Le truffe online non si limitano più a email maldestre piene di errori. I nuovi siti fraudolenti utilizzano interfacce curate, deepfake di personalità conosciute e una rapida rotazione di nomi di dominio che rende difficile la loro individuazione. Misurare il rischio prima di estrarre la propria carta di credito su un sito sconosciuto implica verificare diversi segnali tecnici, spesso ignorati dagli acquirenti frettolosi.
Segnali tecnici di un sito fraudolento: cosa rivela l’infrastruttura
Anche prima di guardare il contenuto di un sito, la sua infrastruttura fornisce indizi utilizzabili. Un sito creato da pochi giorni, ospitato su un sottodominio temporaneo e privo di menzioni legali complete accumula i marcatori di rischio.
Le campagne fraudolente attuali si basano su una rotazione molto rapida di domini e sottodomini, il che consente loro di aggirare le liste nere. Un sito può scomparire in poche ore e riapparire con un indirizzo leggermente modificato.
Numerose verifiche richiedono meno di un minuto:
- Controllare la data di creazione del nome di dominio tramite un servizio Whois: un dominio registrato da meno di tre mesi per un sito commerciale che afferma di esistere da anni è contraddittorio.
- Verificare la presenza di un certificato HTTPS valido, tenendo presente che un lucchetto da solo non garantisce nulla, poiché i certificati gratuiti sono accessibili a tutti.
- Cercare le menzioni legali, le condizioni generali di vendita e un numero SIRET o equivalente: la loro assenza è un segnale di allerta forte.
- Controllare l’indirizzo fisico indicato tramite una ricerca cartografica: i siti falsi mostrano spesso indirizzi inesistenti o incoerenti.
Su piattaforme di annunci, è necessario anche diffidare di siti come Faljam che offrono offerte anormalmente attraenti e spingono a finalizzare la transazione al di fuori della messaggistica sicura della piattaforma.
Truffe ai pagamenti e phishing: confronto delle tecniche utilizzate
Le metodologie degli imbroglioni variano a seconda del canale di contatto. La tabella sottostante confronta i due vettori principali osservati sui nuovi siti.
| Critero | Falso sito commerciale | Phishing tramite SMS o email |
|---|---|---|
| Vettore d’ingresso | Pubblicità sui social media, SEO a pagamento | SMS, email, messaggio su WhatsApp |
| Obiettivo immediato | Pagamento con carta di credito su un modulo imitato | Furto di credenziali, dati bancari tramite link fraudolento |
| Durata di vita del supporto | Da pochi giorni a poche settimane | Poche ore (link disattivato dopo la campagna) |
| Segnale d’allerta principale | Prezzi molto inferiori al mercato, dominio recente | Mittente sconosciuto, URL accorciata o mascherata |
| Protezione più efficace | Verifica Whois + ricerca di recensioni indipendenti | Non cliccare mai su un link non sollecitato |
Un punto in comune collega questi due approcci: gli imbroglioni cercano di far uscire la vittima dal contesto sicuro (messaggistica interna di una piattaforma, area clienti verificata) per reindirizzarla verso pagine che controllano. I falsi link di pagamento o di tracciamento della consegna imitano a volte interfacce ufficiali con una precisione impressionante.
Deepfake e false testimonianze nella pubblicità online
L’uso di deepfake che coinvolgono personalità (influencer, imprenditori, esperti dei media) per dare credibilità a offerte di nuovi servizi o investimenti finanziari è in aumento. Un video che mostra un volto conosciuto che raccomanda un prodotto non costituisce più una prova di legittimità. Verificare direttamente sui profili ufficiali della persona interessata rimane l’unico modo affidabile per confermare o smentire l’approvazione.
Digital Services Act: cosa cambia la regolamentazione europea per i siti fraudolenti
Il Digital Services Act (DSA) è completamente applicabile dal 17 febbraio 2024 a tutti gli attori online che operano nel mercato europeo, compresi i nuovi siti e servizi digitali. Questo regolamento impone alle piattaforme obblighi rafforzati nella gestione dei contenuti illeciti e delle pratiche fraudolente.
Per i consumatori, il DSA introduce meccanismi di segnalazione facilitata dei contenuti fraudolenti. Le piattaforme devono trattare queste segnalazioni entro termini stabiliti e informare l’utente del seguito dato. Parallelamente, il progetto di Digital Fairness Act mira a rafforzare ulteriormente la protezione del consumatore digitale.
In pratica, queste obbligazioni significano che un sito ospitato o accessibile in Europa che non propone alcun meccanismo di segnalazione né alcuna informazione sulla sua moderazione opera al di fuori del quadro legale. È un indicatore aggiuntivo di potenziale frode.
Riflessi di protezione prima e dopo l’acquisto online
La sicurezza non si basa su un solo gesto ma su una combinazione di verifiche. Prima di convalidare un pagamento su un sito sconosciuto, tre azioni riducono significativamente il rischio:
- Cercare il nome del sito seguito da “recensioni” o “truffa” su un motore di ricerca: i feedback di altri acquirenti appaiono generalmente in pochi secondi.
- Preferire i metodi di pagamento che offrono la possibilità di contestazione (carta di credito con opposizione, servizi di pagamento di terze parti) piuttosto che i bonifici bancari diretti, che sono praticamente irrecuperabili.
- Attivare la doppia autenticazione su tutti i conti legati a un metodo di pagamento, per limitare l’impatto in caso di furto di credenziali.
Dopo un acquisto sospetto
Se sorgono dubbi dopo un pagamento, contattare immediatamente la propria banca per fare opposizione rimane la priorità. Una segnalazione sulla piattaforma Cybermalveillance.gouv.fr consente di documentare la frode e di alimentare le basi utilizzate per bloccare i siti identificati.
La maggior parte delle vittime di truffe online descrive uno scenario simile: un’offerta troppo vantaggiosa, una pressione temporale (“ultime unità”, “offerta valida 2 ore”) e un pagamento effettuato senza verifica del venditore. L’urgenza fabbricata è il principale leva dei siti fraudolenti. Un venditore legittimo non ha bisogno di forzare una decisione in pochi minuti.
