“L’email sapeva le date del mio soggiorno e il nome dell’hotel: non può essere falsa.” Può esserlo, proprio perché i dati sono veri. Chi la manda li ha rubati all’hotel.
Cosa sta succedendo in Svizzera?
L’Ufficio federale della cibersicurezza (UFCS) descrive un phishing che parte dai dati veri degli hotel e finisce sul conto TWINT degli ospiti. La sequenza:
- i truffatori entrano nel sistema di prenotazione o nella posta di un hotel e prendono nomi, email e dettagli dei soggiorni di ospiti passati e attuali;
- scrivono agli ospiti a nome dell’hotel, da un indirizzo simile a quello vero, promettendo un rimborso del 7,5% sul pernottamento già pagato;
- il link porta a una copia quasi identica del sito dell’hotel, dove scegli la tua banca “per ricevere il rimborso su TWINT”;
- la pagina dopo è un falso accesso all’e-banking: inserisci le credenziali, e loro provano subito ad accedere al tuo conto vero;
- quando la banca chiede il secondo passaggio, la finta procedura ti chiede di confermare o di dettare un codice, a volte generato con il lettore di carte, a un “addetto all’assistenza”;
- con quel codice cercano di spostare il tuo TWINT su un altro numero di telefono, o fanno pagamenti dall’e-banking.
L’UFCS ricorda che per ricevere un rimborso non serve mai inserire le credenziali di accesso né scansionare codici QR, e che i codici ricevuti via messaggio non vanno comunicati a nessuno, anche se chi scrive conosce i dettagli della prenotazione.
È lo stesso schema del falso acquirente TWINT sulle piattaforme di annunci: cambia la scusa, non l’obiettivo.
E in Italia?
In Italia, negli stessi giorni, l’esca è una multa. Il CERT-AgID ha segnalato SMS che usano il nome della Polizia di Stato con un testo come: “Multa, saldo ridotto 17,00 €, scade oggi. Evita sanzione 291 € e perdita punti”. Il link porta a un sito che imita un servizio ufficiale, con un indirizzo che non è quello istituzionale, e cerca di farsi dare dati personali e di pagamento.
Il CERT-AgID consiglia di non cliccare il link, di non pagare in base a solleciti ricevuti così, di verificare la sanzione contattando autonomamente l’ente e, se la carta è stata inserita, di contattare subito la banca dai canali ufficiali.
Perché due truffe così diverse sono la stessa?
Perché usano due leve opposte per arrivare allo stesso posto: i tuoi dati bancari.
| Falso rimborso dell’hotel (CH) | Falsa multa via SMS (IT) | |
|---|---|---|
| La leva | la speranza: un piccolo rimborso inatteso | la paura: una sanzione più alta e i punti della patente |
| Cosa rende credibile | i dati veri della prenotazione | il nome della polizia e un importo basso |
| La fretta | ”richiedi il rimborso" | "scade oggi” |
| Dove porta | falsa pagina di accesso alla banca, poi il codice | falsa pagina di pagamento, poi i dati della carta |
Come riconosco la truffa?
Da quello che ti chiedono di fare, non da quanto è credibile il messaggio.
- Ti chiedono di accedere alla banca o a TWINT per ricevere soldi. Per ricevere un rimborso non servono le tue credenziali, né un codice, né un QR da scansionare.
- Ti chiedono un codice di conferma o di approvare qualcosa nell’app della banca, mentre “ricevi” denaro. Il codice serve sempre a chi lo chiede, non a te.
- Il messaggio conosce dettagli veri, ma arriva da un indirizzo o da un numero insolito.
- La multa ha un importo piccolo e una scadenza di poche ore. Le sanzioni vere arrivano per posta o da canali ufficiali, e si possono verificare.
Il Metodo 3V applicato al rimborso e alla multa
Tre domande, prima di toccare il link. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nel rimborso e nella multa | |
|---|---|---|
| Verifica | Chi mi scrive è davvero chi dice di essere? | Apri tu l’app della prenotazione o chiama l’hotel al numero che trovi da solo; per la multa, contatta l’ente. |
| Validazione | Anche se fosse lui, la richiesta ha senso? | Un rimborso che chiede le credenziali della banca, una multa che si paga da un link in un SMS? |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Scade oggi”, “richiedi subito”: un rimborso vero e una multa vera aspettano una verifica. |
Cosa fare (subito e se è già successo)
- Non cliccare e non scansionare QR. Nel dubbio controlla il link su sito-ok.com senza aprirlo.
- Controlla dal canale ufficiale: l’app o il sito della prenotazione, il numero dell’hotel cercato da te, l’ente che avrebbe emesso la multa.
- Hai inserito le credenziali o dettato un codice? Chiama subito la banca al numero sul retro della carta e controlla nell’app di TWINT che il conto sia ancora sul tuo numero.
- Hai inserito la carta? Falla bloccare dalla banca o dalla società della carta.
- Segnala e, se c’è un danno, denuncia: in Svizzera all’UFCS e alla polizia (la stazione più vicina la trovi su Suisse ePolice), in Italia alla Polizia Postale.
Domande frequenti
Mi è arrivata un'email dell'hotel con un rimborso: è vera?
Può non esserlo anche se conosce i dettagli del tuo soggiorno: l'UFCS ha descritto truffatori che rubano i dati delle prenotazioni agli hotel. Non usare il link. Apri tu l'app o il sito dove hai prenotato, oppure chiama l'hotel al numero che trovi da solo. Un rimborso vero non ti chiede mai le credenziali della banca.
Per ricevere un rimborso su TWINT devo inserire un codice?
No. Per ricevere denaro non servono le tue credenziali, un codice di conferma o un QR da scansionare. Se una pagina o una persona te li chiede, stanno cercando di accedere al tuo conto o di spostare il tuo TWINT su un altro numero. Chiudi e chiama la tua banca.
Un SMS dice che ho una multa da pagare entro oggi: cosa faccio?
Non cliccare il link e non pagare. Il CERT-AgID ha segnalato SMS di false multe a nome della Polizia di Stato con importi piccoli e scadenze di poche ore. Se hai un dubbio, verifica contattando l'ente da solo. Le multe vere si controllano dai canali ufficiali, non da un link.
Il meccanismo del codice “per ricevere soldi” è lo stesso del falso acquirente TWINT. Se hai viaggiato di recente, controlla oggi la tua posta: è il momento in cui queste email arrivano.
