Nella mente dei truffatori online: Kristen, Trust & Safety Analyst

Kristen analizza i dati del mondo reale per comprendere gli schemi di phishing e tracciare i profili dei comportamenti fraudolenti. Nel suo lavoro è importante immedesimarsi nel truffatore per anticipare le mosse e proteggere al meglio i clienti N26. Kristen ci parla delle ultime tendenze in questo ambito e di come migliorare la sicurezza online.

Kristen, il team Trust & Safety di N26 di cui fai parte ha il compito di fornire informazioni ai team che si occupano della sicurezza dei clienti. Puoi spiegarci in cosa consiste il tuo ruolo?

Sono una Trust & Safety Analyst specializzata in schemi di phishing e indagini sull’acquisizione fraudolenta dei conti. Il mio compito è quindi quello di identificare e studiare i nuovi metodi di phishing e altri tipi di truffe e mi occupo anche di tracciare i profili dei comportamenti dei truffatori, un compito per il quale la mia formazione in psicologia è particolarmente utile. In poche parole, analizzo il modo in cui i criminali online pensano e agiscono, concentrandomi sulle strategie impiegate per manipolare le persone e convincerle a fornire informazioni o dati di accesso ai propri conti.

Tutte queste informazioni della vita reale vengono poi impiegate per rendere l’app e i servizi N26 ancora più sicuri, nonché per fare formazione interna ai nostri dipendenti ed esterna, ai clienti N26.

Le truffe online sono aumentate con la pandemia, che ha portato le persone ad affidarsi sempre di più a internet. Qual è a tuo avviso il problema più diffuso di cui tutti dovrebbero essere consapevoli?

A partire dal 2020 gli attacchi di phishing hanno avuto un’impennata legata all’aumento delle attività online. Ma questo non è l'unico motivo. Molti associano il phishing alle ormai note e-mail con una formattazione strana, che chiedono di cliccare su un link e di condividere informazioni personali per sbloccare, ad esempio, un conto presumibilmente compromesso. Ma il phishing è molto più di questo. Numerosi schemi di phishing sfruttano la manipolazione emotiva, che produce sempre i suoi frutti in tempi di crisi, perché le persone sono più ricettive e, di conseguenza, più influenzabili e vulnerabili.

Intorno al phishing si è sviluppato un intero mercato e i truffatori sono sempre più professionali. Questi ultimi possono acquistare sul Dark Web kit di phishing per creare modelli di campagne "di successo". Si possono trovare persino database contenenti i dati dei clienti violati e script di telemarketing per telefonate di phishing. Il phishing telefonico, chiamato vishing, si sta diffondendo perché una conversazione genera più fiducia rispetto a un’e-mail anonima e impersonale ed è spesso più efficace. È la natura umana.

Da un punto di vista tecnico, i truffatori ora hanno a disposizione possibilità del tutto diverse rispetto a qualche anno fa. Falsificare un numero di telefono legittimo, così da nascondere l’identità del malintenzionato e infondere fiducia con un numero che sembra del tutto plausibile, è diventato un gioco da ragazzi. I truffatori possono persino usare informazioni personali della vittima acquistate sul Dark Web, come il suo nome o il numero di conto, rendendo ancora più arduo qualsiasi tentativo di identificare una chiamata fraudolenta.

Hai detto che i periodi di crisi creano il clima perfetto per l’attività dei truffatori. Perché?

I truffatori, o scammer, giocano con la paura e le emozioni delle vittime. In situazioni di difficoltà come la pandemia o l’attuale crisi legata al carovita, molte persone sono più ricettive nei confronti di truffe e offerte poco chiare.

Negli ultimi mesi hai individuato e analizzato altre tendenze di cui i consumatori dovrebbero essere a conoscenza?

Un sistema che sto osservando ultimamente è quello che prende di mira le carte. Di solito lo skimming è associato alla clonazione delle carte di debito o di credito attraverso bancomat manomessi. Ma in questo caso la truffa è legata a un servizio di car sharing.

Molte piattaforme P2P hanno funzionalità di pagamento integrate e spesso non consentono scambi di denaro al di fuori della propria app. Questo perché fuori dall’ambiente protetto dell’app si può essere esposti a rischi per la sicurezza e a truffe. Nel caso di cui mi sono occupata, il servizio prevedeva che i clienti utilizzassero l’app o il sito web per pagare le corse condivise. I conducenti però contattavano i clienti al di fuori della piattaforma per chiedere loro una piccola commissione di prenotazione che sarebbe stata rimborsata subito dopo la partenza. Ai clienti veniva chiesto di fornire i dati della propria carta e un codice che avrebbero ricevuto subito dopo tramite messaggio. In questo modo, i truffatori potevano usare le informazioni ottenute per collegare il metodo di pagamento delle vittime a un portafoglio digitale sotto il proprio controllo.Le vittime si accorgevano della truffa solo dopo che i malintenzionati avevano effettuato acquisti su negozi online falsi per sottrarre il denaro in un modo difficilmente tracciabile.

Oltre a non condividere mai i propri codici e le proprie password con gli altri, quale consiglio daresti ai consumatori per migliorare la sicurezza e stare alla larga dalle truffe?

È importante avere una buona dose di scetticismo, proprio come nel mondo reale. I consumatori devono sempre dubitare di e-mail, messaggi e telefonate che sembrano provenire dalla propria banca, da fornitori di servizi di pagamento, negozi online o simili. Se hai la sensazione che ci sia qualcosa di poco chiaro, chiudi la chiamata o ignora l’e-mail che hai ricevuto e rivolgiti direttamente all’azienda di cui sei cliente per assicurarti che siano stati effettivamente loro a contattarti.

Più in generale, devi essere consapevole di tutto ciò che fai su internet. Le persone vogliono che le attività online siano semplici e veloci, perciò i meccanismi di sicurezza spesso sono considerati una seccatura. Le aziende continuano a lavorare per sviluppare strategie di protezione migliori, più sicure e meno invadenti per diventare sempre più sicure. Ma nel frattempo è importante ricordare di adottare sempre le opportune misure di sicurezza online, come l’autenticazione a due fattori e l’uso di una password diversa per ogni account. Anche se queste accortezze richiedono qualche secondo in più del nostro tempo, possono davvero fare la differenza.