Pishing in banca - i casi Intesa San Paolo

Il pishing è una tecnica fraudolenta con cui si cercano di carpire le utenze personali di accesso ai servizi online quali email, paypal e naturalmente l'home banking. Spesso questa tecnica ricorre all'invio di una mail in cui il mittente è mascherato in modo da sembrare per es. la nostra banca, e un messaggio in cui si chiede di accedere al servizio in quanto sono stati riscontrati problemi. 

Se inizialmente queste tecniche erano facilmente intercettabili (indirizzi mittente farlocco, errori di italiano nel testo etc.) oggi si sono fatti sempre più evolute. Segnalo in particolare queste due lettere di clienti di Intesa San Paolo pubblicate sul Sole 24 Ore perché è sempre utile conoscere i rischi di fornire le proprie utenze e codici a persone estranee, anche quando sembrano legittimi dipendenti bancari. 

E' importantne non comunicare mai a nessuno i codici personali di accesso o quelli ricevuti via sms per confermare le operazioni. Spesso il pishing è riconoscibile controllando l'indirizzo del mittente delle e-mail. In ogni caso non cliccare su link nel testo e non aprire gli allegati. Lo stesso vale per i link all'interno di sms a nome della banca. Tieni l’indirizzo del sito della banca tra i preferiti, senza cliccare sui link di comunicazioni ricevute. Nel dubbio contatta direttamente il servizio clienti della banca o la tua filiale di riferimento. 

Nonostante una recente decisione del Tribunale di Milano (Sezione VI, Sentenza del 6 novembre 2020) abbia messo in evidenza i rischi e le responsabilità nell’ambito del phishing bancario, le banche non rispondono qualora sia stato tu a fornire i codici di accesso anche in buona fede (è il caso dei due clienti di Banca Intesa). 

Pishing clienti Banca Intesa 

Di seguito le due lettere menzionate. Leggere le modalità della truffa ti eviterà di cadere nello stesso errore. 

Sono cliente Banca Intesa. Il 25 gennaio ho ricevuto un sms dal mittente GruppoISP (da cui solitamente ricevo i messaggi dalla banca) che riportava:«In seguito a tentativi di accesso anomali al tuo conto Intesa clicca sul seguente link per confermare i tuoi dati http:// gestionedelcontoweb.unaux.com/ intesa». Il link mi ha portato a una piattaforma che riproduceva perfettamente quella della banca e con i miei codici ho avuto modo di accedere al conto online. In seguito venivo contattato da un operatore dall’utenza 0118019200 che si presentava come addetto della sicurezza di Isp. Questo conosceva tutte le mie generalità e faceva dei riferimenti a dei movimenti recentemente realmente effettuati presso alcuni esercizi commerciali. Mi informava inoltre di un tentativo di bonifico anomalo a favore di un soggetto sconosciuto che si trovava nella città di Lugano. Confermato che l’operazione non era stata disposta dal cliente, il centralinista mi diceva che si sarebbe attivato per bloccarlo e che sarei stato richiamato alle 15. Nel frattempo ho richiamato il numero per verificare e l’utenza da cui ero stato contattato e rispondeva proprio il centralino di Banca Intesa. 

Alle 15 il ”centralinista”, che poi si è rivelato farlocco, ha richiamato (come da suo impegno), dicendo che avrebbe inviato un codice per bloccare il bonifico. Contestualmente arriva un sms, sempre da GruppoISP, riportante il codice che comunicavo in diretta all’operatore con l’intento di bloccare il bonifico (ma in realtà lo stavo autorizzando). Alle 16,30 ricevo una telefonata dalla filiale (vera) che avvisava di movimenti sospetti sul conto che mi portano alla scoperta che la prima segnalazione era una frode. Nel frattempo erano stati effettuati due bonifici: uno da 1.480 e un altro da 435 euro. Dopo il blocco della carta, il giorno successivo, recatomi in filale per attivarne una nuova ricevo, mentre ero ancora davanti a un addetto della filiale, il codice di sicurezza per completare l’operazione di primo accesso alla creazione del Pin, dalla stessa utenza da cui aveva ricevuto il messaggio fraudolento. Quindi la frode si è verificata da un numero ufficiale della banca. L’avviso di frode non è arrivata dalle solite mail farlocche o da un numero mai visto. Come può allora la banca dire che non ne ha la responsabilità? 

 

Sono cliente Banca Intesa Sanpaolo. Il 1° febbraio ho ricevuto un sms dal mittente Gruppo ISP con il quale mi si avvisava che un dispositivo non autorizzato risultava connesso al conto online e che per disconoscerlo avrei dovuto cliccare subito sul link: https://www.confermadipositivo. com. Il link mi ha indirizzata a una pagina identica a quella della banca (online Banking), che uso giornalmente. Con i miei codici ho avuto modo di accedere al conto online. Appena effettuato l’accesso è apparso un avviso informandomi che sarei stata contattata da un operatore di Banca Intesa Sanpaolo. In poco meno di 30 secondi sono stata contattata da una persona che si presentava come addetto alla sicurezza di Banca Intesa Sanpaolo di Torino, chiamando dal numero 0118019200. Questa persona conosceva tutte le mie informazioni. Insospettita ho quindi immediatamente contattato il servizio clienti di Intesa Sanpaolo.che mi ha confermato che era una frode confermando che erano state eseguite due transazioni: un pagamento Pos di 1.461 euro e 493 euro sulla carta di credito con il medesimo beneficiario (con tanto di nome e cognome). Alle mie richieste di spiegazioni, la banca ha declinato qualsiasi responsabilità, anticipando che probabilmente non riconosceranno il danno, non rimborsando.