AVVISATE I CORRENTISTI "BNL-BNP PARIBAS"! ATTENZIONE AGLI SMS CHE RICEVETE PERCHE’ SONO DELLE TRUFFE: UN MESSAGGIO INVITA AD AGGIORNARE I PROPRI DATI E UN FINTO OPERATORE DEL SEDICENTE SERVIZIO ASSISTENZA COMPLETA IL LAVORO - I BANDITI SI METTONO SUBITO ALL’OPERA E INIZIANO A SPILLARE DENARO DAL CONTO DELLO SVENTURATO CHE A QUEL PUNTO…
Umberto Rapetto per infosec.news
La trappola, stavolta, è stata confezionata su misura per i clienti della storica Banca Nazionale del Lavoro (dal 2006 sotto il controllo del gruppo francese BNP Paribas) e quindi il problema riguarda potenzialmente due milioni e mezzo di clienti privati, 130.000 tra piccole imprese e professionisti ed oltre 33.000 tra aziende ed enti.
In questi giorni un sms o un messaggio di posta elettronica raggiunge i correntisti: contiene l’invito ad aggiornare la propria scheda anagrafica e l’anticipazione di una chiamata del servizio di assistenza ai clienti mirato a confermare che la compilazione dei propri dati è andata a buono fine.
La comunicazione sollecita il potenziale cliente (non è detto che arrivi solo a chi davvero ha rapporti creditizi con BNL) a collegarsi via Internet ad un sito dal plausibile nome “lamiaanagrafica.com” che sembra corrispondere ad un insediamento web creato appositamente dalla banca con l’obiettivo di gestire i dati personali degli utenti dei propri servizi.
Il lungo periodo di lockdown ha certamente allentato l’attenzione e ha fatto acquisire una illusoria dimestichezza con certi strumenti che permettono di fare da casa tante operazioni (ad esempio dialogare con la banca) che in precedenza richiedevano il fare la coda allo sportello e il rivolgersi ad un incaricato. Comodità e velocità hanno agevolmente preso il posto di calma e cautela e quindi sono parecchie le vittime di questo e di altri mefistofelici tranelli.
Chi – improvvidamente – sceglie di dare retta alle indicazioni ricevute, apre il browser (e quindi il software di navigazione online) e digita l’indirizzo www.lamiaanagrafica.com.
Il sito viene “sconsigliato” – con formule diverse da qualunque programma l’utente adoperi per muoversi su Internet – ed è abbastanza evidente che la prosecuzione del viaggio virtuale possa riservare qualche sorpresa sgradevole.
Il messaggio di Mozilla Firefox
Chi insiste arriva ad una pagina web sul cui sfondo verde spicca l’inconfondibile logo di BNL e la similitudine grafica rischia di far sentire più tranquillo chi siede alla tastiera o sta smanettando su smartphone o tablet.
La homepage, visualizzata poco dopo, è un clone di quella originale dell’istituto di credito e questo mette ancor più a proprio agio chi sembra predestinato ad essere turlupinato.
Vengono chiesti il “numero cliente” e il codice “PIN” per accedere ai servizi e tutto sembra svolgersi con assoluta normalità.
Il browser, però, continua (e non credo lo abbia fatto solo con me) a segnalare di trovarsi in un campo minato.
L’utente – colpevole di essere troppo diligente e ingenuo – ritiene di dover portare a termine l’aggiornamento della propria anagrafica e prosegue imperterrito.
Il malcapitato non sa di essere di fronte ad una organizzazione criminale e che tutto quel che digita finisce nelle mani sbagliate. Accedendo a quel sito “regala” subito le sue “credenziali” (numero cliente e PIN) e andando a compilare la propria scheda anagrafica (che ovviamente trova vuota) spiana la strada a chi utilizzerà quei dati per completare la malefatta.
Come preannunciato dall’SMS o dalla mail, il cliente BNL (che ha naturalmente inserito i propri recapiti) riceve la telefonata dal sedicente Servizio Assistenza. L’operatore con suadente gentilezza, dopo essersi presentato con nome e cognome (ovviamente fasulli ma al contempo rassicuranti), chiede conferma di alcuni dati e si premura di invitare l’utente a rispondere ai quesiti sulla “customer satisfaction” che intendono rilevare il grado di soddisfazione dei servizi offerti e il livello di professionalità dell’interlocutore che ha chiamato.
I banditi si mettono subito all’opera e iniziano a spillare denaro dal conto dello sventurato che nel frattempo è ancora sbalordito per il garbo e l’efficienza del proprio istituto di credito.
L’esecuzione di un bonifico e di qualunque variazione (ad esempio quella del numero di cellulare su cui inviare notifiche e informazioni per la validazione delle operazioni richieste) richiede la conoscenza di un codice che viene spedito via SMS al cliente. E quindi ecco scattare la seconda parte dell’inganno. Il solerte “operatore”, che poco prima aveva chiesto le varie conferme, ritelefona al cliente e gli dice che il sistema ha registrato regolarmente gli aggiornamenti anagrafici e “dovrebbe” aver mandato un codice sul telefonino.
luigi abete foto mezzelani gmt
L’utente conferma di aver ricevuto il codice e – in condizioni pressoché ipnotiche – lo rivela al misterioso soggetto all’altro capo del telefono.
Il resto è facile ad essere immaginato.
I criminali eseguono “bonifici istantanei” che determinano l’immediato accredito della somma trasferita al destinatario e quando il cliente ne riceve comunicazione è sempre troppo tardi.
L’unico rimedio è quello di bloccare il conto per evitare ulteriori tentativi fraudolenti. Occorre poi denunciare il fatto alle Autorità di polizia, confidare in indagini che portino al rintraccio del malloppo, chiedere alla Banca di espletare i controlli del caso e magari limitare la soglia dei massimali (per singola operazione, giornaliero e mensile) di denaro che possa essere movimentato.
Se il cliente deve far attenzione alle insidie che affollano il web, l’Istituto di credito, da parte sua, dovrebbe invece far tesoro di queste circostanze per rivedere le proprie procedure. Ogni cliente è “profilato” e se ne conosce ogni dettaglio: se il numero di operazioni è normalmente ridottissimo e gli importi particolarmente contenuti, dovrebbe scattare un campanello d’allarme al verificarsi – ad esempio – di un bonifico di parecchie migliaia di euro magari dal conto di un soggetto che il sistema sa bene essere molto parsimonioso.
Se quindi può sfuggire una prima operazione fraudolenta, una reiterazione a pochi minuti di distanza dovrebbe attivare il Servizio Assistenza (quello vero stavolta) tenuto a sincerarsi dell’effettiva paternità di quel che sta accadendo.
Il discorso rischia qui di diventare esclusivo per gli addetti ai lavori. Mentre gli specialisti si adoperano per rendere sempre più sicuro questo contesto, chi si avvale delle opportunità bancaria via Internet è il caso che sfoderi un po’ più di diffidenza ed eviti di farsi abbindolare.
Forse è l’occasione per riscoprire il piacere di recarsi presso l’Agenzia della propria banca e magari apprezzare il poter ancora parlare con un impiegato che l’evoluzione tecnologica ha già decretato “inutile” e che un domani sarà disoccupato.
