Conti correnti svuotati ​Il trucco per rubare tutto: oscurato sito di pishing

Credevano di navigare all'interno del sito della loro banca e di parlare con un operatore dell'istituto. Invece si trattava di un hacker, riuscito a violare il sistema di messaggistica dell'istituto bancario, per comunicare alcune anomalie sull’home banking. E sottrarre denaro agli ignari correntisti.

Un sito di "phishing", attraverso il quale dei truffatori - rimasti al momento ignoti - ottenevano dati sensibili di ignari correntisti di un istituto di credito, è stato sequestrato dalla polizia di Palermo. Dopo le denunce di due palermitani che avevano subito dal proprio conto corrente prelievi di denaro presso Atm, senza aver mai ceduto a terzi la propria carta bancomat, la polizia ha individuato e posto sotto sequestro una pagina web di phishing che replicava il sito di internet banking di un noto istituto di credito, creata ad arte da truffatori per ottenere le credenziali di accesso dei correntisi dell'Istituto.

Le indagini, coordinate dalla procura, sono state eseguite dagli agenti del compartimento polizia postale e delle comunicazioni di Palermo che hanno acquisito i primi dati investigativi e sviluppato i relativi accertamenti. Secondo quanto ricostruito dalla polizia, "i truffatori hanno effettuato i prelievi in frode con la modalità cardless, servizio che permette di fare prelievi di contante da casse veloci automatiche in Italia senza usare la carta bancomat, ma solo con lo smartphone. Per ottenere quanto necessario alla frode, i truffatori si sono finti operatori della Banca e hanno inoltrato un sms ai due correntisti contenente il link di un sito Internet clone dell'originale. Una pagina web di phishing in cui si richiedeva l'inserimento delle credenziali e del pin collegati al conto, che sono stati pertanto rubati".

In seguito i "hacker truffatori" hanno installato l'app dell'istituto di credito nei propri smartphone, l'hanno collegata ai conti delle vittime ed hanno attivato la cosiddetta O-key Smart, ovvero il servizio di prelievo cardless. A quel punto hanno effettuato quattro differenti prelievi per ogni conto corrente, prima che i correntisti si rendessero conto di essere stati truffati. Tutto ciò si è reso possibile grazie anche ad ulteriori raggiri che i truffatori hanno realizzato comunicando telefonicamente con le vittime ed inducendole ad inoltrare i codici di sicurezza della banca che arrivavano nelle loro utenze telefoniche. Dopo i primi accertamenti informatici inerenti l'hosting del sito truffa, d'intesa con il servizio polizia postale del ministero dell'Interno, il personale dell'area investigativa di contrasto al cyber crime della polizia postale di Palermo ha eseguito un decreto di sequestro preventivo d'urgenza e quindi l'oscuramento del sito di phishing, emesso dalla procura.

Il sequestro è stato convalidato dal gip. "Oggi il sito web utilizzato per il phishing non è più online - spiegano gli investigatori - ma non si esclude che gli autori della truffa possano creare altre pagine web per continuare nella loro attività illecita".

Le indagini informatiche condotte dalla polizia, pertanto, sono finalizzate adesso all'individuazione dei responsabili della truffa, per la prevenzione delle quali "si consiglia di diffidare sempre delle comunicazioni telefoniche e informatiche in cui viene chiesta la condivisione di dati sensibili che attengono alla propria sfera personale ed economica".