Re: Rimborso Rai – A8005W, attenti al Phishing

Re: Rimborso Rai – A8005W è l’oggetto di una mail spedita massivamente. L’ultima ondata è arrivata in questi giorni, ma la prima ondata risale ad Agosto 2018, con illustri precedenti di cui ci siamo occupati ancora prima.

E si tratta di un caso evidente di Phishing, una forma evoluta di social engineering, una modalità di truffa basata sul contatto fisico che Internet ha trasformato.

Brevi cenni sul Phishing

L’esempio più noto delle truffe basate sul social engineering è quello ormai celeberrimo del film TotoTruffa 62

Nello spezzone che avete visto Totò, nei panni di un truffatore intenzionato a guadagnare abbastanza per garantire a sua figlia una vita felice ed agiata (ma senza che la stessa sospetti delle attività criminose del padre), si inventa il personaggio dell'”Ingegner Trevi”, proprietario dell’omonima fontana.

Nella sua narrazione i Trevi si tramandano da generazioni il business della Fontana e l’Ingegner Trevi, stanco di tali oneri, decide di fermare un turista itoaloamericano e proporgli l’affare, mettendogli fretta con l’aiuto del complice Camillo (interpretato da un magistrale Nino Taranto) nei panni di un untuoso imprenditore toscano anche lui interessato. Alla fine dello sketch, i due truffatori Antonio e Camillo riescono ad allontanarsi con una cospicua somma di denaro, e il malcapitato turista viene portato via in barella ed internato in manicomio dopo aver dichiarato di essere il nuovo padrone della Fontana di Trevi, e quindi in grado di esigere diritti illimitati su ogni foto scattata o spicciolo gettato nella stessa.

Il phishing è da sempre funzionato in questo modo, e non a caso il suo nome inglese è tratto dalla pesca con la mosca. Il truffatore si finge un soggetto completamente al di sopra di ogni sospetto, che propone al suo bersaglio un grande affare, o lo minaccia di un grande danno imminente che solo lui è in grado di evitare.

Casi comuni di phishing nelle cronache passate ed analogiche prevedevano il finto avvocato pronto a telefonare in casa degli anziani millantando di aver ricevuto mandato da un innominato nipote per difenderlo da gravi accuse (spesso di aver provocato un incidente stradale grave con vittime, o di essere stato coinvolto in una rissa) ma di attendere il pagamento di una cospicua somma per le spese di giudizio.

Oppure il finto poliziotto, con tanto di finto tesserino, pronto a entrare in casa di un anziano con la scusa di “metterlo in guardia” dalla presenza di malintenzionati per poterlo poi derubare con calma.

Rimborso Rai – A8005W, il phishing nell’era moderna

L’era moderna ha reso al nostro aspirante Antonio Peluffo, truffatore straordinario, l’opera assai più facile.

Non deve recarsi casa per casa, non deve stamparsi documenti e tesserini falsi, non deve sgolarsi al telefono.

Gli basta aprire una casella di posta elettronica, o imbastire un sitarello dove imita i loghi e i marchi di qualche soggetto famoso e di reputazione.

Abbiamo così svariati casi di mail dove una finta Poste Italiane promette soldi a correntisti pronti a inserire in un apposito formulario di dati del loro conto corrente (che finiranno invariabilmente in mano a qualche male intenzionato), dove una finta Amazon promette ricchi doni e rimborsi a gente pronta a indicare indirizzi di casa e conti corrente (sapete come va a finire…) e improbabili mail in cui un potente hacker dichiara di avere un video in cui voi guardate del porno

e di essere pronto a diffonderlo a chiunque se non gli versate immediatamente dei soldi.

E questo caso non è da meno.

Come ebbe modo di spiegare l’Agenzia delle Entrate alla stampa (vedi Adnkronos) nel 2018

L’oggetto della mail è ‘Re: Rimborso Rai – A8005W’ mentre nel testo del messaggio di posta elettronica si comunica il riconoscimento di un parziale rimborso del canone Rai per un importo di 14,90 euro, per ottenere il quale si rimanda alla sottomissione di una richiesta sull’indirizzo web del sito dell’Agenzia che in realtà nasconde un link ad un sito fraudolento (www.area-agenzia-en.info). ”Oggetto della e-mail e importo del fantomatico rimborso possono variare, ma in ogni caso, le e-mail in questione non provengono da un indirizzo direttamente collegato all’Agenzia e nascondono un evidente tentativo di truffa”, si spiega.

L’Agenzia raccomanda, pertanto, di cestinare immediatamente questi messaggi, di non cliccare sui collegamenti presenti e, soprattutto, di non fornire i propri dati anagrafici e gli estremi della propria carta di credito nella pagina web indicata nella mail. L’Agenzia ricorda, infine, che non invia comunicazioni via e-mail relative ai rimborsi.

La truffa in questo caso è duplice: in primo luogo il truffatore ottiene istanteamente la piccola somma, nelle prime iterazioni di 14,90 € ma variabile anche essa, richiesta per “istruire la finta pratica”.

Nel lungo periodo il truffatore entra in possesso dei dati del vostro conto corrente, nome, cognome e codice fiscale, ottenendo virtualmente tutto quello che gli è necessario per compiere prelievi e operazioni sullo stesso.

Il successo della bufala nasce perché solletica le corde nazionalpopolari dell’Italiano medio che ha elevato i tentativi di evasione del Canone RAI ad una forma d’arte, e sentendosi più furbo degli altri si getta volontariamente in una trappola dalle gravi conseguenze.

Tempo fa scrivemmo una pratica guida sui casi di esenzione dal Canone.

È ancora valida, nonostante ora la modulistica richiesta sia reperibile qui e invece su questa pagina sia possibile trovare un elenco dei reali casi di esonero.

Potete quindi ignorare ogni email che sollecita vostri dati: Agenzia delle Entrate non vi chiederà mai di fornire un Conto Corrente mediante email. Anche solo per il fatto che eventuali rimborsi del Canone RAI vanno in bolletta elettrica.

E se io ho ceduto alla truffa?

Valgono tutte le altre considerazioni per i casi di Phishing: dovete quindi considerare ogni dato che avete fornito all’anonimo truffatore irrimediabilmente compromesso, sporgendo denuncia alle autorità competenti per cautelarvi da eventuali conseguenze e provvedendo al blocco di eventuali numeri di carta di credito conferiti al truffatore.