Tutto è iniziato con una telefonata, come spesso accade nel caso delle truffe online.
La voce dall’altra parte del telefono ha detto di essere un sergente dell’ufficio dello sceriffo della località in cui vivevo un tempo. Era stato convocato per testimoniare davanti a un gran giurì, ma non si era presentato, ha affermato. A quel punto stava per essere emesso un mandato di arresto nei miei confronti.
Ho spiegato che si trattava chiaramente di un errore. Non avevo ricevuto alcuna convocazione. In realtà, non vivevo più a quell’indirizzo da oltre cinque anni.
Il sergente Brian ha detto di non preoccuparsi, che si trattava di una “visita di cortesia” prima dell’emissione del mandato. Se volessi evitare di dover fornire spiegazioni in merito alla mia mancata comparizione davanti al giudice, potrei versare una “cauzione” di 1.500 dollari in contanti e chiarire la questione in un secondo momento presso il mio commissariato di zona. Mi ha poi passato al capoturno Dave affinché mi fornisse le istruzioni su come e dove effettuare il pagamento.
Più la conversazione andava avanti, più i miei sospetti aumentavano. Così ho iniziato a cercare su Google. Le violazioni del codice penale da loro citate erano più o meno esatte. I nomi che hanno attribuito al sergente e al supervisore erano quelli di veri agenti di polizia di quel distretto. Lo stesso vale per il giudice di cui avrei presumibilmente violato l'ordinanza. Quando ho chiesto di vedere una copia della convocazione che avrei presumibilmente firmato, Dave mi ha inviato via e-mail un file PDF contenente una vera e propria convocazione del gran giurì (anche se poi si è scoperto che riguardava un distretto di un altro Stato). Sembra quasi che sia stato verificato.
Più mi opponevo, più diventavano insistenti. Dopo oltre 40 minuti, ne avevo avuto abbastanza, ho riattaccato e ho chiamato immediatamente il vero ufficio dello sceriffo. La donna che ha risposto mi ha confermato che si trattava di una truffa. Mi è stato detto che avrei potuto sporgere denuncia alla polizia, ma, ha aggiunto, sarebbe stato inutile. Mi ha esortato a contattare l'FBI. (Si vedano i link riportati di seguito.)
Il fatto è che da quasi tre decenni scrivo di truffe online su e . Pensavo di aver già visto e sentito di tutto. Il fatto che io ci abbia creduto per 15 minuti è piuttosto sconcertante.
In definitiva, quasi tutte le truffe prendono di mira i singoli individui, sia i lavoratori autonomi come me, sia i dipendenti di aziende multimiliardarie. Una volta conquistata la vostra fiducia, questi malintenzionati cercheranno di spillare a voi – o al vostro datore di lavoro – quanto più possibile, svuotando i conti bancari; sottraendo dati personali, relativi ai clienti e ai dipendenti ; e compromettendo la reputazione e il valore del marchio.
Il fatto che lei lavori nel settore della sicurezza e pensi di conoscere tutti i trucchi non significa che sia immune. Il piccolo segreto scomodo delle truffe online è che le persone che espongono se stesse e le proprie aziende al rischio maggiore sono proprio quelle che si ritengono troppo intelligenti per farsi ingannare.
Avrei dovuto saperlo
Sono in molti coloro che avrebbero dovuto saperlo, ma non lo sapevano. Lo scorso febbraio, lo scrittore Cory Doctorow – che annovera tra i suoi numerosi romanzi un thriller finanziario incentrato sulla sicurezza informatica – ha raccontato di essere stato vittima di una truffa in cui gli sono stati sottratti 8.000 dollari da truffatori che sostenevano di appartenere al dipartimento di prevenzione delle frodi della sua banca.
«: Scrivo di truffe online da quasi tre decenni. Pensavo di aver già visto e sentito di tutto. Il fatto che io ci abbia creduto per 15 minuti è piuttosto sconcertante.”
Più o meno nello stesso periodo, Charlotte Cowls, autrice della rubrica di consulenza finanziaria su The Cut, ha confessato di aver perso 50.000 dollari a causa di truffatori che si spacciavano per dipendenti del servizio clienti di “ Amazon ”, della FTC e della CIA.
Ma si tratta di cifre irrisorie rispetto a quelle di Shan Hanes, ex “ CEO ” della Heartland Tri-State Bank di Elkhart, in Kansas, che ha perso 47 milioni di dollari del patrimonio della banca a causa di uno schema fraudolento di investimento in criptovalute , denominato “ ”. In questo caso, sia l’ex “ CEO ” che gli azionisti della banca sono stati vittime. La banca fallì; Hanes fu condannato a 24 anni di reclusione in un carcere federale per appropriazione indebita.
Anche le criptovalute potrebbero aver fatto parte del modus operandi dei miei truffatori. Se fossi rimasto al telefono, “Dave” probabilmente mi avrebbe indirizzato verso un bancomat per criptovalute, per poi chiedermi di depositare il denaro e trasferirlo su un conto Bitcoin pseudonimo, afferma Mason Wilder, direttore della ricerca presso l’ , Association of Certified Fraud Examiners.
E se fossi stato così sciocco da farlo, i truffatori probabilmente mi avrebbero preso di mira di nuovo ricorrendo a un altro stratagemma, aumentando l’importo ogni volta fino a quando non fosse rimasto più nulla da sottrarre, afferma Wilder. Aggiunge inoltre che le frodi ai danni dei privati hanno raggiunto livelli senza precedenti, in particolare le cosiddette “truffe del ‘pig butchering’”, che prevedono falsi investimenti in criptovalute e possono costare alle vittime milioni di dollari.
e Sue-Lin Wong di *The Economist* descrive come funzionano queste truffe:
In primo luogo, i truffatori creano una trappola, utilizzando profili falsi sui social media. Quindi scelgono la “vittima”, individuando un bersaglio; la allevano, dedicando settimane o mesi a instaurare un rapporto di fiducia; la inducono a investire; e infine la “macellano”, spremendo “fino all’ultima goccia” da loro, dalla loro famiglia e dai loro amici.
E, infine, lasciano le loro vittime a strillare.
Il ventaglio di strumenti sempre più ampio dei truffatori online
Grazie alle “risorse” disponibili su Internet, quali i kit di strumenti per aspiranti truffatori e persino i servizi di “Fraud-as-a-Service” (FaaS) destinati ai cybercriminali più pigri, il tasso di frodi è più alto che mai. Nel 2024, i consumatori statunitensi hanno subito perdite per 12,5 miliardi di dollari a causa di truffatori – con un aumento del 25 per cento rispetto all’anno precedente – e quasi la metà di tali perdite è stata causata da truffe nel settore degli investimenti. Considerato che molte vittime non denunciano mai alle autorità di essere state truffate, le perdite effettive sono probabilmente molto più elevate.
“La creazione di un effetto rete incoraggerà un maggior numero di persone a farsi sentire quando avvertono che qualcosa non quadra e consentirà loro di ottenere sostegno dagli altri.”Katalin Parti, professore associato di sociologia presso la Virginia Tech
«La tecnologia ha eliminato le barriere all’ingresso anche per schemi particolarmente sofisticati», afferma Wilder. "Basta una connessione a Internet per avere a disposizione una vasta gamma di strumenti."
Se Internet ha reso esponenzialmente più facile commettere frodi, l’intelligenza artificiale ha reso altrettanto più difficile individuare quando si è vittime di una truffa, eliminando molti dei consueti segnali di allarme.
In passato, potrebbe esserLe capitato di ricevere una telefonata da qualcuno che cercava di convincerLa che il Suo computer fosse pieno di virus, ma il loro forte accento straniero e la scarsa padronanza dell’inglese potrebbero tradirli. «Oggi l’intelligenza artificiale è in grado di generare un copione e una voce che sembrano provenire da qualcuno che vive nella città vicina alla vostra», afferma Wilder.
[Legga anche: Che cos’è la cyber threat intelligence? Una guida semplificata [ 2025]
Grazie ai rapidi progressi della tecnologia deepfake , i truffatori possono assumere le sembianze e la voce di una persona che conoscete realmente. Lo sa bene quel malcapitato dipendente della società di ingegneria britannica Arup, che ha trasferito 25 milioni di dollari a dei truffatori in gennaio 2024 durante una videochiamata in cui venivano mostrati dei deepfake di quattro dirigenti dell’azienda.
"Bastano tre secondi di voce di una persona per imitarne la voce", afferma Katalin Parti, professore associato di sociologia presso la Virginia Tech, la cui ricerca si concentra sulla criminalità informatica e sulla manipolazione online. "Qualsiasi video o file audio disponibile online può essere utilizzato in modo improprio dai truffatori."
La curiosità uccide
Sia per i privati che per le organizzazioni, essere pienamente consapevoli dell’aumentato rischio di frode rappresenta il modo migliore per evitare di essere truffati. Le aziende stanno prendendo atto della situazione; secondo Cybersecurity Ventures, editori della rivista e del podcast “Cybercrime”, il mercato globale della formazione sulla sicurezza informatica è destinato a crescere passando da 5,6 miliardi di dollari nel 2023 a oltre 10 miliardi di dollari nel 2027.
Non si deve dare nulla per scontato, soprattutto su Internet, consiglia Parti, e si deve cercare di resistere alla tentazione di cliccare su qualcosa che si sa già di non dover cliccare. (In una truffa tristemente nota, alcuni autori di attacchi nordcoreani si sono spacciati per ingegneri blockchain di , inducendo altri ingegneri a scaricare malware credendo che si trattasse di bot o software che li avrebbero aiutati a trarre profitto dalle differenze tra i tassi di cambio delle criptovalute su varie piattaforme.) Se dovesse trovarsi nella sfortunata situazione di essere vittima di una truffa, sia disposto a mettere da parte il proprio orgoglio e a condividere la propria esperienza con gli altri, affinché possano prestare maggiore attenzione.
"Abbiamo bisogno di una comunità ben informata Community che si ascolti a vicenda e condivida le notizie relative alle truffe che si verificano nelle vicinanze", aggiunge. "La creazione di un effetto di rete incoraggerà un maggior numero di persone a farsi sentire quando avvertono che qualcosa non quadra e consentirà loro di ottenere sostegno dagli altri."
In ambito lavorativo, dove le potenziali perdite finanziarie e di reputazione sono molto più elevate, i dipendenti devono prestare particolare attenzione per evitare di esporre la propria azienda ad attacchi fraudolenti. I lavoratori dovrebbero diffidare delle richieste urgenti avanzate all’ultimo minuto – ad esempio, all’indirizzo 4:30 un venerdì pomeriggio – o di quelle che richiedono modifiche alle normali procedure di pagamento, afferma Wilder. Le organizzazioni potrebbero voler rivedere i propri protocolli relativi ai bonifici bancari e introdurre la separazione delle funzioni, al fine di impedire che un singolo individuo possa autorizzare pagamenti superiori a un determinato importo in dollari.
Oltre alla formazione sulla sensibilizzazione in materia di , e ai test periodici, le aziende dovrebbero incoraggiare i dipendenti a segnalare ai propri superiori eventuali richieste di contatto insolite, e-mail sospette o videochiamate sospette che ricevono. Dovrebbero inoltre evitare di punire i dipendenti che hanno subito abusi, per non scoraggiare altri dal farsi avanti in futuro.
«Ma il miglior controllo è la verifica indipendente», aggiunge Wilder. "Se ritiene di essere vittima di una truffa tramite deepfake, riattacchi e richiami utilizzando i recapiti di cui è certo che siano corretti."
Man mano che l’intelligenza artificiale verrà integrata in un numero sempre maggiore di strumenti utilizzati dai truffatori, gli schemi fraudolenti diventeranno ancora più sofisticati e difficili da Detect. Anche chi è esperto di tecnologia può essere ingannato.
Ricordi: il fatto che finora non sia ancora caduto vittima di una truffa online non significa che non le cadrà mai vittima. Mi creda su questo.
PER SEGNALARE UN REATO O PER MAGGIORI INFORMAZIONI:
Vi invitiamo a consultare queste risorse per ulteriori informazioni sulle forme più comuni di criminalità informatica e sulle strategie che le aziende possono adottare per contrastarla.
- Se è vittima di un reato informatico o sospetta di esserne stato preso di mira – – presenti una denuncia il prima possibile presso l’Internet Crime Complaint Center (IC3) dell’ , all’indirizzo. Gestito dall’FBI, il IC3 costituisce il punto di riferimento centrale per la segnalazione di qualsiasi reato commesso tramite mezzi informatici.
- Per segnalare un reato informatico in corso o una minaccia alla sicurezza nazionale – . Si prega di inviare una segnalazione all’indirizzo , tips.fbi.gov o , oppure di contattare l’ufficio locale dell’FBI più vicino a Lei all’indirizzo .
- Per saperne di più sul ransomware – Nonostante la temporanea tregua registrata nel 2023, gli attacchi ransomware contro il settore pubblico e privato stanno nuovamente aumentando. Ecco la vostra lezione “Raas: una guida alla difesa dagli attacchi ransomware-as-a-service.”
- Scoprite di più sul Business Email Compromise (BEC), la minaccia più costosa – Il ransomware fa notizia, ma il BEC comporta perdite finanziarie significativamente più elevate per le imprese. Vi invitiamo a consultare questa guida esplicativa sul BEC ( ) all’indirizzo per ottenere consigli su come individuarlo e proteggersi da esso.
- Per saperne di più sul phishing – Si tratta di una delle forme più famigerate e diffuse di attacchi di ingegneria sociale e ora più difficile da individuare grazie all’intelligenza artificiale. Ecco la nostra guida informativa “ ” sui tipi di phishing, i rischi e le misure di prevenzione:.
- Per anticipare le minacce informatiche – Vi invitiamo a valutare la possibilità di diventare un “Partner del settore privato” dell’FBI nell’ambito dell’iniziativa “
”. Potete scoprire come le aziende collaborano con l’FBI nell’ambito dell’iniziativa “ ” (Collaborazione per la sicurezza) all’indirizzo.
