Edoardo Marchesi Il vishing e il vibercrime sfruttano voce e messaggistica per spingere le persone a rivelare dati o autorizzare pagamenti. L’arma principale non è la tecnologia, ma la persuasione. Riconoscere gli schemi ricorrenti, preparare risposte standard e utilizzare gli strumenti giusti permette di neutralizzare la maggior parte dei tentativi. Questa guida offre un percorso operativo: indicatori linguisticispoofing del numero, leve di social engineering script di risposta, strumenti di blocco e segnalazioni efficaci.
Chi chiama o scrive punta su urgenza, autorità apparente e confusione. Bastano pochi secondi per prendere il controllo della conversazione e rimandare ogni decisione a canali verificati. Con poche regole chiare e procedure ripetibili, il rischio si riduce drasticamente, anche quando la chiamata o il messaggio sembra provenire da un numero “fidato”.
Indicatori linguistici che smascherano vishing e vibercrime
Gli attacchi vocali e via chat condividono segnali ricorrenti. Il primo è la urgenza artificiale: espressioni come azione immediataultimo avvisoconto bloccato servono a ridurre la capacità critica. Il secondo è la autorità presunta: chi parla si presenta come banca, corriere, fornitore o reparto sicurezza, spesso con titoli generici. Terzo segnale: richieste non contestuali come dettare codici OTP, installare app, condividere schermo o cliccare link inviati durante la chiamata.
Quarto: incoerenze linguistiche, toni aggressivi o eccessivamente amichevoli. Quando compaiono due o più di questi indicatori, la probabilità di truffa è molto alta.
Un altro marcatore è la persistenza a ottenere azioni specifiche: cambiare numero di telefono associato all’account, aggiungere beneficiari, leggere SMS “di verifica”. La presenza di script ripetuti (stesse frasi, stessa sequenza di passi) è spesso un segno di attacco orchestrato. Anche la mancata disponibilità a fornire canali ufficiali verificabili è un campanello d’allarme.
Spoofing del numero: come funziona e come verificarlo
Lo spoofing permette di far comparire un numero diverso da quello reale del chiamante. Il numero può imitare il centralino della banca, un numero geografico locale o un contatto in rubrica. Non è una prova di autenticità. La verifica va spostata su canali separati chiudere la chiamata, recuperare il numero ufficiale dal sito o dall’app e richiamare. Non richiamare mai numeri suggeriti dall’operatore al telefono o nel messaggio.
Tre controlli pratici: 1) ricontatto tramite app ufficiale con chat o call center integrato; 2) incrocio di dati sul profilo cliente (un vero operatore non chiede OTP o password); 3) attesa di alcuni minuti prima di richiamare, per evitare il flash call su linee che mantengono la sessione. Se il contenuto insiste nel richiedere azioni tecniche o finanziarie immediate, trattarlo come tentativo di ingegneria sociale.
Tecniche di social engineering più usate
Gli schemi più frequenti ruotano attorno a tre leve. 1) Paura si annuncia un addebito in corso o un accesso sospetto e si chiede di confermare codici per “bloccare” l’operazione. 2) Vantaggio finti rimborsi, upgrade o premi che richiedono “verifica identità” con dati sensibili. 3) Autorità finti reparti antifrode coordinati con “tecnici” che guidano all’installazione di strumenti di controllo remoto. Tutte convergono sull’ottenere segreti (OTP, PIN, password) o consensi (firma digitale, autorizzazioni in app).
Attenzione anche alla pretexting l’attaccante costruisce un contesto credibile con riferimenti a transazioni reali trovate su email o social. In ambito voce/messaggi è comune il callback fraud si lascia una voicemail o un SMS con numero da richiamare, portando su una linea sotto controllo. Se un flusso richiede più azioni urgenti a catena, è quasi sempre una trappola.
Script di risposta sicura: cosa dire e cosa non dire
Avere uno script pronto riduce errori. Frasi chiave da usare con tono calmo: 1) “Non autorizzo nulla per telefono”. 2) “Chiudo la chiamata e verifico dai canali ufficiali”. 3) “Non fornisco codici o credenziali”. 4) “Comunico solo via app ufficiale o numero del sito”. Ripetere e terminare la conversazione. In chat: messaggio breve, quindi blocco. Evitare spiegazioni lunghe: forniscono spunti per manipolazioni ulteriori.
Regole d’oro: mai dettare OTP mai installare software su richiesta, mai condividere schermo, mai cliccare link ricevuti durante la chiamata, mai confermare modifiche a contatti o dispositivi. Dire sempre che si farà una verifica indipendente e procedere davvero, usando i riferimenti salvati in precedenza. Non esistono eccezioni a queste regole.
Strumenti di blocco e prevenzione su dispositivi e reti
Sui dispositivi mobili, attivare il filtro spam nativo di chiamate e SMS, creare liste di blocco e usare app anti-spam affidabili. Impostare notifiche di sicurezza sull’app bancaria, abilitare l’autenticazione a due fattori e il controllo dei dispositivi autorizzati. Verificare regolarmente le preferenze di contatto e rimuovere numeri non riconosciuti. Su messaggistica, limitare chi può aggiungere ai gruppi e disattivare anteprime link.
Lato rete e account: attivare alert per accessi insoliti, separare email per servizi finanziari, usare password manager e controlli periodici di violazioni. Aggiornare il sistema e le app, revocare permessi eccessivi a strumenti remoti. Per le aziende, introdurre playbook interni con policy di “no OTP per telefono”, simulazioni periodiche e un canale unico per segnalazioni di sicurezza.
Segnalazioni efficaci che aiutano davvero
Una segnalazione utile contiene: 1) data e ora della chiamata o messaggio; 2) numero visualizzato o alias del mittente; 3) contenuto testuale o riassunto verbale; 4) eventuali link o allegati; 5) azioni richieste; 6) screenshot e registrazioni ove legali. Inviare subito alla propria banca o fornitore attraverso i canali ufficiali, al proprio operatore telefonico per il blocco, e ai canali istituzionali previsti nel proprio Paese. Le piattaforme di messaggistica offrono strumenti di report integrati che accelerano rimozioni e blocchi.
Dopo la segnalazione, cambiare credenziali potenzialmente esposte, verificare movimenti e attivare un alert antifrode. In caso di perdita economica, documentare tutto e richiedere il congelamento delle operazioni contestate. La combinazione di segnalazioni rapide e prove organizzate aumenta le probabilità di recupero e contribuisce a colpire le reti criminali.