Una fuga di dati raramente contiene la password del conto. Contiene qualcosa che vale di più per chi la compra: nome e cognome, indirizzo di casa, numero di telefono, posta elettronica e — dettaglio decisivo — il contesto in cui quei dati sono stati raccolti. Sapere che una persona ha comprato un prodotto finanziario, un dispositivo per custodire criptovalute o un servizio di investimento vale più di mille indirizzi generici, perché permette di costruire un inganno credibile.
Gli episodi si susseguono con regolarità: piattaforme di scambio, intermediari, fornitori di logistica, società di recupero crediti. Nella maggior parte dei casi l’anello debole non è la banca ma un suo fornitore. Il risultato, per il cliente, è lo stesso.
Che cosa succede dopo una fuga di dati
La sequenza è quasi sempre identica. Nelle prime settimane gli elenchi vengono venduti e incrociati con altri già in circolazione, per arricchire il profilo. Poi arriva il primo contatto: un messaggio o una telefonata che cita informazioni corrette per superare la diffidenza. Infine la richiesta, che non è mai «dammi i tuoi soldi» ma «conferma», «verifica», «sposta su un conto sicuro», «autorizza per bloccare l’operazione sospetta».
Le tecniche ricorrenti sono quattro. La telefonata dal finto operatore della banca o della piattaforma, con numero contraffatto. Il messaggio con collegamento a un sito clone perfettamente identico all’originale. Il trasferimento fraudolento del numero di telefono su una nuova scheda, che consente di intercettare i codici inviati per messaggio. E il finto supporto tecnico che chiede di installare un programma di assistenza remota, cioè di consegnare lo schermo e i comandi.
Le contromisure che funzionano davvero
La prima è togliere valore ai codici via messaggio: dove possibile si passa all’autenticazione tramite applicazione dedicata o chiave fisica, che non può essere intercettata trasferendo il numero. La seconda è chiedere all’operatore telefonico il blocco della portabilità del numero senza identificazione rafforzata.
La terza è la regola del canale: qualunque comunicazione riguardi denaro va verificata richiamando il numero stampato sulla carta o digitando a mano l’indirizzo del sito. Mai il numero che compare nel messaggio, mai il collegamento ricevuto. La quarta è la parola d’ordine concordata con i familiari, utile contro le truffe telefoniche che simulano un’emergenza.
Sul fronte bancario, tre azioni concrete: attivare le notifiche istantanee su ogni movimento, abbassare i massimali dei bonifici istantanei, e verificare periodicamente la propria posizione presso le banche dati creditizie, dove compaiono eventuali finanziamenti aperti a proprio nome da un terzo. Per chi detiene criptovalute in autocustodia la regola aggiuntiva è netta: la frase di recupero non si digita mai, in nessun contesto, come hanno mostrato gli attacchi ai portafogli hardware che continuano a funzionare non per un difetto tecnico, ma perché l’utente viene convinto a scriverla.
Se il danno è già avvenuto
Contano le prime ore. Si blocca lo strumento di pagamento dai canali ufficiali, si cambiano le credenziali partendo dalla casella di posta elettronica — che è la chiave di tutte le altre — si conserva ogni traccia di quanto ricevuto e si presenta denuncia. La segnalazione all’intermediario va fatta per iscritto: nei servizi di pagamento la tempestività incide sulla possibilità di rimborso, e la ricostruzione di che cosa è stato comunicato e a chi determina l’esito della controversia.
Resta un principio generale che vale più di ogni tecnica: nessun operatore legittimo chiede di spostare denaro «su un conto sicuro», di comunicare codici di conferma o di installare programmi durante una telefonata. Chi lo chiede sta rubando, per quanto sappia il vostro nome, il vostro indirizzo e che cosa avete comprato il mese scorso. Una fuga di dati non svuota un conto da sola: serve sempre che qualcuno, dall’altra parte, dica di sì.
Contenuti a fini formativi, non consulenza finanziaria.