Negli ultimi mesi è emersa una nuova campagna di phishing vocale (vishing) che sfrutta il nome della famiglia Berlusconi e del gruppo Fininvest per truffare cittadini ignari. In qualità di ethical hacker, ho analizzato il modus operandi della truffa, i vettori di attacco e i meccanismi di social engineering utilizzati. Questo articolo ha l’obiettivo di informare e proteggere l’utente medio da questa insidiosa minaccia.
La dinamica della truffa
- Contatto iniziale telefonico
Le vittime ricevono chiamate da numeri italiani o internazionali, spesso camuffati con tecniche di spoofing. Il chiamante si presenta come un consulente finanziario associato alla famiglia Berlusconi o a una società del gruppo Fininvest. - Proposta d’investimento
Viene offerto un investimento “garantito dallo Stato italiano”, con la promessa di rendimenti elevati in azioni Fininvest. Il deposito iniziale richiesto è solitamente di 250 euro. - Sito fake e furto dati
Alle vittime viene fornito un link a un sito web graficamente simile a quello ufficiale di Fininvest. Lì vengono richiesti dati personali, bancari e, in alcuni casi, documenti d’identità: classico phishing su base web.
Tecniche di ingegneria sociale
Questa truffa si basa su:
- Autorità percepita: sfruttare il nome “Berlusconi” per creare fiducia.
- FOMO finanziaria: pressione psicologica per non “perdere un’opportunità”.
- Urgenza e insistenza: contatti ripetuti con falsi consulenti.
Analisi tecnica
- Spoofing del numero: alcuni numeri identificati (es. +39 333 2232012, +39 344 2471731) usano tecniche VoIP per falsificare l’ID chiamante.
- Sito web fasullo: domini registrati da poche settimane, spesso hostati su server esteri, con certificati SSL automatici (es. Let’s Encrypt) per dare parvenza di sicurezza.
- Tracking e fingerprinting: il sito malevolo può usare JavaScript per raccogliere impronte digitali del browser.
Difendersi: best practice
Da ethical hacker, consiglio queste misure preventive:
- Mai fidarsi di investimenti promossi via telefono.
- Verifica sempre il dominio del sito (es:
fininvest.com≠fin-invest.online). - Blocca numeri sospetti con app come Truecaller, Dov’è, Hiya.
- Segnala alla Polizia Postale e al sito www.commissariatodips.it.
- Educare i familiari più vulnerabili (anziani, pensionati) che sono target privilegiati.
Ulteriori informazioni:
La sicurezza informatica non è solo firewall e antivirus: è soprattutto consapevolezza. Le truffe moderne sfruttano l’elemento umano molto più dei bug nei sistemi. In un contesto dove la fiducia si può costruire con una voce gentile e un nome famoso, è fondamentale verificare prima di fidarsi.
