Truffa in corso su Facebook Messenger: falso operatore Poste Italiane tenta di prendere possesso delle Poste Pay.

Ormai sono tantissime le aziende che usano i social non solo come strumento di promozione, ma anche come piattaforma per comunicare coi clienti e offrire un servizio di supporto e assistenza immediato via chat. Un'arma a doppio taglio: se è comodissimo da un lato, dall'altro ovviamente espone a rischi informatici. E' quanto sta avvenendo proprio in queste ore, come segnalato da un dettagliato report di D3Lab. La pagina Facebook di Poste Italiane viene inondata, inondata letteralmente, di richieste di assistenza da parte di clienti ogni giorno e gli operatori social di Poste Italiane hanno iniziato a fornire assistenza via messaggio privato e proseguire tramite Facebook Messenger l'assistenza. Fin quando qualcuno non ha deciso, qualche giorno fa, di sfruttare questo meccanismo per truffare i clienti di Poste Italiane. 

Il trucco

Come funziona la truffa? Il truffatore tiene d'occhio i messaggi pubblici nella sezione Community della pagina ufficiale: non appena vede che qualcuno riceve la risposta standard dagli operatori legittimi, li brucia sul tempo e contatta direttamente l'utente spacciandosi per un impiegato di Poste Italiane. Per essere ancora più credibile invia alla vittima addirittura un nominativo e un codice operatore falsi. Il fatto che questa non sia affatto la procedura standard, pare però non insospettire molto, dato che le vittime sono già centinaia. Il truffatore, secondo la più classica delle truffe di ingegneria sociale, cerca di convincere la vittima a fornirgli tutti i dati anagrafici e finanziari necessarie e un codice OTP (il codice numerico, usa e getta, che si riceve sul cellulare per concludere operazioni finanziarie): tutto ciò insomma che lo abilita ad eseguire operazioni a carico della Poste Pay della vittima. Addirittura, nel caso l'utente non sia registrato al portale di Poste Italiane, il falso operatore procede alla registrazione assieme alla vittime: questo passaggio gli permette di associare la carta prepagata al nuovo profilo.

La procedura standard di Poste Italiane
è utile spiegare in poche righe la procedura standard di risposta degli operatori di Poste Italiane, così da sapere individuare le differenze e non cadere nella truffa. Quando gli utenti contattano la pagina certificata di Poste Pay tramite messaggio pubblico per richiedere assistenza, gli operatori rispondono pubblicamente con una prima indicazione, invitando a inviare messaggi privati alla pagina in caso di necessità di ulteriori approfondimenti o supporto. Gli unici dati che Poste Italiane richiede normalmente via messaggio privato su Facebook sono il numero di telefono cellulare e il codice fiscale dell'intestatario del servizio. Inoltre Poste Italiane non prevede in nessun caso che un dipendente contatti direttamente l'utente: si limita soltanto a rispondere su messaggio ricevuto. Se qualcuno vi contatta in qualità di operatore di Poste Italiane, sta cercando di truffarvi.

Le pagine verificate da Facebook sono contrassegnate da una spunta bianca su cerchio azzurro.
In assenza di tale contrassegno, la pagina non può considerarsi verificata, quindi potrebbe essere illegittima. 

Il test di D3Lab

I ricercatori di D3Lab si sono finti sprovveduti utenti e hanno fatto da esca su Facebook per sperimentare direttamente il modus operanti del truffatore. Tenendo di conto dell'utilizzo corretto della lingua italiana, dell'uso corretto del lei (cosa che moltissimi stranieri avrebbero difficoltà a fare) e il tracciamento dell'interlocutore si sospetta che il truffatore sia di origini italiane. Va detto che il tracciamento dell'interlocutore lo collega all'Italia, ma non è dato sapere se vi sia l'uso di una VPN o di Tor, strumenti che rendono del tutto impossibile l'individuazione della locazione geografica di un utente.

Ecco qui il messaggio esca inviato dai ricercatori:

Poco dopo il profilo Valentina Minni, con foto profilo con logo di Poste Italiane, richiede l'amicizia al profilo utente che ha inviato la richiesta di supporto. Fatto ciò l'utente fake contatta via Messenger il profilo gestito dai ricercatori. 

Puntualmente viene richiesto il codice fiscale e "l'operatrice" iscrive l'utente al portale di Poste Italiane. L'esperimento però si interrompe perchè il profilo Facebook del truffatore viene sospeso, probabilmente dopo segnalazione di un'altra vittima. 

L'intero report è leggibile qui  >> Phishing tramite falso Social Care ai danni degli utenti Postepay

Le vittime

Difficile sapere quante siano le vittime: un indizio è il gruppo Facebook POSTEPAY TRUFFE FURTI & C., con oltre 794 membri. Rende forse la dimensione del problema anche se non tutti lamentano di essere stati vittime di questa truffa nello specifico: molti hanno subito attacchi di phishing consegnando dati su form fake per falsi premi e vincite. 

Invitiamo gli utenti a prestare molta attenzione ai dati che si diffondono online e di rimanere in contatto solo con la pagina ufficiale di Poste Italiane, sfruttando la funzionalità del badge di verifica offerta da Facebook. Verificate la presenza del "bollino blu" e ricordate che Poste Italiane non prevede l'uso di profili utente degli operatori per contattare i clienti.