare a cena e da ricchi imprenditori che le offrono vacanze di lusso pur di conoscerla, credendo che sia una persona reale, e accumula centinaia di migliaia di follower su Instagram. Ma oggi tutte le immagini che l’avevano resa celebre sui social sono scomparse.

La seconda storia riguarda invece una truffa da 25 milioni di dollari ai danni di una multinazionale, messa a segno tramite una videoconferenza in cui il direttore finanziario sarebbe stato simulato dai criminali, in voce e in video e in tempo reale, usando anche qui l’intelligenza artificiale così bene da ingannare persino i suoi stessi dipendenti.

Ma non è l’intelligenza artificiale l’aspetto che accomuna queste storie. È qualcosa di ben poco artificiale e purtroppo molto umano.

[SIGLA di apertura]

Siamo a fine settembre del 2023. Un’eternità di tempo fa, per i ritmi dello sviluppo frenetico dell’intelligenza artificiale. Su un sito per adulti, Fanvue, e su Instagram iniziano a comparire le foto sexy di Emily Pellegrini [instagram.com/emilypellegrini], una modella di 23 anni che vive a Los Angeles e fa l’influencer. Ma si tratta di una influencer particolare, perché è generata con l’intelligenza artificiale, anche se nelle foto che pubblica sembra una persona in carne e ossa.

Una delle “foto” di Emily Pellegrini. Notate i grattacieli completamente deformati sullo sfondo e l’incoerenza delle linee della piattaforma sulla quale si trova la persona raffigurata, segni tipici di immagini generate maldestramente con software di intelligenza artificiale.

Sei settimane dopo, l’11 novembre, Emily Pellegrini ha già 81.000 follower su Instagram [New York Post]. Ai primi di gennaio ne ha 175.000 [Corriere del Ticino], a metà gennaio sono già 240.000 [NZZ], e ne parlano i media di tutto il mondo [Daily Mail, ripetutamente; Fortune, Dagospia, Repubblica, Stern, Welt.de, Radio Sampaio], dicendo che il suo aspetto procace e fotorealistico ha tratto in inganno molti uomini “ricchi, potenti e di successo”, dice per esempio il Daily Mail britannico, aggiungendo che su Instagram la contattano “persone veramente famose, come calciatori, miliardari, campioni di arti marziali miste e tennisti” che “credono che sia reale” e “la invitano a Dubai per incontrarla e mangiare nei migliori ristoranti”. Una delle celebrità sedotte da Emily Pellegrini, scrive sempre il Daily Mail, è un imprecisato conoscente di Cristiano Ronaldo; un altro è una star del calcio tedesco di cui non viene fatto il nome.

Andamento della popolarità della stringa di testo “Emily Pellegrini” da settembre 2023 a oggi, secondo Google Trends.

Moltissime testate in tutto il mondo riportano fedelmente questi dettagli e non perdono l’occasione di pubblicare molte foto delle grazie abbondanti dell’influencer virtuale, ma c’è un piccolo problema: tutte queste presunte conquiste di Emily Pellegrini sono riferite da una sola fonte, il suo creatore, che fra l’altro vuole restare anonimo, e sono descritte in modo estremamente vago: nessun nome, ma solo frasi come “uno dei volti famosi, di cui non viene fatto il nome e che l’ha contattata, a quanto pare conosce Cristiano Ronaldo” [“One unnamed famous face who contact [sic] her allegedly knew Cristiano Ronaldo, the creator claimed”]. 

Che senso ha precisare che questo anonimo fan conosce Cristiano Ronaldo? Non fornisce nessuna informazione reale. Però permette di citare un nome famoso e associarlo a questa influencer per farla brillare di luce riflessa nella mente del lettore, che magari è distratto perché l’occhio gli sta cadendo altrove.

Questo espediente autopromozionale funziona, perché Emily Pellegrini viene citata dai media di mezzo pianeta come l’influencer che “fa innamorare i vip”, come titola Il Mattino, o “ha fatto innamorare calciatori e vip di tutto il mondo”, come scrive Repubblica, per citare giusto qualche esempio italofono. Ma di questo innamoramento collettivo non c’è la minima conferma. Ci sono solo le dichiarazioni straordinariamente vaghe del suo creatore senza nome.

Questo anonimo creatore della influencer virtuale racconta anche di aver “lavorato 14-16 ore al giorno” per riuscire a creare il volto, il corpo e i video di Emily Pellegrini con l’intelligenza artificiale. Ma anche qui qualcosa non quadra, perché a fine gennaio 2024 emerge un dato: alcune delle immagini di Emily Pellegrini, soprattutto quelle più realistiche, sono realistiche non per qualche rara maestria nell’uso dei software di intelligenza artificiale, ma perché sono semplicemente foto e video di donne reali, come per esempio quelle della modella Ella Cervetto (www.instagram.com/ellacervetto/), sfruttate senza il loro consenso [Radio France; Abc.net.au, con esempi; Fanpage.it], sostituendo digitalmente il loro volto con un volto sintetico e tenendo tutto il resto del corpo intatto. In altre parole, un banale deepfake come tanti, fatto oltretutto a scrocco.

Le pose e le movenze così realistiche di Emily Pellegrini non sono generate dal software: sono prese di peso dai video reali di modelle reali. Una chiara violazione del copyright e uno sfruttamento spudorato del lavoro altrui.

---

Oggi il profilo Instagram di Emily Pellegrini [www.instagram.com/emilypellegrini] è praticamente vuoto. Tutte le foto sono scomparse. Restano solo 12 post, nei quali un uomo che si fa chiamare “Professor Ep” e dice di essere il creatore della modella virtuale – che in realtà tanto virtuale non era – propone un corso, naturalmente a pagamento, per insegnare agli altri a fare soldi creando modelle virtuali. Nessun accenno al fatto che l’insegnante ha usato i video e la fatica degli altri e ha adoperato  solo in parte l’intelligenza artificiale per guadagnare, dice lui, oltre un milione di dollari.

Lo stato attuale dell’account Instagram di Emily Pellegrini.

Fra l'altro, il corso del sedicente professore, che costava inizialmente mille dollari, ora è svenduto a circa duecento.

La pubblicità del corso promosso sull’account Instagram di Emily Pellegrini.

Lasciando da parte un momento i ragionevoli dubbi sull’etica e la competenza dimostrate fin qui dal Professor Ep, se per caso state pensando di lanciarvi anche voi nel settore immaginando di fare soldi facilmente in questa versione 2024 della febbre per il mining domestico delle criptovalute, beh, pensateci due volte.

I dati indicano infatti che fare soldi esclusivamente generando immagini di modelle virtuali è cosa assai rara. Ci sono alcune superstar del settore che guadagnano discretamente, ma il grosso degli aspiranti creatori e delle aspiranti creatrici fa la fame. Il mercato è saturo di gente che ci sta provando e fallendo.

Grazie ad alcune persone esperte del settore, ho constatato di persona che su piattaforme che promettono grandi guadagni tramite la vendita di immagini generate con l’intelligenza artificiale, come la piattaforma usata dal creatore di Emily Pellegrini, è sufficiente incassare trecento dollari nell’arco di un mese per trovarsi nel discutibile Olimpo del settore, ossia nella fascia del 10% dei creatori che guadagnano di più. Il restante 90%, in altre parole, guadagna di meno.

Gli incassi e il piazzamento di una influencer virtuale su Fanvue.

Molte influencer virtuali che nei mesi scorsi erano state segnalate dai media come le avanguardie emergenti di un nuovo fenomeno oggi non rendono visibile il numero dei like o dei follower, o addirittura questi dati vengono nascosti dalla piattaforma stessa, per non far vedere che non le sta seguendo praticamente nessuno e che i guadagni promessi sono solo un miraggio per molti.

Quelli che guadagnano davvero, invece, sono i fornitori dei servizi e dell’hardware necessario per generare queste immagini sintetiche, proprio come è avvenuto per le criptovalute. Quando si scatena una corsa all’oro, conviene sempre essere venditori di picconi.

Fonti aggiuntive e ulteriori dettagli:

• Celebrities And Millionaires Fall For Instagram Model Created By AI, Send Her Flirty Texts, BoredPanda.com (con citazione di un comunicato stampa di Fanvue che parla degli incassi: “A press release from Fanvue, a subscription social platform, said in an official statement: “The stunner, who shares her content with fans on content creator platform, Fanvue, has become an overnight sensation with her perfect smile and envious figure, earning nearly $10,000 in just six weeks on the content creator platform.”)
• 'AI pimps' and their fake influencers are mass-harvesting women's videos to peddle porn, Abc.net.au (include servizio TV di 9 minuti e video di confronto del furto di foto e video ai danni di Ella Cervetto e altre modelle, non solo da parte del creatore di Emily Pellegrini)
• AI influencers are making their secretive creators tens of thousands of dollars a month—now an OnlyFans rival is betting on the lucrative virtual girlfriends, Fortune.com (“Last November, the amount of money generated on Fanvue from AI models doubled from the month before. AI creators accounted for 15% of Fanvue’s total revenues that month. One of the biggest drivers of that increase was Emily Pellegrini, a 23-year-old influencer who posts adult content to her subscribers using deepfake technology. Fanvue says Pellegrini, one of the most popular AI models on its site, generated $23,000 in revenue in January, up from $6,000 in October”; cita anche Aitana Lopez e le relazioni parasociali)
• No, this AI model isn’t making €10,000 a month as a model: how an upstart conned dozens of gullible journalists, Medium.com (debunking dei presunti guadagni di Aitana Lopez e analisi di come la pseudonotizia del suo successo è diventata virale)

---

La seconda storia di questo podcast arriva da Hong Kong. Siamo a febbraio del 2024, e scoppia la notizia di una truffa da 25 milioni di dollari ai danni di una multinazionale, effettuata con la tecnica del deepfake, la stessa usata nella storia precedente con altri scopi.

Un operatore finanziario che lavora a Hong Kong si sarebbe fatto sottrarre questa ragguardevolissima cifra perché dei truffatori avrebbero creato una versione sintetica del suo direttore finanziario, che stava a Londra, e l’avrebbero usata per impersonare questo direttore durante una videoconferenza di gruppo, nella quale anche gli altri partecipanti, colleghi dell’operatore, sarebbero stati simulati sempre con l’intelligenza artificiale, perlomeno stando alle dichiarazioni attribuite alla polizia di Hong Kong [Rthk.hk, con video del portavoce della polizia, Baron Chan; The Register].

Dato che tutti i partecipanti alla videochiamata sembravano reali e avevano le sembianze di colleghi, quando l’operatore ha ricevuto l’ordine di effettuare quindici transazioni verso cinque conti bancari locali, per un totale appunto di 25 milioni di dollari, ha eseguito le istruzioni, e i soldi hanno preso il volo.

L’ipotesi che viene fatta dalla polizia è che i truffatori abbiano scaricato dei video dei vari colleghi e li abbiano usati per addestrare un’intelligenza artificiale ad aggiungere ai video una voce sintetica ma credibile. Il malcapitato operatore si sarebbe accorto del raggiro solo quando ha chiamato la sede centrale dell’azienda per un controllo.

La notizia viene accolta con un certo scetticismo da molti addetti alla sicurezza informatica. Già simulare un singolo volto e una singola voce in maniera perfettamente realistica è piuttosto impegnativo, figuriamoci simularne due, tre o più contemporaneamente. La potenza di calcolo necessaria sarebbe formidabile. Non c’è per caso qualche altra spiegazione a quello che è successo?

[The Standard presenta una ricostruzione un po’ diversa degli eventi: solo il direttore finanziario sarebbe stato simulato e gli altri quattro o sei partecipanti sarebbero stati reali. “An employee of a multinational company received a message from the scammer, who claimed to be the "Chief Financial Officer" of the London head office, asking to join an encrypted virtual meeting with four to six staffers. The victim recalled that the "CFO" spent most of the time giving investment instructions, asking him to transfer funds to different accounts, and ending the meeting in a hurry. He found that he was cheated after he made 15 transactions totaling HK$200 million to five local accounts within a week and reported to the police. It was discovered that the speech of the "CFO" was only a virtual video generated by the scammer through deepfake. Police said other employees of the same company were also instructed to attend the meeting.”]

Otto mesi dopo, cioè pochi giorni fa, un esperto di sicurezza, Brandon Kovacs, affascinato da quella truffa milionaria, ha dimostrato alla conferenza di hacking DEF CON che in realtà una videoconferenza nella quale tutti i partecipanti, tranne la vittima, sono in realtà delle simulazioni indistinguibili dagli originali è fattibile, ed è fattibile con apparecchiature piuttosto modeste e sicuramente alla portata economica di una banda di criminali che spera in un bottino di svariati milioni di dollari.

La parte più impegnativa di quest’impresa è procurarsi delle riprese video delle persone da simulare. Queste registrazioni servono per addestrare un’intelligenza artificiale su misura a generare un deepfake in tempo reale della persona specifica. Ma oggigiorno praticamente chiunque lavori in un’azienda ha ore e ore di riprese video che lo riguardano nel contesto ideale per addestrare un’intelligenza artificiale: le registrazioni delle videoconferenze di lavoro alle quali ha partecipato.

Kovacs ha messo alla prova quest’ipotesi: è possibile creare un clone video di qualcuno usando solo informazioni pubblicamente disponibili e software a sorgente aperto, cioè open source?

La risposta è sì: insieme a una collega, Alethe Denis, di cui aveva le registrazioni pubblicamente disponibili delle sue interviste, podcast e relazioni a conferenze pubbliche, ha addestrato un’intelligenza artificiale e si è procurato una fotocamera digitale reflex professionale, delle luci, una parrucca somigliante ai capelli della collega, un telo verde e del software, e ha usato il deepfake generato in tempo reale come segnale di ingresso del microfono e della telecamera per una sessione di Microsoft Teams, nella quale ha parlato con i figli della collega, spacciandosi per lei in voce e in video in diretta. I figli ci sono cascati completamente, e se un figlio non si accorge che sua mamma non è sua mamma, vuol dire che l’inganno è più che adeguato.

Creare un deepfake del genere, insomma, non è più un’impresa: il sito tecnico The Register nota che un software come DeepFaceLab, che permette di addestrare un modello per creare un deepfake di una persona specifica, è disponibile gratuitamente. Anche il software per l’addestramento della voce esiste in forma open source e gratuita: è il caso per esempio di RVC. E la scheda grafica sufficientemente potente da generare le immagini del volto simulato in tempo reale costa circa 1600 dollari.

In pratica, Kovacs ha creato un kit per deepfake pronto per l’uso [mini-demo su LinkedIn]. Un kit del genere moltiplicato per il numero dei partecipanti a una videoconferenza non è a buon mercato per noi comuni mortali, ma è sicuramente una spesa abbordabile per un gruppo di criminali se la speranza è usarlo per intascare illecitamente 25 milioni di dollari. E quindi l’ipotesi della polizia di Hong Kong è plausibile.

Non ci resta che seguire i consigli di questa stessa forza di polizia per prevenire questo nuovo tipo di attacco:

• primo, avvisare che esiste, perché molti utenti non immaginano nemmeno che sia possibile;
• secondo, non pensare che il numero dei partecipanti renda particolarmente difficile questo reato;
• e terzo, abituare e abituarsi a confermare sempre le identità delle persone che vediamo in video facendo loro delle domande di cui solo loro possono sapere la risposta.

E così la demolizione della realtà fatta dall’intelligenza artificiale prosegue inesorabile in entrambe queste storie: non possiamo più fidarci di nessuna immagine, né fissa né in movimento, ma possiamo fare affidamento su una costante umana che non varia nel tempo: la capacità e la passione universale di trovare il modo di usare qualunque tecnologia per imbrogliare il prossimo.

Fonte aggiuntiva: Lights, camera, AI! Real-time deepfakes coming to DEF CON, The Register. 

Svizzera, falso sito del quotidiano “La Regione” promuove truffa sugli investimenti usando il nome della Presidente della Confederazione

Un lettore, Marco, mi segnala il sito Inform24svi[zz].net (togliete le quadre se volete riottenere il nome originale del sito), che al momento in cui scrivo ospita questa imitazione truffaldina del quotidiano ticinese La Regione (il cui sito reale è Laregione.ch).

Screenshot dell’inizio del falso articolo.

Per i non svizzeri, Viola Amherd è la presidente di turno della Confederazione (il sistema elvetico è complicato) e quindi il suo nome è un richiamo molto forte e autorevole, ma qui viene usato abusivamente, come del resto viene abusato anche il nome della testata giornalistica.

Ovviamente non è vero che “i cittadini Svizzeri potranno ufficialmente andare in pensione a 45 anni”, come dice il titolo del falso articolo.

Lo scopo di questa falsificazione è promuovere una truffa basata su finti investimenti. L’articolo include infatti un modulo di iscrizione a un fantomatico “VortexValor” che promette a chi investe 250 franchi di “ricevere in media 3.000 CHF al mese sul proprio conto bancario. I profitti sono generati dal trasporto di gas e petrolio attraverso il nostro Paese verso altri Paesi. Come potete immaginare, veniamo pagati per questo. Lo ripeto ancora una volta. Non ci sono rischi, tutti gli investimenti possono essere restituiti in qualsiasi momento, il che è garantito dalla Banca Nazionale e dal nostro Ministero.” Ovviamente è tutto falso.

I malcapitati che abboccano a un’offerta troppo bella per essere vera come questa (ci sono sempre; lo so, perché mi contattano piangendo calde lacrime dopo aver “investito” migliaia di franchi) riceveranno una telefonata da un “manager” che li guiderà nel loro “investimento”. Traduzione: li spennerà facendo credere che stiano guadagnando montagne di soldi.

Il meccanismo di queste truffe è tipicamente questo: il “manager” crea un finto conto online di investimento per la vittima e incassa i primi 250 franchi. Il conto, consultabile via Internet dalla vittima, mostra quelli che sembrano essere rendimenti favolosi. È tutto finto: sono solo numeri su una pagina Web, generati dal software, ma sono presentati con una grafica curata e professionale.

Le vittime vengono sedotte da questi apparenti guadagni e, istigati dal “manager”, inviano altri soldi (reali) ai gestori della truffa con la speranza di guadagnare ancora di più. Ma, ripeto, è tutta una finzione.

La cosa che spiazza molte vittime è che se provano a prelevare i loro soldi da questi “conti”, li ricevono davvero, e questo aiuta a far sembrare serio e credibile l’intero meccanismo. Ma attenzione: i truffatori di solito non restituiscono mai più di quanto è stato versato. Ridanno alle vittime quello che hanno versato, ma mai di più. Se la vittima chiede di ricevere anche i presunti “guadagni”, il “manager” risponde con mille pretesti per rinviare o rifiutare la richiesta.

Il guadagno dei truffatori sta di solito nella mazzata finale: se vedono che la vittima è sedotta e investe soldi ma ne ritira anche una parte, gli propongono un affarone speciale, al quale bisogna aderire in fretta e che richiede un investimento ingente: 10.000 o più franchi, che (dice il finto manager) renderanno anche 100.000 franchi o più. La vittima, incantata dalla prospettiva di una cifra del genere, invia i soldi, chiede di prelevare almeno in parte i lauti guadagni... e a quel punto il “manager” scompare insieme ai soldi del malcapitato investitore.

Non inviate denaro a questi criminali; se ne avete inviato, consideratelo perduto per sempre. 

---

Se siete fra le vittime di questi imbroglioni, troncate ogni comunicazione con loro e fate una segnalazione (non una denuncia) alle vostre autorità di polizia. La polizia difficilmente potrà fare qualcosa per acciuffare i criminali o per ridarvi i vostri soldi, ma la segnalazione è importante perché se nessuno segnala questo genere di truffa le autorità non hanno idea di quanto sia diffusa, e senza dati e numeri sulla sua diffusione è difficile stanziare fondi o assegnare risorse al contrasto di questi reati.

Se avete dato ai truffatori numeri di carte di credito o coordinate bancarie, avvisate il vostro gestore o la vostra banca e vi dirà cosa fare. 

Se vi contatta qualcuno dicendo di essere un’autorità che è in grado di recuperare i vostri soldi, non credetegli: è un complice del truffatore, che vi chiederà altri soldi per “sbloccare” i vostri (inesistenti) guadagni. 

---

Se invece vi siete imbattuti in un sito-truffa di questo genere e volete segnalarlo alle autorità affinché venga bloccato, ci sono vari modi per farlo:

• Fare una segnalazione a Netcraft (https://report.netcraft.com/report)
• Fare una segnalazione a Google (https://safebrowsing.google.com/safebrowsing/report_phish/?hl=it)
• In Svizzera, fare una segnalazione all’Ufficio federale della cibersicurezza UFCS (https://www.report.ncsc.admin.ch/it/)

Un’altra cosa importante da fare è parlare in casa e agli amici di queste frodi, perché tutti abbiamo un amico o un parente particolarmente vulnerabile che potrebbe essere ingannato e tentato da questi criminali, che sanno essere convincenti.

*Podcast RSI - Frodi milionarie con numeri di telefono falsificati, in manette i fornitori: il caso Russian Coms

Questo articolo è stato migrato al nuovo blog Attivissimo.me. Eventuali aggiornamenti saranno pubblicati lì.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

---

[CLIP: Squillo di telefono]

Il vostro telefonino squilla all’improvviso. Sul suo schermo compare il numero della vostra banca. Rispondete, e una voce molto precisa e professionale vi informa, con il tono leggermente spassionato di chi ha detto queste stesse parole infinite volte, che è successo quello che temevate e che un po’ tutti temiamo. Dei criminali informatici hanno avuto accesso al vostro conto corrente.

Per fortuna la vostra banca ha bloccato il tentativo di frode e vi sta chiamando appunto per informarvi della situazione e per chiedervi di smettere di usare le vostre coordinate bancarie attuali e sostituirle con quelle nuove, che vi verranno dettate tra un momento. A voi non resta che trasferire il saldo del conto dalle coordinate attuali a quelle nuove, e tutto sarà a posto.

Ma come avete probabilmente intuito, la chiamata è una messinscena, il numero che compare sul vostro schermo è stato falsificato, la voce è quella alterata digitalmente di un criminale che finge di essere un funzionario antifrode, e le coordinate nuove servono per convincervi a trasferire volontariamente i vostri soldi su un conto controllato dal malvivente.

Fin qui niente di nuovo, ma questa non è la storia dell’ennesimo caso di frode bancaria informatica: è la storia di Russian Coms, un vero e proprio servizio commerciale di assistenza tecnica ai criminali, il cosiddetto crime as a service, che vendeva kit chiavi in mano per aspiranti truffatori e ha permesso di derubare centinaia di migliaia di persone in oltre cento paesi per un totale di svariate decine di milioni di dollari.

Dico “vendeva” perché Russian Coms è stato sgominato dalle forze dell’ordine, arrestando varie persone e soprattutto prendendo il controllo dei server sui quali i criminali gestivano i rapporti con la propria clientela, promettendo discrezione e riservatezza. Ma ora tutti i dati di quei rapporti sono nelle mani degli inquirenti, e sul canale Telegram di Russian Coms è comparso un avviso: “tutto è stato compromesso, non importa quale software stiate usando. Anche tutti gli altri fornitori sono stati compromessi”.

L’avviso sul canale Telegram di Russian Coms. Fonte: National Crime Agency.

In altre parole, si salvi chi può.

Questo fuggi fuggi generale è un’occasione rara per gettare luce sulla filiera del crimine informatico e sulle sue tecniche, per riconoscerle e difendersi meglio, ma anche per rispondere a un paio di curiosità che magari vi siete posti: ma dove vanno esattamente i criminali online a procurarsi i ferri del mestiere? Vanno nel dark web? Sono tutti esperti del fai da te informatico, dediti al male? E poi, perché è possibile falsificare il numero del chiamante?

Benvenuti alla puntata del 9 agosto 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

---

Questa storia inizia nel 2021, quando nasce un gruppo di criminali online che si fa chiamare Russian Coms anche se non ha nessun collegamento noto con la Federazione Russa. La sua specialità è offrire ad altri criminali servizi di caller ID spoofing, ossia di falsificazione del numero del chiamante. Servizi che fanno comparire sui telefonini delle persone chiamate un numero appartenente a una banca, a una compagnia telefonica o a una forza di polizia, per conquistare la fiducia di queste persone e aiutare così a carpirne i dati personali, le carte di credito e i soldi.

Russian Coms comincia offrendo ai propri clienti dei telefonini Android appositamente personalizzati, dotati di app finte che li fanno sembrare normali telefoni in caso di sequestro da parte della polizia, di VPN per rendere meno tracciabili le attività criminali per le quali vengono usati, e anche di una app di autodistruzione che cancella istantaneamente la memoria dello smartphone in caso di necessità. Successivamente offre anche lo stesso servizio tramite una web app.

Russian Coms propone contratti di sei mesi che costano circa 1300 euro in tutto, sono pagabili con criptovalute e vengono pubblicizzati su Snapchat, Instagram e Telegram, e su un normalissimo sito Web, Russiancoms.cm. Non provate a visitarlo adesso: non ci troverete nulla. Lo so perché ho provato io per voi.

Avete capito bene: niente dark web, ma tutto sfacciatamente alla luce del sole, sul Web normale, sui social network, come se niente fosse.

Le offerte di contratto sul sito Web di Russian Coms. Fonte: National Crime Agency.

Il servizio è completo e professionale: le chiamate sono cifrate, viene offerto un software che altera la voce in tempo reale, i costi delle telefonate internazionali sono inclusi nel canone, e naturalmente c’è un’assistenza clienti disponibile ventiquattr’ore su ventiquattro, sette giorni su sette. Un livello di customer care invidiabile, migliore di quello di tante aziende regolari.

Gli affari di Russian Coms vanno bene. I suoi clienti arrivano a saccheggiare conti correnti in ben 107 paesi, dagli Stati Uniti alla Norvegia, dalla Francia alle Bahamas. Fra il 2021 e il 2024, gli utenti paganti di Russian Coms effettuano milioni di chiamate a milioni di vittime, fingendo di rappresentare aziende di buona reputazione e facendosi dare soldi per merci mai consegnate, spacciandosi per banche per accedere ai conti correnti delle persone chiamate, e organizzando in alcuni casi il ritiro fisico, fatto di persona, di carte di debito e di credito con la scusa che andavano sostituite per motivi di sicurezza. Il sistema funziona. Nel Regno Unito, per esempio, il danno medio ammonta a oltre 9000 sterline (circa 10.000 euro o franchi) per ciascuna delle circa 170.000 vittime.

Ma a marzo 2024 le cose prendono una brutta piega per i membri di Russian Coms.

---

Dopo mesi di indagini, gli agenti della National Crime Agency britannica arrestano due uomini di 26 e 28 anni a Londra. Gli inquirenti ritengono che si tratti degli sviluppatori e degli amministratori del servizio.

Nei giorni successivi, il sito di Russian Coms viene disattivato, e il 12 aprile viene arrestato, sempre a Londra, un altro uomo che viene considerato uno degli addetti alla consegna di persona degli smartphone modificati. Pochi giorni fa è stato arrestato, sempre nel Regno Unito, uno dei clienti di Russian Coms, e inoltre l’Europol ha in corso altre operazioni analoghe in vari altri paesi.

Gli agenti britannici hanno reso pubblici i dettagli di questa vicenda il primo agosto scorso, pubblicando anche un video dell’irruzione e dell’arresto e una schermata tratta dal sito di Russian Coms che ne illustra il tariffario.

[rumore dell’irruzione]

Today, the NCA can reveal that they have shut down a platform used by hundreds of criminals to defraud victims across the world.

FULL STORY ➡️ https://t.co/XMtmrnhi3Q pic.twitter.com/toStq5jpRC

— National Crime Agency (NCA) (@NCA_UK) August 1, 2024

Sul canale Telegram di Russian Coms i messaggi dei criminali sono stati sostituiti da un avviso che informa la clientela, per così dire, che il servizio “è ora sotto il controllo delle forze dell’ordine internazionali” e annuncia che “La polizia verrà a trovarvi presto”, con tanto di emoji sorridente ma non troppo.

L’avviso sul canale Telegram di Russian Coms. Fonte: National Crime Agency.

La National Crime Agency sottolinea che anche se le tecnologie sofisticate e le tecniche professionali usate da gruppi come Russian Coms “promettono l’anonimato, a insaputa dei loro utenti criminali registrano e conservano i loro dati, e quindi è possibile identificare chi sono e come operano”.

Il fatto che i server dei fornitori del servizio siano stati acquisiti dalle forze dell’ordine implica un bottino ingentissimo di dati, e soprattutto di identità di vittime e truffatori, che fotografa l’intera organizzazione e la sua clientela con un dettaglio che si vede di rado. La polizia londinese ha dichiarato di aver svolto controlli incrociati su oltre 100.000 dati, compresi indirizzi IP, numeri di telefono e soprattutto nomi, per identificare i sospettati e rintracciare anche le loro vittime.

L’obiettivo di questo intervento e del suo annuncio al pubblico è minare in generale la fiducia dei malviventi in questi fornitori di servizi e quindi spezzare la filiera del crimine organizzato, ma è anche un’occasione per ricordare al pubblico alcune regole di cautela da adottare per non finire tra le vittime di questi professionisti dei reati digitali.

Se ricevete una chiamata inattesa di qualcuno che dice di rappresentare la vostra banca, un servizio finanziario, un corriere o qualunque ente ufficiale e vi mette sotto pressione chiedendovi di prendere una decisione immediata riguardante del denaro oppure vi chiede dati personali, riagganciate e chiamate subito il numero che trovate sul sito dell’ente o del servizio in questione o sul retro della vostra carta di credito o di debito. Nessuna azienda seria e nessun ente vi metterà mai fretta chiedendovi di prendere subito decisioni importanti per telefono.

---

Vicende come quella di Russian Coms rivelano che i criminali online non sono tutti esperti del settore, non sono tutti geni malvagi dell’informatica: sono molto spesso dei semplici consumatori opportunisti, a volte inetti, di tecnologie sviluppate da altri e comprate chiavi in mano, senza sapere nulla del loro funzionamento, e possono commettere questo tipo di reati solo perché trovano facilmente chi fornisce loro i grimaldelli informatici necessari.

C’è anche un altro aspetto messo in luce da questo successo delle forze di polizia contro il crimine online, ed è il fatto a prima vista assurdo che il sistema telefonico mondiale consenta di falsificare il numero del chiamante.

Se non ci fosse questa possibilità, i malviventi perderebbero un appiglio psicologico molto importante nel costruire la propria credibilità e nel conquistare la fiducia delle loro vittime, che non si aspettano che esista una funzione del genere e si fidano del numero che vedono sul proprio schermo. Ma allora perché gli operatori telefonici non cambiano le cose, visto che questa possibilità di falsificazione consente frodi da decine di milioni di dollari come quella di Russian Coms?

La risposta, poco intuitiva, è che in realtà ci sono dei casi legittimi nei quali chi chiama ha bisogno di far comparire un numero differente da quello effettivo, come per esempio un call center che effettua chiamate per conto di varie aziende, oppure una ditta che ha varie sedi ma vuole presentarsi ai clienti sempre con lo stesso numero per non creare confusione, e quindi le compagnie telefoniche devono lasciare aperta questa possibilità.

Tuttavia possono mettere delle regole, per cui per esempio il numero da visualizzare (il cosiddetto Presentation Number) non può appartenere a un paese differente da quello del numero effettivo (il cosiddetto Network Number). E infatti alcuni operatori telefonici lo fanno [lo spiega qui Ofcom per il Regno Unito]. Ma per tutta risposta, i criminali eludono questo filtro procurandosi numeri di telefono nazionali.

Per ogni difesa, insomma, i malviventi inventano un attacco che la scavalca dal punto di vista strettamente tecnico. Ma se si riesce a far salire il costo e la complessità di questo attacco, diventa meno conveniente effettuarlo e le persone capaci di compierlo e di procurarsi le risorse necessarie diventano meno numerose. E se la difesa adottata costringe per esempio gli aggressori a usare numeri di telefono del paese che vogliono colpire, quei criminali non possono più agire impunemente dall’estero ma devono risiedere localmente, e questo non solo complica la logistica di questi reati ma rende enormemente più semplici gli interventi di giustizia e di polizia, che non vengono più ostacolati dalla necessità di rogatorie e coordinamenti internazionali interforze.

Le soluzioni tecniche, dunque, ci sono [STIR/SHAKEN, CLI authentication, eccetera]; il problema è mettere d’accordo tutti gli operatori del mondo su quale soluzione adottare, coordinarli su questa adozione senza trovarsi con interi paesi bloccati per errore, e convincerli ad affrontare la spesa del cambiamento. Buona fortuna.

In attesa di quel momento, a noi utenti non resta altro che imparare a essere diffidenti su tutto, anche su un concetto in teoria elementare come il numero di telefono di chi ci chiama e ci compare sullo schermo.

Fonti:

• Spoofing: fai attenzione alle chiamate inattese, Swisscom.ch (2024)
• Ofcom UK Test New Way to Detect and Block Spoofed Numbers, ISPReview (2023)
• NCA shuts down major fraud platform responsible for 1.8 million scam calls, National Crime Agency (2024)
• UK authorities shut down scammer platform behind global fraud, Swissinfo.ch (2024)
• UK Nabs 2 Behind “Russian Coms” Scam, Platform Dismantled, OCCRP.org (2024)
• Police hunt scammers after takedown of Russian Coms fraud platform, Computer Weekly (2024)
• UK takes down major 'Russian Coms' caller ID spoofing platform, BleepingComputer (2024)
• UK crimebusters shut down global call-spoofing outfit that claimed 170K-plus victims, The Register (2024)
• Suspects in 'Russian Coms' spoofing service arrested in London, as NCA announces takedown, The Record (2024)
• Fake caller app shut after thieves duped thousands, BBC (2024)

Antibufala: la misteriosa “raccomandata elettronica” da TIM non è una truffa o un malware

Ultimo aggiornamento: 2024/05/04 13:05.

Se avete ricevuto una mail contenente un “Avviso di giacenza posta raccomandata” spedito da Tnotice.com etichettata “Per conto di TIM S.p.A.” e avete sospettato che si trattasse di una truffa o di un tentativo di attacco informatico, non siete i soli e non avete tutti i torti.

Già un mittente strano come Tnotice.com fa insospettire, ma il messaggio contiene anche gli errori dilettanteschi sono tipici delle mail dei truffatori:

• no replay al posto di no reply (nella mail)
• retire the message come traduzione maccheronica di ritira il messaggio (to retire significa “pensionare”)
• frequent ask questions al posto di frequently asked questions 
• informations, che persino uno studente al primo anno d’inglese sa che non ha il plurale (è un uncountable)

A chi ha confezionato e approvato questa roba andrebbe regalata una canna da pesca insieme a un prepensionamento anticipato in modo che non possa più fare altri danni.

Fra l’altro, questa “raccomandata elettronica” può essere ritirata da chiunque abbia la mail ricevuta: basta dare un numero di telefono qualsiasi per ricevere via SMS il codice di accesso.

Se volete sapere cosa contiene questa “raccomandata”, ecco il testo che ho ricevuto io: un paragrafo unico di burocratese stretto che parla di un possibile rimborso per la pratica delle bollette con periodicità di 28 giorni.

Oggetto: TIM Informa

Il Tribunale di Milano, Sezione Undicesima Civile, all’esito dell’azione ordinaria promossa da Associazione Movimento Consumatori, ha inibito a TELECOM ITALIA S.P.A. l’adozione, l’uso e gli effetti nei contratti di telefonia fissa (o di altri servizi offerti in abbinamento alla telefonia fissa) stipulati con i consumatori, di clausole che prevedono rinnovi e pagamenti su base temporale di 28 giorni/8 settimane. L’adozione e l’uso di tale periodicità, a far data dal 01.04.2017, ha leso e lede i diritti e gli interessi collettivi dei consumatori, previsti dall’art. 2 Codice del consumo (1: diritto ad un’adeguata informazione ed ad una corretta pubblicità; 2: diritto a pratiche commerciali improntate a principi di buona fede, correttezza e lealtà; 3: diritto alla correttezza, alla trasparenza ed all’equità nei rapporti contrattuali) con violazione anche dei contenuti informativi minimi e del principio di trasparenza, previsti a favore dei consumatori utenti di servizi telefonici dagli artt. 70 e 71 Codice delle comunicazioni elettroniche. Tale condotta si risolve altresì in una pratica commerciale scorretta ingannevole, vietata dall’art. 20 Codice del consumo, in quanto l’adozione di tale periodicità (28 giorni), diversa da quella d’uso, risulta contraria alla diligenza professionale ed è idonea a falsare in maniera apprezzabile il comportamento economico del consumatore medio, rendendo difficile la valutazione delle offerte ed il confronto tra le medesime, anche ai fini dell’esercizio della facoltà di recesso gratuito, prevista dalla legge in caso di mutamento unilaterale delle condizioni del servizio da parte dell’operatore telefonico. L’illegittimità della condotta sopra descritta comporta il diritto di ciascun consumatore che abbia subito, nell’ambito di un contratto di telefonia fissa (o di altri servizi offerti in abbinamento alla telefonia fissa), l’adozione della periodicità di fatturazione a 28 giorni/8 settimane, alla ripetizione delle somme indebitamente corrisposte.

Puoi effettuare la tua richiesta on line dalla Home Page del sito tim.it nella sezione «TIM Sempre al tuo fianco» compilando il modulo dedicato, indicando il seguente codice unico [omissis].

Podcast RSI - Story: Dietro le quinte delle truffe sugli investimenti in criptovalute

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

---

[CLIP: voce di donna complice dei truffatori che parla con una delle vittime: “Nice to see you, I will message on WhatsApp, OK?”]

Pig butchering: letteralmente, “macellazione del maiale”. È il nome spietato che viene usato dai criminali informatici per indicare un particolare tipo di truffa online basata su un misto di belle ragazze, criptovalute, false app e soprattutto call center organizzatissimi dove lavorano migliaia di persone. Se siete stati contattati da qualcuno che vi offre metodi rapidi per fare soldi con Bitcoin e simili e avete cominciato a fidarvi perché vi sono davvero arrivati dei soldi sul vostro conto corrente, fate attenzione: è quasi sicuramente una truffa.

Questa è la storia di un caso concreto di pig butchering, portato alla luce da un esperto del settore, che mostra l’incredibile sofisticazione raggiunta da queste bande criminali organizzate e rivela dove si trovano le loro sedi operative e le tecniche usate per ingannare le vittime.

Benvenuti alla puntata del 22 marzo 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo: un po’ giù di voce, come potete sentire.

[SIGLA di apertura]

Lo schema della truffa

Da alcuni anni su Internet è facile imbattersi in una truffa che è particolarmente crudele già a partire dal suo nome: viene chiamata pig butchering, ossia “macellazione del maiale”, perché è così che i criminali vedono le proprie vittime. I truffatori selezionano i propri bersagli usando le informazioni che trovano sui social network: età, situazione sentimentale, foto. Scelgono le persone che non hanno un partner e che mostrano nelle fotografie sui social un’età adulta e suggeriscono una certa disponibilità economica significativa perché mostrano per esempio la loro auto, il loro abbigliamento o le immagini dei loro viaggi.

Una volta scelta la vittima, i criminali la circuiscono con il metodo ormai tristemente classico del romance scam o truffa sentimentale: si presentano come uomini o donne molto attraenti, intrecciano una lunga relazione a base di messaggi e foto, senza chiedere nulla di insolito, diventano conoscenti di lunga data e si conquistano la fiducia del bersaglio con parole affettuose e una presenza costante e piacevole.

L’inganno scatta solo dopo settimane o anche mesi di corteggiamento, ma a differenza della truffa classica, nella quale il criminale finge di avere bisogno di soldi temporaneamente per tirarsi fuori da un guaio burocratico o di salute, nel pig butchering non c’è nessuna richiesta di denaro, almeno inizialmente, e questo fa abbassare ancora di più le difese psicologiche delle vittime.

A un certo punto il truffatore, ormai diventato uno di famiglia per la sua vittima, “rivela” a quella vittima di aver fatto un ottimo investimento in criptovalute e le propone di fare altrettanto, dandole tutte le istruzioni necessarie su come versare i soldi per aprire un conto. Ma l’investimento non esiste, il conto è una finzione gestita dal truffatore o da suoi complici, e i soldi investiti dalla vittima non verranno mai restituiti integralmente.

Fin qui lo schema è abbastanza noto, anche se c’è sempre qualcuno che non lo conosce e ci casca perdendo somme ingenti, a giudicare dalle telefonate e dalle mail che mi arrivano continuamente: ma grazie all’esperto di truffe informatiche Jim Browning possiamo andare oltre questo schema astratto e vedere concretamente dove e come lavorano questi criminali.

Dentro la sede dei criminali

Browning ha infatti pubblicato su Youtube un’inchiesta in cui mostra come funziona in dettaglio questa truffa, con immagini girate all’interno degli edifici dove lavorano migliaia di persone che passano la giornata a cercare online vittime da sedurre e derubare in tutto il mondo.

Se vi siete mai chiesti come facciano le persone a cadere in queste trappole, la ragione principale è che sono costruite in maniera estremamente professionale, assumendo persino delle modelle in carne e ossa per fare le conversazioni online con le vittime.

Nel caso descritto da Browning, la sede dei criminali è un grande complesso di edifici ad alcuni chilometri dal centro di Dubai, negli Emirati Arabi Uniti. Otto palazzine di otto piani occupate in buona parte da un esercito di imbroglioni, così numeroso che è stato necessario installare un’antenna cellulare mobile apposita per gestire tutto il loro traffico telefonico. Browning indica l’indirizzo preciso, perché tanto sa benissimo che entro pochi giorni questi professionisti del crimine avranno già traslocato altrove.

Questi edifici sono pieni di postazioni dotate di computer, sui quali sono installate le app di vari siti di incontri per persone in cerca di compagnia. È questo il serbatoio iniziale dal quale i truffatori pescano le proprie vittime, usando delle VPN per fingere di essere in un paese insospettabile e così eludere i controlli dei gestori di questi siti di incontri.

Il copione di chi lavora a queste postazioni è sempre lo stesso: fingere di essere una persona facoltosa e attraente che ha uno stile di vita molto dispendioso, esibito tramite foto e video eloquenti. I gestori della truffa gli affidano un personaggio preciso e dettagliato e gli forniscono un software che traccia altrettanto dettagliatamente l'andamento di ciascun tentativo di raggiro.

Dopo aver agganciato la vittima su un sito di incontri, facendo per esempio con lui o con lei delle chat romantiche o erotiche, il criminale cerca sempre di portare la conversazione fuori da questi siti, che sono monitorati contro le truffe, e invita a proseguirla su WhatsApp o su Telegram, dove non c’è nessuna salvaguardia.

La conversazione prosegue in maniera inizialmente innocente, con un po’ di chiacchiere per presentarsi e magari qualche foto di qualche piatto consumato in un ristorante costoso ed esotico. Il truffatore dice di lavorare nel settore della finanza, e a un certo punto si offre di condividere alcuni dei suoi trucchi per fare soldi. Un’offerta molto generosa da fare a un perfetto sconosciuto, e questo dovrebbe insospettire, ma l’inganno è costruito così bene che il sospetto passa in fretta.

I truffatori, spiega Browning, adoperano un’app chiamata Hello World Pro, che è capace di gestire varie sessioni Telegram e WhatsApp contemporaneamente e traduce la conversazione dall’inglese, che è la lingua solitamente parlata dal criminale, verso la lingua della vittima. C’è anche un gruppo Telegram usato da tutti i truffatori della banda per comunicare con i propri capi e i propri colleghi.

Gli operatori di questi call center professionalissimi sono in molti casi dei migranti, che vengono sfruttati dai gestori, che sono cinesi. I contratti sono in inglese e cinese; tutti i computer sono impostati in cinese e anche le reti Wi-Fi usate nei call center hanno nomi cinesi. Gli operatori lavorano e vivono come schiavi e i loro datori di lavoro sequestrano i loro passaporti.

Le dimensioni di questa organizzazione, una delle tante del suo genere, sono impressionanti. Browning riesce a procurarsi la planimetria degli edifici in cui si svolge la truffa e nota che ci sono oltre cinquanta stanze per piano, ciascuna stanza è occupata da quattro operatori, e ci sono otto piani per ciascuno dei quattro edifici coinvolti. Probabilmente qui lavorano oltre mille persone, reclutate tramite il passaparola dicendo che si tratta di un lavoro di marketing regolare.

Solo dopo che il lavoratore firma il contratto e inizia a lavorare si rende conto che si tratta di una truffa, con tanto di copione dettagliato di una quindicina di pagine, che si articola su vari giorni, fatto apposta per conquistare man mano la fiducia della vittima. Gli operatori vengono pagati a commissione: se non riescono a reclutare vittime non prendono soldi e vengono licenziati e rimpiazzati da altri disperati in cerca di lavoro.

Tutta questa organizzazione, però, serve solo per gestire il primo livello della truffa, perché la trappola è ancora più complessa.

Trappola professionale

Per riuscire a convincere una persona ad affidare a uno sconosciuto i propri soldi, magari i risparmi di una vita, è necessario costruire una situazione di fiducia, e per farlo i gestori della truffa assumono anche modelle in carne e ossa, donne attraenti reali, e organizzano videochiamate fra queste donne e le vittime, guidandole anche qui con un copione, per far vedere che la persona con la quale le vittime stanno chattando esiste veramente.

[CLIP: voce di donna complice dei truffatori che parla in videochiamata in diretta con una delle vittime: “Nice to see you, I will message on WhatsApp, OK? OK, thank you, bye bye, gracias”]

Browning riesce anche a mostrare una di queste modelle grazie a delle riprese effettuate da un lavoratore pentito.

[CLIP: voce di donna che parla in inglese a un interlocutore nel call center]

Lei dice senza troppi giri di parole che le sue uniche alternative erano fare la escort o fare video per le piattaforme di pornografia e siccome non voleva che la sua famiglia la vedesse su un sito a luci rosse ha scelto questa carriera. E così si presta a conquistare la fiducia di gente che, grazie a lei, perderà tutti i propri soldi.

Nella fase successiva del raggiro, la modella invita la vittima a iscriversi a un servizio legittimo di compravendita di criptovalute, come per esempio Binance. I gestori della truffa le mettono a disposizione screenshot già pronti, con freccine esplicative chiarissime, per spiegare alle vittime esattamente come procedere. È tutto molto, molto professionale e rassicurante.

È solo a questo punto che scatta la trappola vera e propria. Browning spiega che i truffatori chiedono alla vittima di scaricare un’app di compravendita di criptovalute, che è accompagnata da precisi video tutorial su YouTube che spiegano come usarla e da recensioni che ne confermano in apparenza la bontà e affidabilità totale. Ma l’app, i tutorial e le recensioni sono tutte parte della finzione: i gestori si intascano subito i soldi investiti dalla vittima e non fanno altro che mostrare un saldo fittizio sullo schermo del telefonino.

Fra l’altro, molti di questi truffatori invitano le vittime a reclutare altre persone, in un classico schema a piramide, col risultato che può capitare che la proposta di iscriversi a questo raggiro ci arrivi da un amico di cui ci fidiamo e che è caduto nella trappola. Attenzione, quindi, anche agli amici che ci promettono rendimenti mirabolanti.

Un altro modo usato dai truffatori per rendersi credibili è restituire alle vittime una parte del denaro che hanno investito. Sì, i soldi arrivano davvero, e vanno veramente sul conto della vittima presso una banca regolare. Ma non sono mai tutti quelli affidati ai criminali.

Ci possono essere molte variazioni a questo schema generale, ma il principio di fondo è che una persona molto attraente, solitamente una giovane donna, vi contatta su WhatsApp o in un sito di incontri e dopo un po’ vi incoraggia a investire i vostri soldi in qualche affare online che probabilmente non avete mai sentito nominare. Se lo fate e poi cercate di farvi ridare il vostro denaro, salterà fuori che il bonifico è in attesa di approvazione o ci sarà qualche altra scusa, e non rivedrete mai tutti i soldi che avete inviato.

Se vi riconoscete in questa descrizione, troncate i rapporti con i truffatori, e non mandate loro altri soldi sperando che vi ridiano quelli già dati: sono persi. Segnalate la vicenda alla polizia, che ne ha bisogno a fini statistici, e non fidatevi di sedicenti società di recupero di criptovalute che vi contatteranno promettendo di farvi riavere i vostri risparmi se solo anticipate le spese: sono complici dei truffatori. E se conoscete qualcuno che si trova in questa situazione, avvisatelo che è caduto in una trappola estremamente professionale, e preparatevi al fatto che non vi crederà.

Vista la provenienza specifica dei capibanda, è proprio il caso di dire che si tratta di uno schema crudelissimo a scatole cinesi, in cui l’unico modo per vincere è non partecipare. Fate attenzione, e mettete in guardia amici e colleghi.

Podcast RSI - Cronaca di una truffa online “made in Switzerland”

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

2023/09/12: La RSI ha disabilitato gli embed e quindi quelli presenti nei miei articoli hanno smesso di funzionare. Li sto togliendo man mano, sostituendoli con i link diretti; portate pazienza.

---

[CLIP: Raffica di suoni di notifica di WhatsApp su iPhone]

Il truffatore mi sta tempestando di messaggi su WhatsApp. Ovviamente non sa che sta conversando con me: crede di avere a che fare con una delle sue vittime. Vittime che hanno perso decine di migliaia di dollari o euro, o franchi svizzeri nel caso che sto per raccontarvi, in un raggiro che parte da un’offerta di lavoro online e ha una particolarità che lo distingue dalle truffe online abituali: i criminali operano all’interno dello stesso paese in cui risiedono le loro vittime.

Di solito, invece, c’è di mezzo una frontiera, in modo da complicare le indagini, ma nel caso tuttora in corso che mi è stato segnalato tutto avviene in Svizzera, e per incompetenza o spavalderia i truffatori usano numeri di telefono locali, di cui è facile identificare i titolari. È una tecnica di inganno ben strutturata, che è meglio conoscere e far conoscere per evitare di finire nella sua complessa e costosa ragnatela.

Benvenuti alla puntata dell’8 settembre 2023 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Tutta la vicenda prende il via alla fine di agosto 2023. Trattandosi di una storia che ha anche dei risvolti legali ancora aperti, nel raccontarla cambierò i nomi delle persone e di alcuni dei luoghi e siti coinvolti, lasciando comunque intatta la sostanza della tecnica della truffa.

[per la stessa ragione non posso pubblicare il nome del sito truffaldino e dell’agenzia]

La vittima, che chiamerò Mario e risiede in Svizzera, viene contattata su WhatsApp da una persona che si presenta come rappresentante di un’agenzia che gli offre un lavoro: una situazione frequente e assolutamente normale, soprattutto per una persona come Mario, che come tante altre ha un profilo professionale pubblico su LinkedIn proprio per ricevere offerte lavorative. L’agenzia, fra l’altro, è piuttosto ben conosciuta, e nei siti antitruffa come Scamadviser o Trustpilot gode di ottima reputazione fra le aziende che si occupano di recensire prodotti.

Il lavoro proposto consiste nell’aiutare altre aziende a migliorare i risultati di vendita facendo compravendite di prodotti in cambio di una provvigione. Per rassicurare Mario, l’agenzia gli propone di aprire un account di prova per una settimana e gli affianca una persona che non solo lo guida e lo assiste, ma deposita anche sull’account del denaro dell’agenzia, da usare per le compravendite. Mario esegue diligentemente i compiti che gli vengono assegnati e alla fine del periodo di prova risulta che ha guadagnato quasi mille dollari di provvigioni. Tutto si svolge online, sul sito dell’agenzia, che per ovvie ragioni non posso nominare qui, e via WhatsApp.

Mario vede che il meccanismo funziona e quindi apre un account effettivo, sul quale carica una piccola cifra in criptovaluta, che ogni sera gli viene effettivamente restituita, insieme alle provvigioni guadagnate, depositandola sul suo conto presso Binance.com, che è estranea al raggiro.

Fino a questo punto, insomma, Mario ha incassato più di quanto abbia investito. I suoi soldi sono rientrati sul suo conto Binance: non sono numeri fittizi di un conto altrettanto fittizio sul sito dei criminali, come avviene spesso. E su WhatsApp entra in contatto con altri collaboratori dell’agenzia, che è un nome di spicco nel suo settore, e tutti sono molto contenti dei guadagni che stanno ottenendo. Sono pareri rassicuranti, resi ancora più credibili dal fatto che i numeri di telefono visibili su WhatsApp di queste persone sono nazionali: hanno il prefisso locale 022, che corrisponde a Ginevra, non a qualche nazione lontana.

Ma se gli incassi di Mario sono maggiori dei suoi investimenti, allora dove sta la truffa?

La truffa del “retail rating boost”

I truffatori hanno costruito attentamente la propria trappola. In realtà non rappresentano affatto una nota agenzia affidabile, ma hanno creato un sito falso che replica il nome e la grafica di quell’agenzia e lo hanno reso quasi invisibile ai principali motori di ricerca per non attirare attenzioni indesiderate.

Vanno in giro su siti come LinkedIn e guardano i profili delle persone in cerca di lavoro, selezionando quelle che hanno maggiori probabilità di diventare vittime, in base alla situazione lavorativa, all’età e ad altri fattori. Da quei profili estraggono i numeri di telefono e poi contattano le persone via WhatsApp.

Se la persona contattata accetta la proposta e apre un account presso il sito dei truffatori, i criminali inizialmente la mettono a proprio agio e le fanno fare piccole compravendite che hanno successo [questo tipo di truffa viene a volte chiamato retail rating boost scam o boosting sales scam]. Come ulteriore rassicurazione, fanno fare alla vittima anche un certo guadagno. Tutto sembra andare per il meglio, e anzi arriva la grande occasione: una compravendita molto importante, che promette provvigioni altrettanto importanti.

Alla vittima viene quindi chiesto di procedere come al solito, ossia anticipando la cifra, qualche migliaio di dollari, e poi arriva un’occasione ancora più grande, per la quale va versato un altro anticipo, cosa che le vittime fanno spesso, perché hanno visto che il sistema funziona e le provvigioni promesse sono arrivate. È a questo punto che scatta la trappola: i criminali continuano a rilanciare, offrendo compravendite sempre più impegnative, finché la vittima non ha più soldi da inviare.

A quel punto i soldi inviati, decine di migliaia di dollari, euro o franchi, non tornano più indietro, e se la vittima contesta, i truffatori rispondono accusandola di non aver rispettato le regole del contratto, che prevedono un numero minimo di transazioni prima che vengano erogate le provvigioni. In realtà sono tutte scuse, il “contratto” è carta straccia e i criminali non hanno la minima intenzione di restituire il maltolto.

Il “contratto” (l’ho reso intenzionalmente illeggibile per non identificare il sito; l’importante è la sua brevità, decisamente sospetta).

A Mario è andata esattamente così: ha eseguito gli acquisti iniziali come richiesto, e tutto è andato liscio. Ma poi gli è arrivato un cosiddetto “package”, una serie di tre acquisti di importo superiore a quello presente sul suo account ma con provvigioni promesse molto elevate. Ha versato qualche migliaio di dollari in criptovaluta per colmare la differenza e ha completato le prime due transazioni. Poi ne è arrivata un’altra, che richiedeva circa diecimila dollari di versamento, li ha racimolati e li ha inviati. Ma a quel punto è arrivato un altro “package”, che avrebbe richiesto un anticipo di altri quindicimila; Mario ha protestato e i truffatori gli hanno risposto che senza questo ulteriore versamento non avrebbe ricevuto le sue spettanze, come previsto dal contratto.

Mario non ha più rivisto il proprio denaro e ha sporto denuncia alla polizia, raccontando tutti i dettagli della vicenda, che poi ha raccontato a me, sperando che la storia di quello che è successo a lui possa essere di aiuto, e di monito, a qualcun altro.

In chat con i truffatori

Quello che colpisce in questa truffa, oltre al danno economico ingente subìto dalla vittima, è l’uso di numeri di telefono nazionali, ai quali corrispondono persone reali, non bot. Me ne sono accorto perché esaminando il codice HTML pubblico del sito dei truffatori ho trovato il link al loro “servizio clienti”, che in teoria sarebbe appunto accessibile solo a chi ha un account, ossia alle vittime, e ho iniziato una conversazione via WhatsApp con uno degli “agenti” del sito truffaldino, che ha dato risposte decisamente umane e non preprogrammate alle mie domande, intenzionalmente molto differenti da quelle gestibili da un eventuale sistema automatico.

Queste persone reali, con numeri di telefono di rete fissa nella zona di Ginevra, sono tutte complici? Oppure nel gruppo WhatsApp dei collaboratori ci sono anche altre vittime che ancora non si sono accorte di essere finite in una truffa? Lo appureranno, si spera, le indagini delle autorità, che non dovrebbero avere particolari difficoltà a rintracciare gli intestatari di quei numeri. Se non altro, qui non c’è l’ostacolo abituale di doversi rivolgere a forze di polizia di altri paesi.

Nel frattempo, ho segnalato il nome del sito dei truffatori a Google, a Microsoft e ad altri servizi di protezione degli utenti, come Netcraft e Antiphishing.ch, in modo che chi usa Chrome, Firefox, Edge e altri browser riceva automaticamente un vistoso avviso se cerca di collegarsi a quel sito.

Poche ore dopo la mia segnalazione, il sito dei truffatori è stato etichettato da Google come pericoloso e ora mostra questa schermata a chi usa Google Chrome e i vari servizi di protezione che si appoggiano a Google. La voce si è sparsa in fretta.

Ho poi contattato il registrar, ossia la società che gestisce il nome di dominio usato dai truffatori, per avvisarla della situazione. I criminali probabilmente riapriranno un altro sito entro pochi giorni, ma nel frattempo qualche vittima, forse, avrà evitato la trappola.

[aggiornamento: guardando l’HTML del sito dei truffatori ho anche trovato un link a un servizio di chat commerciale, contenente quello che sembrava un identificativo numero di cliente. Ho contattato i gestori del servizio di chat, spiegando la situazione, e hanno detto che si tratta effettivamente di un ID di un ex cliente, di cui hanno ancora i dati; hanno aggiunto che sono disposti a fornire tutti i dati dell’ex cliente dietro richiesta formale delle autorità]

[altro aggiornamento (2023/09/08 14:40): i criminali hanno riaperto con un altro nome di dominio. Ho segnalato anche quello]

Sono piccoli gesti di contrasto che ogni utente di Internet può fare e che collettivamente rendono un po’ più difficile la vita ai criminali. Trovate i link per fare queste segnalazioni presso Disinformatico.info.

Ma c’è anche un altro gesto di contrasto utile che chiunque può fare: raccontare agli amici, ai familiari e ai colleghi truffe come questa, come raccomanda anche il sito della Prevenzione Svizzera della Criminalità, per mettere in guardia chi potrebbe incapparvi perché comprensibilmente fa fatica a immaginare che ci possano essere criminali dall’aria così rispettabile, così premurosi e pazienti, con numeri di telefono nazionali e addirittura disposti a dare dei soldi inizialmente alla vittima per poi rubargliene molti di più in seguito. E non c’è da vergognarsi o da sentirsi stupidi: questi truffatori sono professionisti e sanno esattamente come mettere sotto pressione le persone e approfittare della loro fiducia.

E non hanno pietà: mentre registro questo podcast, stanno ancora tormentando Mario dicendogli che i suoi soldi sono ancora lì, e che se li rivuole deve racimolare altri soldi da versare per completare il contratto, facendo se necessario una colletta fra amici e parenti o chiedendoli anche a uno strozzino. Quando Mario li ha avvisati che si sarebbe rivolto alla polizia, hanno risposto che questo avrebbe violato la clausola di confidenzialità del contratto e hanno minacciato di citare lui, la vittima, in giudizio.

In attesa di un intervento delle autorità, si può solo fare prevenzione. Se un’offerta online sembra un po’ troppo remunerativa, se non richiede competenze professionali specifiche, e soprattutto se esige che il lavoratore paghi il presunto datore di lavoro invece del contrario, è fondamentale mantenere i nervi saldi e non cedere alla pressione psicologica e alla speranza di aver trovato la soluzione per i propri problemi finanziari o lavorativi. Tutte cose facili da dire quando si esaminano queste situazioni dall’esterno, ma molto meno facili da fare quando ci si è in mezzo, e l’emozione è un macigno. Siate prudenti.

Bitdefender spiega cosa c’è dietro l’assurdo spam degli Illuminati

Ultimo aggiornamento: 2023/06/08 00:40. Questo articolo è disponibile anche in versione podcast.

Avete ricevuto anche voi messaggi da sedicenti rappresentanti degli Illuminati, che vi invitano a far parte della loro congrega segreta di controllo del mondo e vi promettono in cambio “potere, fama e gloria”? Se vi è capitato, probabilmente li avete cestinati immediatamente come spam, come ho fatto anch’io, e magari avete pensato “ma chi vuoi che abbocchi a una cosa così palesemente assurda?” e sareste curiosi di sapere esattamente cosa succede a chi risponde a questi deliri cospirazionisti.

Gli esperti di sicurezza informatica della società specializzata Bitdefender hanno avuto la stessa curiosità: anche loro hanno ricevuto molte segnalazioni di mail di questo genere ai primi di maggio e quindi hanno deciso di indagare, contattando questi presunti membri degli Illuminati. Il risultato delle loro ricerche è piuttosto inaspettato e rivela il movente di questa nuova campagna di spam.

In un articolo pubblicato pochi giorni fa [in inglese ma disponibile anche in italiano], i ricercatori hanno documentato la vastità di questa attività truffaldina, notando che le mail di presunto invito erano rivolte principalmente a utenti degli Stati Uniti (nel 62% dei casi), Australia (11%), Regno Unito e Germania (7%), ma anche Sudafrica, Irlanda, Repubblica Ceca e Slovacchia e in misura minore Danimarca, Austria, Svizzera, Croazia, Spagna e Italia. Questo non vuol dire che i truffatori pensino che gli utenti più allocchi siano in questi paesi; più probabilmente, visto che la campagna è prevalentemente condotta in inglese, i criminali hanno scelto paesi nei quali la conoscenza dell’inglese è più diffusa.

Queste mail di invito, secondo i ricercatori di Bitdefender, arrivano principalmente dalla Nigeria (nel 40% dei casi), dal Sudafrica (16%), dagli Stati Uniti (14%), dai Paesi Bassi (13%), dall’Argentina e dal Brasile in misura nettamente minore (5% ciascuno).

Le mail di invito a far parte degli Illuminati sono un classico di Internet, ma quando i ricercatori hanno risposto a questi messaggi recenti hanno notato una novità nella tecnica usata dai truffatori: nell’invito c’è la proposta di contattare personalmente il sedicente “Gran Maestro” degli Illuminati tramite un numero di telefono, invece di farlo via mail come consueto. È un approccio decisamente più personale e coinvolgente.

Per esempio, una di queste mail truffaldine diceva (tradotta in italiano):

La invitiamo a unirsi all’organizzazione degli Illuminati per avere ricchezza, fama e influenza. Per maggiori dettagli contatti direttamente le informazioni seguenti. WhatsApp: +39 3[omissis]39.

Un numero con prefisso telefonico italiano.

Altre mail di invito avevano testi più ricchi di sfumature. Eccone una delle tante, tradotta anche questa in italiano:

Sulla base dei criteri di affiliazione degli Illuminati, noi riteniamo che lei sia di grande interesse e possieda buona padronanza della destrezza manuale e della competenza accademica. Pertanto la consideriamo come la classe che sarà la piattaforma per la quale avrà modo di incontrare le persone facoltose che possono portarla alla ricchezza, al potere, alla fama e alla gloria. Consiglio vivamente che lei si unisca a noi negli Illuminati. Unendosi a noi diventerà ricco e vivrà la vita che desidera. Accetta l’offerta? Se sì, aggiunga il gran maestro tramite WhatsApp +3069[omissis]19.

I ricercatori hanno deciso di contattare questi numeri, che erano stati usati per creare account Whatsapp Business negli Stati Uniti, in Italia e in Grecia, per vedere cosa sarebbe successo. Mi raccomando: non provateci. Gli esperti l’hanno fatto con tutte le precauzioni e protezioni che sanno usare, ma un utente comune rischierebbe di avere problemi già solo per aver dato il proprio numero di telefono a dei criminali professionisti. La cosa migliore da fare, se ricevete mail di questo tipo, è semplicemente cestinarle. Non contengono virus e non sono pericolose dal punto di vista informatico, neanche se le avete aperte per leggerle.

Gli specialisti di Bitdefender, dice il loro comunicato stampa, “sono riusciti a parlare con diversi individui“ [“tra cui un “LordshipMaster” dalla Grecia, un Gran Maestro negli Stati Uniti, che presumibilmente si fa chiamare Kurt, e Anthony, un altro reclutatore degli Illuminati che ha affermato di risiedere, attualmente, a Roma.”]

Le conversazioni si sono svolte tramite messaggi diretti su WhatsApp, principalmente in inglese [ma “è diventato chiaro che gli interlocutori non erano madrelingua” perché commettevano “diversi errori grammaticali” e usavano “espressioni non corrette”], attingendo a una serie standard di testi e anche video. Promettevano per esempio “stipendi mensili di 200.000 dollari e oltre, una nuova casa, appuntamenti con le più importanti celebrità, un talismano magico (che non può mai mancare) e l’accesso gratuito al Bohemian Grove – un club d’élite su invito.”

Veniva poi proposto di compilare un modulo di adesione decisamente surreale, con simbologie sataniste e timbri “Top secret” che solo una persona supremamente ingenua (o vulnerabile) potrebbe considerare plausibili:

Credit: Bitdefender.

Credit: Bitdefender.

Secondo i ricercatori, la trappola scatta a questo punto: il modulo chiede di fornire informazioni personali, e queste informazioni permettono ai truffatori di “commettere reati di furto d’identità”, perché i dati personali richiesti includono “nome e cognome, data di nascita, indirizzo, numero di telefono, occupazione, patrimonio, indirizzo email, stato civile, età e una foto recente”. Sorprendentemente, non viene fatta nessuna richiesta di denaro, come capita invece normalmente in questo genere di truffa. 

La tecnica di contatto personale usata da questi truffatori può sembrare decisamente laboriosa per ottenere dati che sarebbe possibile rastrellare facendo un cosiddetto scraping, ossia una campagna automatizzata di raccolta dei dati pubblicati volontariamente dagli utenti sui social network. Ma forse qui entra in gioco l’autoselezione delle vittime: i truffatori creerebbero apposta messaggi e modulistica sfacciatamente implausibili, in modo che rispondano soltanto le persone ingenue o fragili, che sono i bersagli più adatti da colpire e che non sapranno come gestire un furto di identità o un reato commesso usando i loro dati personali.

Ho contattato Bitdefender, che ha risposto che ci sono stati alcuni accenni che hanno fatto credere che ci fosse dell'altro dietro questo stratagemma. “In particolare” hanno detto “uno dei "grandi maestri" ha detto che la compilazione del modulo era una delle prime fasi del processo di reclutamento. Questo ci fa pensare” hanno dichiarato i ricercatori  “che dietro tutto il fumo e gli specchi, i truffatori vogliano sfruttare al massimo le vittime convincendole a inviare denaro per facilitare la loro iniziazione” [hanno aggiunto che “È molto probabile che i cosiddetti reclutatori chiedano ai loro obiettivi di trasferire fondi per l'acquisto di vari oggetti necessari per condurre un "rituale" o addirittura di pagare alcune quote di iscrizione come dimostrazione di fiducia e dedizione.”]

I ricercatori si sono anche un po’ divertiti: hanno scritto a uno dei truffatori, spiegando che avevano ricevuto anche un altro invito a far parte degli Illuminati e hanno chiesto al truffatore se conosceva il mittente di questa seconda proposta. Il primo truffatore ha risposto con parole involontariamente azzeccatissime:

Voglio che lei sappia che ci sono molti impostori ovunque su Internet che fingono di essere agenti ma non lo sono. Voglio che lei blocchi le loro mail e li ignori.

Una volta tanto, sono perfettamente d’accordo con il suggerimento del truffatore. Si tratta di raggiri crudeli, che vanno semplicemente eliminati come spam, cogliendo magari l’occasione per parlarne anche con colleghi, amici e familiari che potrebbero essere vulnerabili a questo tipo di lusinga.