Può succedere anche a voi. Avviate il computer, aprite la posta elettronica e trovate questo messaggio: "Gentile utente, sono l'avvocato Gianluca Medili, titolare dell'omonimo studio legale. Mi trovo costretto a scriverle perché continuano ad arrivarmi, dal suo indirizzo, e-mail di carattere pornografico. Non sono un esperto, tuttavia il tecnico del nostro studio sostiene che questi invii potrebbero essere involontari, causati da un virus informatico. Dice inoltre che è possibile rimuoverlo con un programma scaricabile dal sito www.addwarekiller.com. Non avendo competenze e tempo per verificare questa ipotesi, sono costretto a diffidarla dal continuare gli invii. Qualora ricevessi un solo altro messaggio, procederò per via legali senza ulteriore avviso".
I "distinti saluti" finali non placheranno la preoccupazione. Vi chiederete se, a vostra insaputa, qualcuno abbia usato il computer per inviare materiale erotico. Un misterioso hacker, forse, un collega spregiudicato o un figlio troppo disinvolto. Dopodiché cercherete di rimediare al danno, magari visitando il sito indicato dal dottor Medili. E qui le cose precipiteranno. L'indirizzo, infatti, è una trappola telematica. Basta cliccarci sopra e il computer viene invaso da un cosiddetto 'codice dannoso': un cavallo di Troia che copia dati e documenti, rubando o infettando ciò che di più riservato avete.
"Chi pensa di non rischiare, s'illude", dice il colonnello della Guardia di finanza Umberto Rapetto, responsabile dal 2001 del Gat, Gruppo anticrimine tecnologico. "Quello su Internet è un attacco di violenza inaudita, spesso gestito da mafie internazionali. I delinquenti hanno capito che truffare on line è comodo: non c'è pericolo fisico, e la platea è sconfinata. Così elaborano sistemi che variano di giorno in giorno, di ora in ora. Non solo tramite il web, ma anche con carte di credito, short message e annunci telefonici. Alla fine chi ci rimette è l'utente medio, ma anche le aziende non attrezzate a dovere". Un assalto dai numeri pesanti: nel 2006, si è detto alla conferenza internazionale sul 'Computer crime', gli attacchi informatici sono aumentati nel mondo del 51 per cento, con una media di 1.402 al giorno. Quanto all'Italia, nell'arco di un anno si è registrato un più 35,9 per cento, e la tendenza è al peggioramento.
Ogni mese, scrive la Confesercenti nello studio 'Il Bel Paese delle truffe', "circolano oltre un milione di e-mail fraudolente, con un giro d'affari stimato in almeno 9 milioni di euro e 500 mila italiani coinvolti". Non a caso, il 23 per cento delle aziende italiane ritiene il crimine informatico "più pericoloso rispetto a quello tradizionale", spiega una ricerca Ibm, mentre il 46 per cento lo stima più costoso.
Difficile non sottoscrivere. Basti pensare a quanto accade mentre scrivo questo articolo. La posta elettronica segnala l'arrivo di un nuovo messaggio, che in poche ore si ripropone tre volte. Lo apro: "Caro cliente Poste.it", si legge, "una nuova gamma completa di servizi online è adesso disponibile. Per usufruirne occorre diventare utente verificato.
L'assistenza clienti, dopo aver ricevuto la documentazione, e averne verificato la completezza e la veridicità, provvederà ad attivare il suo Nome Utente Verificato". In evidenza, poi, c'è un pulsante da cliccare per "accedere ai servizi on line". Che però, avverte Giorgio Pavone, capo della Information communication technology di Poste italiane, è il punto di non ritorno. Digitare ti trascina su un falso sito, assai simile all'originale, dov'è richiesto di inserire i dati della carta di credito. In seguito scoprirai che con quei codici sono stati fatti abbondanti acquisti, e il responsabile della spesa risulterai tu.
Tecnicamente si chiama phishing, parola inglese che non rende l'idea. Più esplicita è la traduzione: 'abboccare all'amo'. Proprio come hanno fatto, negli ultimi 15 giorni, 2 mila romani finiti con il conto in rosso.
Tutti ingannati dalle finte mail di Poste. "Anche per troppa disinvoltura", dice Maurizio Masciopinto, responsabile della divisione investigativa della Polizia postale: "Tanto la gente è prudente con il portafoglio in tasca, tanto è leggera con computer e carte di credito". Un vizio testimoniato dall'Acfe (Association of certified fraud examiners), la quale ha fatto un esperimento: frugare nella pattumiera di un campione di italiani, e cercare informazioni riservate. Risultato: in ben "quattro sacchetti su dieci, si trovano password, firme e conti bancari accartocciati". Dati preziosi per la malavita, che per recuperarli si affida spesso alla tecnologia. "Tra le truffe più diffuse", racconta Masciopinto, "c'è il furto dei dati personali da bancomat e carte di credito, collegando telecamere e microscopici 'skimmer' (registratori di dati) ai tradizionali lettori".
Quanto alle imboscate on line, è attualmente attivo un sito che offre prestiti a tassi accattivanti. Scriverne il nome è vietato: manderebbe all'aria un'indagine del Gat. Si può invece raccontare come funziona. Una volta cliccata la voce 'finanziamento' si viene trasferiti a un sito che richiede i dati personali: dal numero di telefono alla carta di credito. Poi compare una tradizionale offerta di contratto, con clausole e dettagli. A questo punto clicchi 'ok', e aspetti una conferma. Inutilmente. "Il finale è devastante", commenta un sottufficiale del Gat, "il prestito non esiste, ti rubano le coordinate bancarie, e in più svuotano la carta di credito".
Il vero problema, raccontano gli investigatori, è il diffuso senso d'impunità. Chi viene accusato di frode informatica, dice l'articolo 640 del codice penale, rischia da uno a cinque anni di prigione, e una multa che oscilla da 309 a 1.549 euro. Ma il delitto è punibile soltanto "a querela della persona offesa".
Se non c'è denuncia, insomma, i tecnoladri la scampano. E siccome gli italiani odiano passare per fessi, denunciano pochissimo. Così l'assalto continua, milioni di euro spariscono, e la Rete soffoca di truffe. "Il mercato", dice Masciopinto, "è effettivamente ricco. Ed è diviso in due parti: quella di chi utilizza Internet per truffe tradizionali, come la vendita di griffe fasulle. E quella di chi elabora sistemi più sofisticati, con programmi che derubano invadendo il computer". Nel primo caso, spiega, gli specialisti sono italiani. Nel secondo, il primato va alle "menti tecnologiche dell'ex blocco sovietico, che nella riconversione post bellica sono finite al soldo delle mafie dell'Est".
Addirittura, secondo Rapetto, la storia avrebbe una lettura sociologica. "L'Italia", dice, "è vista come una nazione benestante, felice. Perfetta per scatenare la sindrome da Robin Hood". Chi ci deruba, insomma, si sente quasi autorizzato a farlo, "soprattutto se colpisce i singoli con cifre trascurabili".
Quanto basta per invogliare alla confezione di bidoni telematici: dalle finte lotterie alle catene di Sant'Antonio, dai pseudoappelli umanitari alle offerte dei boiardi nigeriani, smaniosi di esportare inesistenti tesori. Un accerchiamento che ha dell'incredibile. Recentissimo, ad esempio, è lo sbarco in Italia del wardriving: l'accesso clandestino ai computer (con attacchi informatici e saccheggi vari), ottenuto girando in auto per la città, collegandosi con un portatile senza fili. Altrettanto in voga è il cybersquatting, la registrazione di un indirizzo web con il nome di un personaggio celebre, grazie al quale attirare pubblico da spennare.
Più singolare, invece, è la vicenda di Adriano S., universitario torinese diventato (suo malgrado) complice dei truffatori. Nella casella di posta elettronica, qualche settimana fa, ha ricevuto l'offerta di un corposo blocco di 'gratta e vinci' a soli 50 euro. Attirato dall'occasione, ha acquistato il tutto. Dopodiché ha rivenduto i coupon - con prezzo maggiorato - a parenti e amici. I quali hanno prima grattato e poi chiamato il numero 899.708.008, dove avrebbero saputo se avevano vinto. "In verità", raccontano gli investigatori, "non soltanto i 'gratta e vinci' erano fasulli, ma telefonare costava 2 euro e 50 più Iva al minuto".
Come difendersi? In che modo distinguere e-mail e siti innocui da quelli letali? E soprattutto: a chi rivolgersi quando il danno è fatto? Varie sono le risposte. Un'infarinatura generale la danno Rapetto e la giornalista Maria Teresa Lamberti nel saggio 'Truffe.com' (Cairo editore). Più tecnica è l'analisi di 'Investigare, manuale pratico delle tecniche di indagine', scritto dal vicedirettore generale della Ps Antonio Manganelli e da Franco Gabrielli, numero uno del Sisde. Ma la cosa migliore, in caso di guai seri, è contattare il sito del Gat (www. gat.gdf.it); oppure rivolgersi al Commissariato di Ps online (www.commissariatodips.it), nato il 14 febbraio 2006 e attivo con 20 operatori. "Ogni denuncia", spiega Masciopinto, "viene immediatamente girata all'ufficio della Polizia postale scelto dal cittadino. Cosicché, quando ci andrà di persona, dovrà solo firmare la copia stampata".
Nel frattempo, ricordano i poliziotti postali, la priorità resta bloccare i siti trappola. Ma riuscirci è un'impresa. "Quasi mai", spiegano, "hanno base in Italia, e le rogatorie richiedono mesi. Così spediamo un'e-mail ai nostri omologhi all'estero, e superiamo l'ostacolo". Il record, dall'individuazione di un sito truffa al suo abbattimento, è di un quarto d'ora. La media qualche ora. Comunque sia un risultato sorprendente, che non autorizza però all'ottimismo. "Anzi", dice l'ex hacker Raul Chiesa, oggi consigliere dell'Associazione italiana per la sicurezza informatica, "negli ultimi anni c'è stata un'allarmante evoluzione. In nome del cyber business, la piccola malavita si è alleata con quella grande; e intanto molti hacker hanno cambiato pelle, diventando meno ideologici e più venali".
Con 5 mila euro, sostiene Chiesa, c'è chi ti insegna a truffare in Internet. E a farne le spese è la moltitudine degli onesti on line: a partire da eBay, il più importante sito mondiale di commercio telematico (cliccato, soltanto lo scorso marzo in Italia, da 6 milioni 442 mila visitatori). "Il 10 per cento di questi scambi", stimano al Gat, "è a rischio truffa". A volte, spiegano, "non arriva il bene acquistato e il venditore sparisce. Altre volte, il venditore dice di avere spedito l'oggetto e dà la colpa alle Poste. Altre ancora, stranieri si registrano con dati anagrafici italiani (rubati), vendono oggetti inesistenti, e spariscono dopo essersi fatti pagare su banche estere. Nel complesso, un mondo dove accade di tutto. Anche che Marco F., trentenne della Basilicata, riceva qualche giorno fa una bizzarra telefonata: "Si vergogni!", lo aggredisce uno sconosciuto: "Lei mi ha venduto un cellulare e non mi è mai arrivato. Si può sapere cos'è successo?". All'inizio Marco cerca di convincerlo che non c'entra. Ma quello incalza, conosce il suo indirizzo, il suo numero di cellulare, addirittura il diploma che ha preso 12 anni fa. Allora contatta il Gat, che svela l'arcano: il truffatore invisibile ha rubato i dati da un curriculum di Marco, che lui stesso ha inviato a un sito di annunci lavorativi.
"In generale", dice Andrea Polo, responsabile italiano della comunicazione eBay, "il guaio è che al computer la gente perde il buon senso, facendosi abbindolare come mai accadrebbe nella vita reale". Se le cose vanno storte, insomma, sarebbe perché acquirente o venditore non seguono le procedure. E comunque, precisa Polo, secondo eBay solo lo 0,01 delle transazioni si trasforma in truffe. Il che non significa trascurare il problema: "Al contrario, il dipartimento mondiale di sicurezza eBay è composto da 2 mila esperti su 13 mila dipendenti", dice, "tutti consapevoli che la prevenzione è cruciale". Una risposta per certi versi simile a quella che dà Domenico Santececca, direttore centrale dell'area servizi di mercato dell'Abi (Associazione bancaria italiana), al quale chiediamo come si vive sotto costante schiaffo, con gli istituti bombardati da assalti telematici. "È vero", ammette, "il problema esiste, ed è incombente. Ma i numeri finora sono limitati. Sui titolari di 3 milioni 100 mila conti correnti, presi a campione dall'Abi, soltanto 6 mila 200 hanno subito furti d'identità. E di questi, appena lo 0,031 per cento ha patito danni economici".
"Sarà", commenta Raul Chiesa: "A me risulta che tutti cercano di minimizzare, di non spaventare i clienti. Altrimenti non si capirebbe perché le banche, e non solo loro, stiano investendo fior di capitali per difendersi". Uno sforzo encomiabile, riconosce Chiesa, "a patto che non ci si limiti ai macro fenomeni come il phishing, ma si analizzino le nuove frontiere del crimine online". Ad esempio, suggerisce, bisognerebbe capire cosa si nasconde dietro e-gold e e-cash, forme di pagamento virtuali che consentono l'utilizzo dell'oro per acquistare beni e servizi, ma anche di spostare in modo anonimo e illegale enormi somme di denaro. Per non parlare dei cosiddetti 'money transfer', veri e propri sistemi bancari paralleli. Nell'arco del 2005, dicono gli inquirenti, sono transitati dai loro uffici italiani 1,4 miliardi di euro in contanti, di provenienza e destinazione ignote. E dalle indagini della Guardia di finanza sono emerse 400 agenzie di trasferimento clandestine. L'apice di un meccanismo che, secondo il procuratore nazionale antimafia Piero Grasso, "non rispetta le regole e rischia di mettere in crisi il sistema legale".
Se questo avverrà, lo scopriremo presto. "Nel frattempo un dato è certo", spiega Masciopinto della Polizia postale: "Tutta questa vicenda sta frenando lo sviluppo italiano, soprattutto a livello locale. Non sono io a scoprire", dice, "la qualità dei nostri prodotti artigianali, e nemmeno il boom internazionale che l'e-commerce potrebbe assicurare. Invece la situazione è statica, bloccata dalla diffidenza". "D'altro canto", conclude il colonnello Rapetto, "per combattere le truffe on line non basta la tecnologia: ci vuole elasticità e velocità. Bisogna anticipare questi cervelli brillanti, capaci a volte di farci credere nell'incredibile". Gente, aggiunge, con l'animo tecno e lo spirito alla Totò, "quando in un'indimenticabile film vendeva ai turisti la Fontana di Trevi".
