In un’epoca dominata dalla comunicazione digitale, i criminali informatici stanno tornando a metodi più tradizionali per ingannare le loro vittime. Mentre la maggior parte delle truffe online sfrutta la velocità e l’anonimato di Internet, un nuovo schema sta emergendo: l’invio di lettere cartacee contenenti codici QR. Questo metodo, sebbene più laborioso, permette ai truffatori di mirare a obiettivi ad alto valore, come i possessori di criptovalute.
L’UFCS ha ricevuto numerose segnalazioni riguardanti questa nuova ondata di truffe, che prendono di mira specificamente gli utenti di portafogli di criptovalute. I criminali inviano lettere a nome di noti fornitori di portafogli, sostenendo la necessità di un aggiornamento di sicurezza critico a causa dell’introduzione della cosiddetta quantum resistance.
La strategia dietro le lettere con codici QR
Le lettere inviate dai truffatori presentano alcune caratteristiche insolite che le rendono apparentemente più credibili. Innanzitutto, il termine di oltre due settimane indicato per l’aggiornamento è un elemento che contrasta con la tipica urgenza creata nelle truffe online. Questo approccio più rilassato può far sembrare la comunicazione più autentica e affidabile, dissipando eventuali dubbi dei destinatari.
Quando la vittima scansiona il codice QR, viene reindirizzata a un sito web dal design professionale. Sebbene il dominio non sia legato al fornitore reale, molti link rimandano al sito originale del fornitore di portafogli. Questo dettaglio contribuisce a rafforzare l’impressione di un’offerta autentica. Tuttavia, solo chi clicca sulla sezione specifica relativa all’aggiornamento per la quantum resistance viene reindirizzato a un sito controllato dai truffatori.
Sul sito fasullo, gli utenti vengono invitati a inserire la propria frase di recupero (o seed phrase) per attivare l’aggiornamento di sicurezza. Chi acconsente a questa richiesta concede ai truffatori il controllo totale sul portafoglio di criptovalute e,
Le diverse forme di crypto-phishing
Mentre la truffa con le lettere cartacee è un metodo insolito, i criminali continuano a sfruttare anche i canali digitali tradizionali per rubare criptovalute. L’obiettivo principale rimane sempre lo stesso: ottenere la frase seed della vittima. Chi controlla queste 12 o 24 parole ha il controllo illimitato sul portafoglio di criptovalute e può prelevare i fondi in modo irrevocabile.
Phishing via e-mail
Una delle forme più comuni di crypto-phishing è il phishing via e-mail. I criminali inviano e-mail che sembrano autentiche a nome di note piattaforme di scambio di criptovalute come Binance, Kraken, Coinbase o Metamask, o di produttori di portafogli hardware come Ledger o Trezor. Con il pretesto di una presunta falla nella sicurezza, del blocco di un conto o di un lucrativo airdrop la vittima viene attirata su un sito web fraudolento. Lì le viene chiesto immediatamente di inserire la frase di recupero per risolvere, apparentemente, il problema.
Vishing (voice phishing)
Sempre più spesso, i truffatori ricorrono anche al telefono. Tramite lo spoofing (manipolazione del numero di telefono visualizzato), chiamano fingendo di rappresentare il servizio di assistenza ufficiale. Questi interlocutori, molto abili nell’arte oratoria, esercitano un’enorme pressione temporale («Il suo account è stato appena hackerato, dobbiamo immediatamente mettere al sicuro il suo credito») e spingono la vittima a leggere ad alta voce la frase di recupero al telefono o a inserirla su un determinato sito web.
Come proteggersi dalle truffe
Per evitare di cadere vittima di queste truffe, è fondamentale seguire alcune raccomandazioni. Innanzitutto, non rivelate mai la vostra frase di recupero. Nessun operatore del servizio di assistenza legittimo, nessuna piattaforma di scambio di criptovalute, nessun produttore di portafogli e nessuna autorità vi chiederà mai la vostra frase di recupero.
I cibercriminali sfruttano in modo mirato la paura di una perdita economica. Se venite messi sotto pressione al telefono o via e-mail, interrompete immediatamente il contatto. Non cliccate su alcun link. Digitate l’URL della piattaforma di criptovalute direttamente nel browser. Conservate la frase di recupero rigorosamente offline.
In caso di danno economico, l’UFCS raccomanda di sporgere denuncia. Sul sito di Suisse ePolice potete cercare le centrali di polizia più vicine a voi.
