“La criminalità che cerca di fare denaro si è ormai spostata sulla rete”.
Parte da questa evidenza, che forse non è ancora chiara a molti, Ivano Gabrielli, direttore della Polizia Postale, a valle del report 2022 uscito ieri sui reati internet. Internet è la prima scelta di tutti i criminali che vogliono fare soldi. Si sono quindi strutturati in modo sofisticato e complesso, soprattutto dalla pandemia, con organizzazioni fatte di tante professionalità e collaboratori. E le tecniche sono sempre più varie, sempre poggiando sul fattore umano, ossia sull’inganno della vittima tramite social engineering.
Così anche i difensori sono costretti a evolvere, come stanno facendo in Italia in questi ultimi mesi, nota Gabrielli: con una nuova organizzazione della polizia postale “cyber”, sul territorio; più vicina alle vittime.
Indice degli argomenti
Le truffe più comuni
Secondo il report nel 2022 i sono state 150 truffe e attacchi macro che hanno danneggiato moltissime le aziende, tipicamente con BEC sull’amministratore delegato o suoi collaboratori.
Oppure i criminali tentano tante truffe di valore su molti utenti, su scala europea. “Tipicamente si parte con un sms del tipo ‘il tuo conto è in pericolo’. Si sfrutta così la grande diffusione dell’home banking. I criminali passano poi a chiamata voi per ottenere accesso al conto”, dice Gabrielli.
Polizia postale: tante truffe e attacchi, è stato un anno pericoloso per gli utenti internet
Diverse le truffe ai venditori. Una novità curiosa del 2022. “Non appena metti un annuncio sei contattato al 90% da truffatori. Fanno finta di essere interessati all’auto messa in vendita – ad esempio – e ti fanno fare visura fasulla a pagamento su un loro sito. Soldi che ovviamente intascano. Oppure convincono il venditore ad andare a sportello bancomat per fare un bonifico a vantaggio dei presunti compratori, ad esempio a copertura di spese di spedizione”.
“L’abilità è la stessa di un bravo illusionista, come stiamo vedendo con i nostri psicologi”.
E può succedere anche ai compratori: “i truffatori chiedono loro un anticipo dopo l’altro per un bene, come una caldaia, che non viene però mai venduta effettivamente. I truffatori intascano tutto, riuscendo a fare entrare le vittime in un loop. Lo stesso dei romantic scams”, dice Gabrielli.
Nessuno è immune. “È capitato anche a direttori di banca, indotti a credere di stare parlando con un modello o modella. Professionisti importanti sono caduto in trappole romantic scam o finanziarie di trading online. O sono spinti a fare piccoli investimenti in società inesistenti, anche solo 200 euro che moltiplicati per tante vittime diventano milioni”.
Come ci truffano col (finto) trading online: ecco le tecniche dei criminali
Tutto questo possibile grazie a una maggiore strutturazione dei truffatori, che ormai operano con batterie di call center all’estero e diverse professionalità che collaborano.
Come si sta strutturando la Polizia Postale
La buona notizia è che anche le difese stanno evolvendo. “Per noi è un anno molto importante. Ci stanno strutturando in questo senso, a livello territoriale. Già dal 20 ottobre c’è stato un cambio importante, con 18 centri di sicurezza cyber da cui dipendono 82 sezioni, per il pronto intervento, alcune dei quali presso procure e corti d’appello. Sei di questi saranno retti da un questore. In ogni centro ci sono tre sezioni: contro reati alle persone, economici e terrorismo”, spiega Gabrielli.
“E a breve quest’anno nascerà una direzione centrale dedicata alla cybersicurezza, che alza il livello di importanza di questo tema nella Polizia, in rapporto a risorse utilizzabili”. Adesso la cyber è dentro la direzione “specialità”, insieme alla polizia stradale.
Deve evolvere non solo l’organizzazione territoriale ma anche le competenze. “Essere esperti di tracciamento di pagamenti online, anche su blockchain e cripto-finanza. Software di analisi della blockchain per il follow the money sono imprescindibili. Ma serve avere anche buoni rapporti con exchange, così come in passato con i social network, per ottenere la loro collaborazione nel perseguire i reati in modo rapido”.
In teoria la blockchain permette transazioni anonime, ad esempio per ransomware, pedoporno o truffe. Ma in pratica gli investigatori a volte riescono a fare emergere tracce che consentono di tracciare il pagamento fino a un individuo, così poi da sequestrare server, computer, wallet.
E il bello è, essendo la blockchain pubblica, una volta che sei riuscito a identificare un tassello è possibile poi tracciare tutti i suoi movimenti.
“L’analisi della blockchain permette di vedere le transazioni all’interno di un cluster che possono portare alla fine deanonimizzare il soggetto. Si arriva a un dato tecnico che si può associare a quello sulle transazioni finanziarie”, dice.
“Si possono sfruttare errori di configurazione dei server usati su darknet e che permettono la de-anonimizzazione della connessione. Un errore è anche il riutilizzo di nickname e mail, usati su darknet, in ambiti pubblici, anche social. Oppure l’uso di strumenti di pagamento in teoria anonimi fatto in modalità che, con l’incrocio di diversi dati, alla fine rendono identificabile il soggetto”.
Infine, il punto debole per i criminali è il momento in cui “la criptovaluta viene – necessariamente – cambiata in denaro normale”.
Le informazioni in fin dei conti ci sono, per perseguire i reati, nota Gabrielli. Da qualche parte ci sono, magari in un log di una vpn o di un exchange o di un server. “La sfida è reperire le informazioni necessarie, spesso si ha a che fare con paesi, provider vpn o exchange che non collaborano con le forze dell’ordine”. Insomma, bisogna essere capace di cogliere gli errori fatti in questi passaggi e connessioni e avere il supporto dei servizi e piattaforme.
Serve una collaborazione internazionale migliore
“Sarebbe più semplice se avessimo un diritto internazionale del cybercrime. Bisogna ribaltare il paradigma, finora si è pensato soprattutto a tutelare la libertà degli utenti internet. Ora dobbiamo tutelare di più la loro sicurezza”.
Per Gabrielli c’è un deficit tutela nel diritto, in particolare di “diritto internazionale comune penale. I paesi importanti, 90, che aderiscono alla convenzione di Budapest hanno alcuni sistemi di cooperazione e hanno equiparato alcune fattispecie di reato. Ma è ancora troppo poco”.
Noto il caso Welcome to the Video (2020) dove un server darknet offriva contenuti pedoporno. Gli investigatori, americani, hanno scoperto che il gestore era un ragazzo della Corea del Sud, il quale però alla fine si è fatto solo dieci mesi di galera. Quel Paese prevedeva così poco per quel reato. E ha rifiutato l’estradizione negli Stati Uniti.
“Ci sono differenti sensibilità ma le cose stanno cambiando. Le economie sono sempre più digitali quindi sarà inevitabile eliminare i porti franchi in quest’ambito e avere standard di tutela comuni”, prevede Gabrielli. “Sarà impensabile ad esempio per gli Usa, che hanno un record di attacchi ransomware, fare affari con Paesi che impediscono di trovare i colpevoli”.
