Vishing: riconoscere le truffe telefoniche e reagire correttamente.

• Con queste regole di comportamento, nella maggior parte dei casi i tentativi di vishing vanno a vuoto. Scoprite qui come proteggervi.
• Dopo una chiamata avete avuto dei dubbi? Scoprite qui come verificare se la chiamata era autentica.
• Avete già comunicato dati, codici o consentito l’accesso da remoto? Ecco come procedere al meglio.

Il vishing è una delle forme di truffa in più rapida crescita nell’ambito digitale. I criminali fanno leva in modo mirato sulla fiducia, sul senso di urgenza e sulle emozioni per manipolare le loro vittime. Si spacciano per persone o enti affidabili per ottenere dati sensibili, denaro o l’accesso ai dispositivi delle vittime. Il termine deriva dalle parole inglesi «voice» e «phishing». Sono quindi comunemente utilizzate anche le espressioni «voice phishing» o «phishing telefonico».

Nel vishing non ci sono siti web falsi né link su cui cliccare. C’è invece una voce reale al telefono, che in quel momento può sembrare convincente. Questo rende la truffa più difficile da riconoscere: una voce all’altro capo del telefono, che sia amichevole o autorevole, lascia generalmente meno tempo per riflettere rispetto a un’e-mail, che si può leggere con calma e verificare. Quando una persona viene colta di sorpresa durante una telefonata, spesso reagisce prima di riuscire a valutare correttamente la situazione.

La truffa tramite callback è una forma di vishing: i truffatori lasciano un messaggio vocale in cui segnalano, ad esempio, che il vostro conto è stato bloccato. Quando richiamate, una voce automatica vi chiede di inserire dati di accesso o dati della carta. In questo modo, la vittima ha l’impressione di essere stata lei a prendere l’iniziativa, anche se la truffa è già iniziata. 

«Oggi i truffatori si introducono sempre meno nei sistemi informatici e manipolano sempre più le persone. Le moderne forme di truffa fanno leva sull’insicurezza. Creano deliberatamente stress, senso di urgenza e dubbi, portando le persone coinvolte a non fidarsi più del proprio giudizio. È proprio questo che rende il vishing così subdolo. I truffatori non sfruttano vulnerabilità tecniche, bensì caratteristiche umane come la fiducia, la disponibilità ad aiutare e il senso di responsabilità. Molte vittime, col senno di poi, credono di aver compiuto personalmente l’azione decisiva e di essere quindi corresponsabili della truffa.»

Melissa Wong, Group Chief Product Officer presso bolttech, partner del TCS per la cibersicurezza

Ricevete una chiamata che, inizialmente, sembra seria e affidabile. La persona che vi chiama si presenta a nome di un’organizzazione conosciuta, ad esempio la vostra banca, la polizia o un fornitore di servizi informatici. Spesso i truffatori dispongono già di alcune vostre informazioni personali, come il nome, l’indirizzo e-mail o il nome del vostro datore di lavoro. In questo modo, le chiamate risultano più credibili e aumentano la pressione psicologica. Un presunto collaboratore del reparto IT può persino conoscere il nome del vostro reparto o del vostro superiore e utilizzare queste informazioni per conquistare la vostra fiducia.

Nel vishing, i criminali non sfruttano falle di sicurezza, ma ricorrono a espedienti psicologici. Questo metodo è chiamato «social engineering» o «ingegneria sociale». L’obiettivo è conquistare la fiducia della vittima e indurla a compiere un’azione che, in condizioni normali, non farebbe.

I metodi più comuni sono:

• Senso di urgenza: dovete agire immediatamente.
• Paura: vi minacciano, ad esempio, con il blocco del conto, un attacco da virus o danni finanziari.
• Autorità: la persona che vi chiama si presenta come collaboratore della banca, agente di polizia o specialista IT.
• Disponibilità ad aiutare: i truffatori sostengono di voler risolvere un problema per voi.
• Familiarità: informazioni personali che già conoscete contribuiscono a creare ulteriore fiducia.

Una volta conquistata la vostra fiducia, arriva la vera richiesta: effettuare un pagamento, comunicare un codice di sicurezza o una password oppure installare un software per l’accesso remoto. Il senso di urgenza e le presunte conseguenze hanno lo scopo di impedirvi di verificare la situazione con calma.

Le informazioni che fornite o le funzioni che sbloccate durante la telefonata vengono sfruttate immediatamente dai truffatori. Le conseguenze possono andare dall’accesso ai vostri conti online all’installazione di malware sul vostro dispositivo, fino a vere e proprie perdite finanziarie. Spesso i truffatori convincono le vittime a installare un software per l’accesso remoto, ottenendo così il controllo del computer.

Le banche, le autorità e le aziende serie non chiedono mai per telefono password, PIN o TAN (codici monouso). Se vi vengono richiesti questi dati, con ogni probabilità si tratta di un tentativo di truffa.

A seconda di ciò che avete comunicato o a cui avete consentito l’accesso durante la telefonata, sono necessarie misure diverse. Individuate nella tabella la situazione che vi riguarda.

Se una telefonata vi sembra sospetta, è consigliabile seguire questi passaggi:

• Interrompete la chiamata: non dovete rimanere al telefono per educazione quando qualcuno cerca di truffarvi.
• Non comunicate dati e non installate nulla: non comunicate dati personali o di accesso, non effettuate pagamenti e non aprite o installate alcun software.
• Contattate l’organizzazione tramite un canale ufficiale: utilizzate un numero di telefono che conoscete già o che avete cercato autonomamente, non il numero dal quale avete ricevuto la chiamata sospetta. Non utilizzate nemmeno il tasto per richiamare o la funzione di ripetizione della chiamata: potreste essere reindirizzati allo stesso numero contraffatto.
• Conservate le prove: annotate l’ora della chiamata, il contenuto della conversazione, le richieste ricevute e il numero visualizzato. Queste informazioni possono essere utili per segnalare il caso alle autorità o per effettuare verifiche in un secondo momento.
• Segnalate il tentativo: segnalate successivamente il tentativo all’Ufficio federale della cibersicurezza (UFCS). Se vi sentite minacciati o siete vittime di molestie ripetute, non esitate a contattare la polizia al numero di soccorso 117.
• Documentate il caso: fate inoltre degli screenshot o prendete appunti sulla conversazione e conservateli.

• Consulenza personalizzata 24 ore su 24: in caso di emergenza non dovete cercare da soli la soluzione. Le nostre e i nostri Case Manager vi assistono giorno e notte, coordinano i passi successivi e si assicurano che riceviate il supporto necessario.
• Sistema di allarme precoce in caso di uso illecito dei dati: con TCS IDProtect ricevete una notifica se dati personali, come indirizzi e-mail, numeri di telefono o dati di carte di credito compaiono in fughe di dati accertate, in modo da evitare danni maggiori.
  
• Servizio di blocco carte in caso di emergenza (in esclusiva per i soci del TCS): in caso di uso illecito dei dati di pagamento o di smarrimento di una carta, basta una chiamata da parte del titolare del TCS Libretto Cyber Protezione. Il servizio di blocco carte vi aiuta a far bloccare rapidamente le carte interessate.
  
• Protezione da danni finanziari: se un attacco informatico provoca un danno finanziario, il TCS Libretto Cyber Protezione vi offre un sostegno fino a CHF 5’000.–.
• Supporto legale da parte di personale esperto: se i vostri dati vengono utilizzati in modo illecito o se ne derivano conseguenze legali, potete contare sul supporto di 80 avvocati e giuristi del TCS. Le spese processuali sono coperte fino a CHF 300’000.–.
• Assistenza tecnica da parte di specialisti di cibersicurezza: che si tratti di un hackeraggio, di un furto di dati o di una truffa online, insieme al nostro partner bolttech vi aiutiamo ad analizzare l’incidente, a proteggere i vostri account e a definire le ulteriori misure necessarie.