Il supporto di Microsoft chiama per mettere in guardia su un problema legato a un software; l’ufficio delle imposte avverte tramite messaggio vocale che se non si versa immediatamente l’importo in sospeso si rischia una multa; la banca di fiducia comunica via telefono che il conto è stato bloccato: riuscireste a riconoscere un attacco di vishing in queste situazioni?

Cos’è il vishing?

Il vishing  Vishing deriva dall’unione delle due parole inglesi «voice» e «phishing». Le persone malintenzionate che ricorrono a questa particolare forma di truffa telefonica vengono chiamate «visher». è un attacco di phishing perpetrato via telefono o tramite messaggio vocale. I truffatori utilizzano sempre più spesso questa modalità di furto dei dati, poiché si rivela molto efficace. Una conversazione personale, infatti, ispira più fiducia rispetto a una comunicazione scritta. Inoltre, una telefona presuppone una reazione diretta, il che impedisce alle potenziali vittime di avere il tempo per analizzare meglio la situazione. L’obiettivo è dunque indurvi ad agire nell’immediato.

Maggiori informazioni sul phishing sono disponibili nel nostro articolo «Furto di dati in rete: il phishing sulle piattaforme di annunci».

Come agisce chi opera da visher?

Chi ricorre al vishing si spaccia spesso per una collaboratrice o un collaboratore di una banca, per un’impiegata o un impiegato dell’ufficio delle imposte o per un’intermediaria o un intermediario di assicurazioni nel tentativo di carpire informazioni personali come indirizzo, dati del conto o password. Altre volte, fingendosi persone addette al supporto, i visher inventano un problema legato al software che deve essere risolto scaricando un programma che, all’insaputa della vittima, contiene un malware che ruba i dati personali. Esistono anche visher che fanno credere alle potenziali vittime di aver vinto un concorso. Per ricevere il premio, la vincitrice o il vincitore deve prima fornire i dati del proprio conto. Indipendentemente dal tipo truffa messo in atto, tutte queste situazioni hanno qualcosa in comune: le storie sono sempre ben congegnate e, per raggiungere il proprio obiettivo, chi truffa ricorre a tecniche di social engineering  Il termine «social engineering» indica strategie che fanno leva ad esempio sulla paura, sull’avidità o sulla fiducia per indurre le persone a comunicare dati personali, autorizzare accessi o trasferire somme di denaro. come l’intimidazione o il fare pressione.

Quali ripercussioni può avere il vishing?

Quando raggiungono il loro scopo, i visher possono effettuare acquisti, eseguire pagamenti oppure ottenere crediti a spese della vittima. In questo modo si rischia di perdere tutto il denaro, e forse anche le prestazioni sociali, oppure perfino di indebitarsi. Sempre più spesso i truffatori chiedono anche informazioni meno confidenziali, come ad es. sesso, nome o età, per poi venderle in internet o utilizzarle per un furto d’identità. Esistono anche criminali che intercettano le telefonate per utilizzare la registrazione della voce per creare deepfake  La tecnica del deepfake si basa sul deep learning. Esso prevede che un sistema di intelligenza artificiale (IA) impari metodi complessi per capire in modo autonomo o per falsificare foto, audio o video. Con i deepfake, i visher possono spacciarsi per persone a noi conosciute allo scopo di impossessarsi di dati sensibili, ma anche utilizzare la tecnologia per aggirare il riconoscimento facciale e vocale o la verifica tramite video delle banche.. Dato che trovare i truffatori è difficile, la probabilità di recuperare il denaro perso è ridotta.

Come ci si può difendere dal vishing?

Le aziende, gli istituti finanziari, gli enti pubblici e la polizia non richiedono informazioni confidenziali per telefono. Se si riceve una telefonata con la richiesta di modificare le password o verificare i dati della carta di credito, la cosa migliore è riagganciare subito. Non si devono mai divulgare dati sensibili e non si deve nemmeno cliccare su link, aprire allegati, installare programmi o concedere l’accesso da remoto al proprio computer nell’ambito di una telefonata. Un modo per difendersi dal vishing è rifiutare le chiamate provenienti da numeri sconosciuti. I truffatori possono però nascondersi anche dietro a numeri di telefono apparentemente affidabili. Tramite cosiddetti programmi di spoofing è possibile infatti simulare facilmente numeri di telefono ufficiali. Se sospettate un tentativo di vishing, chiamate il numero da un altro telefono o chiedete direttamente al servizio clienti dell’azienda in questione.

Cosa fare quando si è stati vittima di una telefonata di vishing?

Chi ha fornito i propri dati personali al telefono e teme di essere caduto nella trappola di una o un visher dovrebbe agire immediatamente, modificando la propria password, bloccando la carta in questione e contattando tempestivamente l’istituto finanziario. Inoltre, occorre informare l’azienda a nome della quale si è stati contattati nell’ambito della truffa e sporgere denuncia alla polizia. In questi casi, segnalate la truffa anche al Centro nazionale per la cibersicurezza (NCSC) alla pagina Il link si apre in una nuova finestra report.ncsc.admin.ch. In generale vale questa regola: prima si interviene, maggiore è la probabilità di cavarsela senza subire grossi danni.