Hacker italiani hanno truffato vittime per 10 milioni di euro: come agivano (e come proteggersi)

Più di 100 arresti, 16 perquisizioni domiciliari, 118 conti corrente bloccati: è il bilancio temporaneo di una maxi operazione condotta congiuntamente dalla Polizia di Stato italiana e dalle forze dell'ordine spagnole per smantellare una organizzazione criminale dedita ad attacchi informatici che sono costati milioni di euro a organizzazioni e privati cittadini. Tra gli arrestati risultano anche esponenti di più organizzazioni di stampo mafioso, mentre le vittime erano principalmente italiani – spinti a versare ingenti somme presso i conti dei criminali attraverso tecniche di truffa e di phishing informatico.

Battezzata Fontana-Almabahìa, l'operazione ha sgominato un'organizzazione con base a Tenerife ma condotta da italiani; tra i componenti – riferiscono le forze dell'ordine italiane e spagnole – figuravano membri con conoscenze informatiche avanzate, veri e propri hacker che hanno permesso al gruppo non solo di portare avanti truffe complesse, ma anche di riciclare il denaro ottenuto utilizzando società ad hoc e criptovalute.

Come agivano i criminali

Le tecniche impiegate, spesso in concomitanza tra loro, sono phishing, vhishing e ingengneria sociale: gli hacker si sono sostanzialmente finti banche e istituti di credito e hanno così effettuato telefonate e inviato email alle vittime per convincerle a rivelare i dati di accesso ai loro conti corrente o ai loro sistemi di pagamento. I truffatori sanno che email e telefonate – se usati congiuntamente – rischiano di cogliere impreparate molte persone: l'arrivo di un messaggio di posta può essere ad esempio anticipato da una telefonata di un finto operatore della banca e risultare così più convincente; i due elementi insomma si supportano l'un l'altro nella costruzione di un inganno che diventa così più credibile. Non solo: perpetrare la truffa al telefono consente inoltre ai truffatori di guidare le loro vittime passo passo nel tranello teso loro.

Anche le aziende nel mirino

Dopo aver ottenuto le credenziali per l'home banking delle vittime i truffatori inviavano bonifici da migliaia di euro a conti spagnoli controllati dall'organizzazione, ma la tecnica congiunta veniva utilizzata anche per attacchi diretti alle aziende come la truffa del CEO; in ogni caso, le somme ottenute in questo modo potevano poi essere riciclate attraverso società legittime, reinvestite in attività criminali o trasformate in criptovalute. Stando alle forze dell'ordine le vittime erano in prevalenza italiane, ma non mancano neppure spagnoli, inglesi, tedeschi e irlandesi, che in totale – solo nell'ultimo anno – hanno versato involontariamente a questa organizzazione oltre 10 milioni di euro.

Come proteggersi

Per fingersi un istituto bancario o qualunque altro soggetto autorevole i criminali hanno agito partendo da informazioni già in loro possesso, come nomi, cognomi, numeri di telefono e indirizzi email. Purtroppo questo genere di informazioni è trapelato online in abbondanza negli ultimi anni: è il frutto di attacchi informatici subiti negli anni da social network, aziende e operatori telefonici, che hanno messo a disposizione di hacker e truffatori liste da milioni e milioni di nominativi e dati personali.

Per questo motivo è diventato necessario proteggersi da truffe e inganni online e al telefono in modo ancora più attento: in particolare non basta che l'interlocutore conosca il nome, il cognome e l'indirizzo della vittima o perfino i suoi movimenti bancari precedenti, perché questi dati possono essere reperiti ormai ovunque. Anche controllare i numeri di telefono da dove partono le chiamate non basta, perché i truffatori possono fingere di chiamare da qualunque numerazione. Ogni comunicazione ricevuta da banche, operatori telefonici e sedicenti creditori va verificata attentamente, contattando in prima persona i relativi numeri di telefono o indirizzi email dopo averli cercati online in autonomia.