Phishing, pescate due gang criminali

Milano – Le segnalazioni si moltiplicavano in rete da mesi. L’esca? I colori rassicuranti delle pagine di Poste Italiane, nei parametri di uno schema ben noto . 26 ordinanze di custodia cautelare emesse nei confronti dei phisher e dei loro complici, 18 italiani e 8 cittadini dell’Est europeo, considerati implicati nel reato di associazione a delinquere. Questo l’esito dell’ operazione Phish & Chip , coordinata dal comando provinciale della Guardia di Finanza di Milano e da una squadra di Polizia Giudiziaria che si occupa di reati informatici, condotta in stretta collaborazione con la sezione antifrode di Poste Italiane.

Il modus operandi era uno dei più ordinari , si è appreso dal cracker 22enne che coordinava le organizzazioni e che ha ammesso di essersi spacciato per consulente informatico esperto nel prevenire le frodi. Alcuni dei membri delle organizzazioni, per la maggior parte italiani reclutati nell’area di Milano, si dedicavano all’acquisto di carte Postepay e all’attivazione di conti correnti “di servizio” , presso i quali far confluire il denaro movimentato con le frodi. Carte Postepay per ottenere le quali i vertici delle organizzazioni offrivano agli accoliti corrispettivi pari a dieci volte il costo minimo di attivazione .

Previa registrazione di domini all’estero, e costruzione di siti che ricalcavano quelli ufficiali degli istituti di credito, avveniva l’invio a tappeto di email contraffatte ricorrendo come sempre in questi casi ad operazioni di spoofing . Sotto mentite spoglie – il mittente figurava come info@poste.it – i membri dell’organizzazione criminale invitavano tutti i destinatari, alcuni dei quali correntisti, a seguire un link nel quale si richiedeva di comunicare i propri dati, inserendoli in appositi form.

Le motivazioni avanzate per la richiesta dei dati erano le più diverse: da gennaio 2007, in ondate successive di email spammatorie , venivano sventolati “problemi tecnici” e persino aggiornamenti nelle misure antiphishing da parte di non ben identificati “reparti sicurezza” di Poste, oppure si tentava di attirare l’attenzione degli utenti con appetibili promozioni. È così che i più apprensivi e sprovveduti correntisti si sono precipitati sui siti artefatti, fornendo utenza, password e credenziali relative alla carta prepagata o al conto, assicurando ai truffatori la propria identità e i propri risparmi.

Sono state le schede SIM utilizzate dai truffatori a disvelare alla Guardia di Finanza le ramificazioni di due organizzazioni: acquistate presso rivenditori che non richiedevano documenti per l’attivazione, i membri delle gang, credendosi irrintracciabili, si sono traditi utilizzando la stesse schede per compiere le operazioni truffaldine e per comunicare fra loro. L’analisi incrociata di intercettazioni e log delle connessioni ha fatto emergere le dinamiche e l’entità delle frodi. Nel giro di pochi minuti , ad esempio, sono stati sottratti 65mila euro dai conti di tre correntisti Bancoposta del milanese. Molto, evidentemente, ma poco rispetto al totale: il Giudice per le Indagini Preliminari Guido Salvini ricorda che Poste Italiane ha denunciato transazioni fraudolente per un totale di 830mila euro , movimentati a mezzo bonifici e ricariche tra febbraio e gli inizi di maggio 2007 .

Per trasformare in denaro sonante ciò che si depositava sui conti senza incappare nelle soglie previste nel caso di prelievi presso sportelli bancomat e senza costringersi ad acquisti superflui, l’organizzazione si avvaleva di un meccanismo arguto. I suoi membri, in veste di giocatori d’azzardo, acquistavano fiches per il massimo valore consentito presso casinò italiani e esteri. Nei casinò greci, addirittura, prospettava un membro dell’organizzazione, si sarebbero potuti prosciugare i conti senza limitazioni, ottenendo denaro contante che avrebbe fatto perdere le sue tracce in conti esteri di società offshore.

Il phishing non costituiva però la sola attività delle organizzazioni: è emerso dalle indagini che alcuni dei membri operavano clonando carte di credito e compivano sovente trasferte all’estero, dilettandosi nelle truffe ad istituti di credito locali, approfittando dei monitoraggi più laschi sulle transazioni operati durante i weekend.

Il successo dell’operazione Phish & Chip , significativo per numero degli indagati e per i reati contestati, fra cui quello di associazione a delinquere, appare però insufficiente a scoraggiare un fenomeno in netta crescita: il rapporto di Anti-phishing Italia segnala che, solamente nel primo trimestre 2007, il numero di attacchi di questo tipo ha superato il totale degli attacchi relativo all’intero corso del 2006, anno in cui in Italia è stata comminata la prima condanna per phishing . Rectius , una condanna per truffa: il GIP, nell’ordinanza di custodia cautelare, segnala infatti l’assenza di un quadro legislativo specifico , a differenza di quanto avviene negli Stati Uniti . Lacuna che fa ricadere il reato di phishing sotto la fattispecie “debole” di truffa , che sembra non impensierire i colpevoli.

Oltre ad una più stringente tutela legislativa, altro ambito in cui agire è una più efficace sensibilizzazione dei netizen , spesso distratti e sprovveduti: Poste Italiane offre materiale informativo e un riferimento per le segnalazioni ma, nel 2007, resta ancora l’obiettivo dell’87 per cento dei phisher.

Gaia Bottà