“La tua carta di credito è stata bloccata”: attenzione alla truffa ai danni di Nexi-CartaSì

Il messaggio è scritto in italiano tutto sommato corretto, il dominio di provenienza del messaggio è .it e tutto lascia pensare che l'email appena ricevuta sia legittima, ma in realtà il contenuto è fraudolento: si tratta dell'ultima ondata di truffe che si sta diffondendo via posta elettronica in queste prime settimane del 2020, e che prende di mira i proprietari di carte di credito Nexi-CartaSì fingendosi proprio l'azienda che gestisce l'infrastruttura di pagamenti digitali. A riportare la notizia è La Repubblica dopo aver interpellato gli esperti di 3DLab che per primi sono risaliti alla natura dell'attacco, ovvero una classica operazione di phishing condotta tramite messaggi di posta elettronica spam. Come avvenuto già più volte in passato, in questa tipologia di truffa gli organizzatori vanno a caccia delle informazioni sensibili delle potenziali vittime fingendosi un soggetto ritenuto affidabile, che in questo caso è proprio Nexi.

Come funziona la truffa della finta Nexi

Le email truffa vengono spedite da numerosi indirizzi che fanno tutti riferimento a 36 domini registrati negli scorsi giorni, tutti con nomi pensati per sembrare legittimi e ingannare un occhio poco esperto – spesso con il nome Nexi bene in vista. Il contenuto è quello che ci si aspetterebbe da messaggi di questo tipo: i destinatari vengono avvisati del fatto che la loro carta è stata bloccata, e che devono accedere al sito di Nexi per riattivarla. Ovviamente è tutto falso: seguire il link proposto nell'email porta a una finta pagina web di Nexi che in realtà è stata scritta dai truffatori; inserire i propri dati nelle caselle proposte li invia direttamente a questi ultimi.

I classici elementi del phishing sono tutti presenti in queste email: la sostituzione di identità, la minaccia (di bloccare la carta e impedire ulteriori acquisti) con lo scopo di offuscare le capacità di giudizio della potenziale vittima, e la caccia a dati sensibili che possono poi portare i truffatori ad accedere veramente ai conti delle vittime. L'italiano utilizzato nel testo delle email non è perfetto, ma sufficientemente corretto da sembrare plausibile, mentre la provenienza italiana del dominio dei mittenti potrebbe indurre i destinatari a credere che le comunicazioni siano autentiche.

Come difendersi

In linea di massima è sempre meglio evitare di seguire le indicazioni di messaggi che invitano caldamente a fornire nome utente e password – sia in modo diretto, sia indirettamente rimandando a una pagina web esterna, come in questo caso. La soluzione per non cadere nei tranelli vale in generale per tutte le tipologie di truffa di questo tipo e consta di appena tre passi. Il primo: cercare su un motore di ricerca (come Google) i recapiti ufficiali dell'ente menzionato nelle email, in questo caso Nexi. Il secondo: telefonare all'assistenza clienti oppure inviare una email ai recapiti che si trovano sui siti individuati attraverso il motore di ricerca. Il terzo: chiedere al contatto appena raggiunto delle delucidazioni sull'email ricevuta.