Rubano i dati delle carte mimando PayPal, Apple e Shopify: ecco come funziona la nuova truffa del checkout

Fare shopping online è diventato più pericoloso per la privacy e per il portafoglio: un nuovo metodo di phishing (quando un malintenzionato convince la vittima a rivelare dati sensibili) prende di mira il processo di checkout di PayPal, Apple e Shopify (il sistema dietro molti siti di e-commerce medio piccoli) per copiare silenziosamente i numeri e gli altri dati sensibili delle carte di credito. Il sistema è così sofisticato che è in grado di replicare l’esatto contenuto del carrello di un utente per convincerlo a inserire i dati e sparire senza lasciare tracce per non allertare la vittima e proteggere il valore dei dati rubati.

Come si diventa vittime della truffa del checkout

Il metodo più comune utilizzato dai malintenzionati per inserirsi nei processi di checkout delle vittime è quello degli SMS che fanno finta di avvisare l’utente o della mancata consegna di una spedizione, o del mancato pagamento di un pedaggio. Il link contenuto nel messaggio è quello che apre la porta ai truffatori e che poi, a seconda della piattaforma utilizzata durante lo shopping online, dice ai malintenzionati quale sito copiare per raccogliere i numeri delle carte di credito. I dati presi di mira non si limitano ai dettagli di pagamento, ma includono documenti d’identità, codici fiscali, dati dei passaporti, credenziali di accesso ai siti web (compresi quelli delle banche) e persino codici di autenticazione a due fattori. Per proteggersi, il modo migliore è non cliccare mai sui link ricevuti via SMS o via mail se sembrano sospetti (sono molto lunghi, molto corti, o contengono parole scritte sbagliate) o quantomeno controllarne la pericolosità con un servizio dedicato (come questo) che elenca i potenziali rischi.

Come funziona la truffa: un lavoro per due persone

A rendere particolarmente pericolosa questa truffa non è solo la natura dei dati presi di mira, ma il fatto che l’utente sta interagendo con un sistema che sembra legittimo, ma in realtà è controllato da un hacker. Per far funzionare questa macchina ruba-dati servono due persone: una che fa da direttore, scegliendo quale pagina mostrare alla vittima assistendo in diretta alle sue transazioni, un’altra che mantiene attiva la connessione attraverso la navigazione tra più pagine e finestre. La piattaforma che impersona brand noti come PayPal e Shopify, infatti, è molto dinamica e può mostrare messaggi di rifiuto della carta molto simili agli originali (per farne usare una diversa alla vittima e rubare più informazioni) o addirittura mostrare messaggi di conferma o rifiuto della transazione della banca. Per finire, visto che si inserisce in transazioni legittime su siti legittimi, il sistema può entrare e uscire dal processo di acquisto della vittima senza essere visto: basta un messaggio di carta negata e una pagina web che si ricarica per far tornare il malcapitato sul sito legittimo dove verrà completato l’acquisto senza sospettare nulla. 

Un nemico familiare

Gli investigatori che hanno individuato le origini della truffa hanno detto che l’interfaccia che utilizzano i truffatori contiene del testo in cinese semplificato, il che potrebbe indicare che dietro il software malevolo si celi un soggetto di origini cinesi. Quella presa in esame, infatti, potrebbe essere una nuova versione di una piattaforma per le truffe attiva dal 2023. Alcuni processi informatici somigliano non poco ad Outsider, un software che l’FBI sta prendendo di mira dallo scorso giugno e che ha già causato perdite stimate per 1,9 miliardi di dollari in 55 paesi. A complicare ulteriormente le cose c’è il fatto che la piattaforma è stata venduta come prodotto “self-service” (quindi utilizzabile da qualunque gruppo criminale anche poco organizzato) nei canali Telegram degli autori, quindi è probabile che più varianti siano in circolazione e attive simultaneamente.

(Foto di Julian Gojani su Unsplash)