“Non ci casco, so che nessuno regala niente.” Eppure la finta vincita gira da vent’anni, perché non punta sulla stupidità: punta su un attimo di speranza, e sulla fretta di non perdere l’occasione.
Come funziona la truffa della vincita?
Ti promette un regalo e ti chiede qualcosa in cambio per riceverlo. Le varianti:
- un’email o un SMS: “Complimenti, sei il cliente fortunato del mese”;
- un sondaggio con un premio finale, poi una ruota da girare che “vince” sempre;
- un buono di un negozio o di un supermercato noto, “da riscattare entro oggi”.
Per ritirare il premio ti chiedono di accedere con il tuo account (password rubata), di inserire nome, indirizzo e telefono (dati per altre truffe) o di pagare pochi franchi o euro per la spedizione con la carta (che poi viene addebitata di nuovo, o abbonata a servizi che non hai chiesto).
Il video: il trucco visto dall’altra parte
Nel 2020 ho registrato questo video (3 minuti) per mostrarti il trucco dal punto di vista di chi lo prepara. La tecnica non è cambiata: cambiano solo la grafica delle pagine e le scuse usate per farti cliccare.
Come riconosco una finta vincita?
Dalla domanda “a cosa ho partecipato?”. Se non lo sai, non hai vinto.
- Un premio per un concorso, un sondaggio o una lotteria che non ricordi.
- Una scadenza strettissima: “il premio scade tra 10 minuti”.
- Un costo da pagare per ricevere qualcosa di gratis, anche solo 1 o 2 franchi o euro.
- Un nome noto (un negozio, una marca) con un indirizzo del sito che non è il suo.
Il Metodo 3V applicato al “premio”
Tre domande, prima di inserire qualsiasi dato. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nel caso della vincita | |
|---|---|---|
| Verifica | Chi me lo chiede è davvero chi dice di essere? | Apri tu il sito del negozio o della marca e cerca il concorso. Se non c’è, il premio non esiste. |
| Validazione | Anche se fosse lui, la richiesta ha senso? | Un regalo che costa la spedizione con la carta non è un regalo. |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Scade tra 10 minuti”: un premio vero aspetta che tu controlli. |
Cosa fare se hai già inserito i dati
- Hai inserito una password? Cambiala subito dal sito vero, e cambiala ovunque usavi la stessa.
- Hai inserito la carta? Chiama la banca al numero sul retro della carta e falla bloccare.
- Hai dato indirizzo e telefono? Aspettati altri messaggi “su misura” nelle prossime settimane: trattali tutti come sospetti.
Segnala il messaggio: in Svizzera all’Ufficio federale della cibersicurezza UFCS, in Italia alla Polizia Postale. Se hai un dubbio su un link, controllalo su sito-ok.com senza aprirlo.
Domande frequenti
Ho ricevuto un messaggio che dice che ho vinto un premio: può essere vero?
Solo se hai davvero partecipato a quel concorso. Anche in quel caso, cerca il concorso sul sito ufficiale aperto da te, non dal link del messaggio. Se ti chiedono password, carta di credito o un pagamento per la spedizione, è una truffa.
Mi chiedono solo 2 franchi per la spedizione: che rischio c'è?
Il rischio non sono i 2 franchi, ma la carta che hai inserito. Spesso viene addebitata di nuovo o collegata ad abbonamenti mensili scritti in piccolo. Se l'hai già fatto, chiama subito la banca e blocca la carta.
Il messaggio usa il nome di un negozio vero: come faccio a capire?
Il nome si copia, l'indirizzo del sito no. Guarda il nome nella barra degli indirizzi: se non è quello del negozio, chiudi. Poi apri tu il sito ufficiale e cerca la promozione.
Nel prossimo episodio: Phishing #3, perché il phishing funziona, anche con chi lo conosce.
