Così gi irriducibili del phishing continuano indisturbati a colpire

«La transazione e' stata autorizzata. Grazie per il tempo assegnato nel controllo del conto cliente. Tuttavia, visiti prego appena possible http://www.intesasanpaolo.com/. Per controllare le vostre informazioni di conto! Clicca qui per visualizzare il saldo disponibile residuo».
Oppure: «Gentile Cliente, nell'ambito di un progetto di verifica dei data anagrafici forniti durante la sottoscrizione dei servizi di Posteitaliane e stata riscontrata una incongruenza relativa ai dati anagrafici in oggetto da Lei forniti all momento della sottoscrizione contrattuale. L'inserimento dei dati alterati può costituire motivo di interruzione del servizio secondo gli art. 135 e 137/c da Lei accettati al momento della sottoscrizione, oltre a costituire reato penalmente perseguibile secondo il C.P.P ar.415 del 2001 relativo alla legge contro il riciclaggio e la transparenza dei dati forniti in auto certificazione. Per ovviare al problema e necessaria la verifica e l'aggiornamento dei dati relativi all'anaagrafica dell'Intestatario dei servizi Postali. Effetuare l'aggiornamento dei dati cliccando sul seguente collegamento sicuro: https://bancopostaonline.poste.it/bpol/ bancoposta/formslogin.asp?TYPE=33554432&REALMOID=06-67b8b137-8480-11d6-ac6e-009027fd3897&GUID=&SM AUTHREASON=0&METHOD=GET. Cordiali Saluti».
Sono mail circolate oggi su un numero imprecisato di indirizzi di posta elettronica. E che dimostrano come - a dispetto delle retate che ogni tanto vengono annunciate da questa o quella forza di polizia - l'industria del phishing, ovvero della truffa telematica, continui ad operare indisturbata. Perchè entrambe queste mail sono fasulle, non vengono nè da Banca Intesa nè dalle Poste Italiane ma dai criminali informatici che - quasi sempre dall'estero - vanno all'attacco dei correntisti. Seguendo i link indicati nelle mail, infatti, si viene accompagnati lungo un percorso di formulari che alla fine porta a consegnare al mittente i propri numeri di conto e le proprie password.
É chiaro che a un destinatario avveduto le mail rivelano una serie di segnali d'allarme: dagli errori di ortografia, alle leggi inesistenti o citate a casaccio (il «C.P.P. ar.15 del 2001» della seconda mail, per esempio, è una sigla senza senso concreto). Ma è altrettanto evidente che con destinatari più ingenui il tentativo può andare tranquillamente importo. Tant'è vero che le vittime del phishing si contano a migliaia, e l'industria può prosperare. Anche perchè accanto agli strafalcioni, le mail fasulle inseriscono elementi credibili e a volte persino autentici (il sito di Banca Intesa, per esempio, è effettivamente quello indicato nella prima mail), destinati a fare da specchietto per le vittime potenziali.
Risalire ai reali mittenti è difficile. Il messaggio fasullo di Banca Intesa sembra provenire da un sito (www.noreply.com) che in realtà non esiste, tanto che il nome del dominio è in vendita. Quando si muove la polizia postale, d'altronde, si trova quasi sempre a combattere con server piazzati in paesi non facili da raggiungere. Però esiste un modo per prevenire queste truffe, ed è un modo (relativamente) semplice: applicare dei filtri informatici sul web, in grado di individuare le parole chiave a rischio di utilizzo fraudolento. Sono tecnologie sviluppate nell'ambito militare e dell'intelligence e che ora sono disponibili anche per usi civili. Qualche filtro è già piazzato sulla rete. Per esempio, il primo messaggio, quello firmato da Banca Intesa, è arrivato ad una parte degli utenti corredato da un «alert», un allegato che lo segnala come messaggio potenzialmente fraudolento: peccato che l'alert sia in inglese («MailScanner has detected a possible fraud attempt from "dearway.com"») e quindi difficilmente comprensibile dagli utenti meno acculturati, proprio quelli che sarebbe più necessario proteggere. Mentre ad un cliente avveduto non forniscono comunque grandi informazioni, visto che indica come mittente della frode un sito (www.dearway.com) che sembra in realtà essere un innocuo sito di e-commerce.
Meglio che niente, comunque.

Soprattutto se si considera che il secondo messaggio-truffa arriva invece a destinazione senza incappare in alcun tipo di filtro e quindi senza alcuna segnalazione di allarme. Certo, i filtri costano. Ma l'alternativa è lasciare i correntisti più deboli alla mercè degli squali del phishing.