In questo momento è in corso una nuova ondata di fatture di pagamento false, e abbiamo scoperto la campagna mentre era ancora in fase di preparazione. Le e-mail si spacciano per PayPal, Amazon, Geek Squad e altre aziende, e hanno tutte un unico obiettivo: spaventarti al punto da farti chiamare un numero di telefono dove ti aspetta un falso "operatore dell'assistenza".
Ciò che rende questa ondata insolita è che alcuni dei modelli che abbiamo recuperato presentavano ancora campi vuoti dove avrebbero dovuto figurare il numero di telefono e il prezzo, mentre altri erano già completi e in circolazione. Abbiamo colto la campagna nel bel mezzo della sua diffusione.
In cosa consiste la truffa?
Se ricevi un'e-mail che sembra una ricevuta — «Il tuo abbonamento è stato rinnovato per 349 $», «Hai effettuato un pagamento di 598,96 $» — e ti invita a chiamare un numero per annullare o contestare l'addebito, fermati.
Non ti verrà addebitato alcun costo. L'e-mail ha lo scopo di farti parlare al telefono con un truffatore che cercherà poi di convincerti a concedergli l'accesso remoto al tuo computer, a fornirgli i dati della tua carta di credito o a richiedere un "rimborso" che, in qualche modo, ti costringerà a inviargli del denaro.
Questa particolare variante è nota come truffa della "fattura fantasma" o del "rimborso", e il trucco è di natura psicologica, non tecnica. Ecco perché queste e-mail riescono spesso a eludere i filtri antispam: spesso non contengono allegati o link dannosi che i sistemi di sicurezza possano analizzare. La truffa sta nel numero di telefono che ti viene chiesto di chiamare.
Se non hai effettuato l'acquisto, non è necessario chiamare il numero indicato nell'e-mail per annullarlo. Le aziende serie non esercitano pressioni sui clienti affinché risolvano addebiti imprevisti tramite numeri di telefono non richiesti.
L'obiettivo è semplice: suscitare abbastanza preoccupazione da spingerti a chiamare. Vedi un addebito consistente che non riconosci, diciamo 499 dollari, e il tuo primo istinto è quello di bloccarlo. La fattura ti fornisce gentilmente un numero da chiamare «se non sei stato tu». Così chiami, e a quel punto ti ritrovi a parlare con il truffatore.
Da lì, la conversazione porta solitamente a uno dei seguenti esiti. Potrebbero chiederti di installare un software per poter “correggere” l’addebito, concedendo loro l’accesso al tuo computer. Potrebbero chiederti i dati della tua carta o le tue coordinate bancarie per “elaborare il rimborso”. Oppure potrebbero “accidentalmente” rimborsarti un importo eccessivo e chiederti di restituire la differenza, solitamente tramite carta regalo o bonifico bancario.
La fattura è solo l'esca, mentre la telefonata è la trappola.
Queste e-mail sono convincenti e alcune stanno già arrivando nelle caselle di posta. La buona notizia è che il semplice fatto di riceverne una non comporta alcun rischio. La truffa funziona solo se riesce a indurti a chiamare il numero indicato. Se riconosci il messaggio come fraudolento e lo elimini, l'attacco si ferma lì.
Se hai chiamato il numero e hai seguito le istruzioni fornite dal truffatore, esegui una scansione antivirus e controlla i tuoi conti bancari. Cambia le password più importanti, attiva l'autenticazione a più fattori (MFA) e assicurati che il tuo software di sicurezza sia aggiornato.
Come l'abbiamo trovato a metà dei lavori
La maggior parte delle indagini sulle truffe inizia solo dopo che il danno è stato fatto. Questa volta è stato diverso. Ci siamo imbattuti in una serie di modelli di fattura quasi identici, che facevano chiaramente parte dello stesso kit, e molti di essi erano incompleti.
Mentre un'e-mail truffaldina ben fatta avrebbe riportato un numero di telefono, alcune di queste riportavano semplicemente il testo #TFN# invece, che è solo un segnaposto. (“TFN” è l’abbreviazione usata dai truffatori per indicare un numero verde, la linea di richiamata verso cui indirizzano le vittime.) Altri hanno lasciato il prezzo come #PRICE#, la data come #DATE#, e il destinatario come #EMAIL#. Si tratta di campi di unione: gli spazi vuoti che uno strumento di invio in massa compila automaticamente prima dell'invio di una campagna.
Il fatto di trovare quei segnaposto ancora presenti ci ha fatto capire che l'operazione era ancora in fase di allestimento. Alcuni modelli erano ancora incompleti, mentre altri erano già pronti e riportavano numeri di callback attivi. Avevamo colto la campagna nel bel mezzo della fase di lancio, a metà strada tra la fase di creazione e quella di lancio completo.
Perché queste fatture sembrano autentiche
I truffatori utilizzano marchi noti come PayPal, Amazon e Geek Squad. Si tratta di aziende dalle quali le persone si aspettano di ricevere ricevute e avvisi di rinnovo, il che riduce il livello di sospetto.
Anche gli addebiti sono scelti con cura. Importi dell'ordine di qualche centinaio di dollari sono abbastanza elevati da destare preoccupazione, ma sembrano comunque plausibili come rinnovo di un abbonamento o acquisto online.
Molti messaggi creano un senso di urgenza, invitando i destinatari a chiamare immediatamente per contestare o annullare l'addebito. Questa pressione ha lo scopo di impedire alle persone di verificare la transazione in modo indipendente.
Alcune fatture arrivano persino a combinare marchi affidabili, ad esempio sostenendo che un pagamento sia stato effettuato tramite PayPal Amazon. Il fatto di citare diverse aziende famose conferisce maggiore credibilità al messaggio.
Come riconoscere una fattura falsa
La buona notizia è che queste truffe presentano alcuni segnali di allarme. Una volta che sai cosa cercare, diventa molto più facile smascherarle. Fai attenzione a questi segnali:
- Un addebito che non ricordi di aver effettuato. Se non riconosci l'addebito, verifica autonomamente tramite il tuo conto o la tua banca. Se non ne risulta traccia, è probabile che la fattura sia una trappola pensata per indurti a chiamare.
- Il tempo stringe. Frasi come «Chiama entro 12 ore», «Annulla prima del rinnovo» o «Agisci subito» creano un falso senso di urgenza pensato per impedirti di riflettere. I veri problemi di fatturazione possono aspettare mentre verifichi la situazione.
- Marchi di cui ti fidi, usati come copertura. Più il logo è familiare, meno attentamente la gente legge. I truffatori si appropriano di una fiducia che non si sono guadagnati.
- Piccoli dettagli che sembrano un po’ fuori posto. PayPal che sembra provenire da Amazon, un indirizzo sconosciuto che non appartiene a nessuno, o una formulazione leggermente strana. Fidati di quei piccoli dettagli che ti sembrano sospetti.
- Pressioni per trattenerti al telefono. Una volta effettuata la chiamata, un'azienda seria non ti impedirebbe mai di riagganciare per verificare, mentre un truffatore lo farebbe.
Se è presente anche solo uno di questi elementi, considera l'intero messaggio come sospetto.
Ricorda l'unica regola che permette di smascherare questa truffa: un'azienda seria non ti spingerà mai a chiamare immediatamente per annullare un pagamento che non hai mai effettuato. Se non sei sicuro che un addebito sia autentico, chiudi l'e-mail e controlla il tuo conto come faresti normalmente: digitando tu stesso l'indirizzo del sito web dell'azienda nel browser o chiamando il numero riportato sul retro della tua carta di credito.
Consiglio da esperti: Malwarebytes Guard può aiutarti a individuare truffe come queste e indicarti come procedere, mentre Browser Guard ti impedirà di accedere a siti web truffaldini.
Cosa fare se ne ricevi uno nella tua casella di posta
Se ricevi una fattura sospetta come quelle descritte qui, adotta alcune semplici precauzioni:
- Non chiamare quel numero. È proprio questo il fulcro della truffa. I rimborsi o le cancellazioni legittimi non richiedono di chiamare un numero riportato su una ricevuta non richiesta.
- Non rispondere e non cliccare su nulla. Considera il messaggio come sospetto, anche se sembra autentico.
- Verifica autonomamente gli addebiti. Se temi che un addebito possa essere autentico, accedi direttamente al tuo PayPal, alla tua banca o al sito del venditore digitando tu stesso l'indirizzo e controllando la cronologia delle transazioni.
- Segnalalo. Inoltrate le e-mail sospette di phishing all'indirizzo dedicato alle segnalazioni di abusi dell'azienda oggetto di spoofing e, negli Stati Uniti, segnalatele alla FTC all'indirizzo
reportfraud.ftc.gov. Segnalare questi casi aiuta a smantellare le operazioni fraudolente. - Se hai già chiamato, chiudi la conversazione. Non installare alcun software che ti venga consigliato. Se hai concesso l'accesso remoto o fornito dati di pagamento, contatta immediatamente la tua banca ed esegui una scansione di sicurezza affidabile sul tuo dispositivo.
- Diffidate delle urgenze. Frasi come «entro 12 ore» o «cancella subito» hanno lo scopo di spingervi ad agire prima di riflettere. Prendetevi il tempo necessario per verificare l'affermazione in modo indipendente.
I truffatori stanno ricorrendo sempre più spesso a tattiche che i software non riescono a individuare facilmente. Per gli strumenti di sicurezza è difficile valutare un numero di telefono contenuto in un'e-mail, e la truffa vera e propria avviene tramite una telefonata anziché attraverso un link o un allegato dannoso.
Ecco perché è importante aver scoperto questa campagna mentre era ancora in fase di lancio. Invece di constatarne i danni a posteriori, abbiamo potuto osservare i preparativi: modelli non rifiniti, dettagli incompleti e il kit della truffa prima che fosse pienamente operativo.
La migliore difesa è semplice: se una fattura inaspettata ti invita a chiamare immediatamente un numero, fermati e verifica prima autonomamente l'addebito.
Indicatori di compromissione
Domini
invoicepdfin[.]xyz
invoicepdfus[.]xyz
invoicepdfusa[.]xyz
invoicerep[.]xyz
invoicestatement[.]xyz
invoicestm[.]xyz
Numeri di richiamata
804-392-2793
801-640-8589
C'è qualcosa che non va? Controlla prima di cliccare.
Malwarebytes Guardti aiuta ad analizzare immediatamente link, messaggi e screenshot sospetti.
Disponibile conMalwarebytes Premium per tutti i tuoi dispositivi eMalwarebytes per iOS Android.
