Cosa sono e come difendersi dalle truffe Green Pass che circolano su WhatsApp

Non è passato molto tempo da quando il Garante Privacy ha messo in guardia dai rischi del condividere sui social il QR della certificazione verde COVID-19, che esperti di cybersicurezza e forze dell’ordine hanno in effetti scovato le prime truffe Green Pass.

Truffe Green Pass su WhatsApp: come funzionano

Si tratta perlopiù di classici tentativi di smishing, ossia di phishing tramite SMS: il malcapitato riceve via messaggio un link da cui è rimandato a una pagina fake in tutto e per tutto somigliante e di fatto indistinguibile da quelle ufficiali di banche, pubbliche amministrazioni e altri servizi digitali; qui compila dei campi, perché convinto di star effettuando un login per esempio, ed è in questo momento che gli vengono sottratti dati e informazioni personali, non di rado bancari, sfruttati a propria volta dall’autore del phishing per portare a termine la truffa.

È la Polizia Postale a descrivere più nel dettaglio, sul sito e sui propri canali social, come funzionano le truffe Green Pass che stanno circolando via WhatsApp.

La vittima riceve sull’app di messaggistica istantanea un messaggio contente un link e l’invito a «scaricare il certificato verde Green Pass COVID-19 che ti permette liberamente di muoverti in tutta Italia senza mascherina» (così recita letteralmente il testo). Seguendo il link si arriva a una pagina web che, almeno a prima vista, può effettivamente sembrare una pagina istituzionale di quelle messe a disposizione dal Ministero della Salute ai cittadini che intendano scaricare la certificazione. Per andare avanti nella navigazione fino al promesso download del Green Pass sono richiesti all’utente una serie di dati, tra cui i riferimenti bancari. Compilando i diversi campi, insomma, la vittima non fa che inconsapevolmente fornire allo scammer non solo informazioni personali che potrebbero essere sfruttate in maniera controversa o per mettere a punto altre truffe e raggiri, ma anche dati come quelli del proprio conto corrente che il malintenzionato può immediatamente sfruttare a proprio vantaggio economico. Non a caso sui giornali la notizia è circolata come quella delle truffe Green Pass «che prosciugano i conti bancari».

Ci sono altre truffe che gravitano intorno a vaccini e certificazioni verdi COVID-19

Tentativi truffaldini come questi sembrano confermare studi e ricerche secondo i quali dall’inizio della pandemia sono aumentati attacchi e rischi informatici. Finte raccolte fondi online a favore di personale sanitario e altri operatori in prima linea durante l’emergenza coronavirus, presunti contest e giveaway con cui personaggi famosi come Chiara Ferragni regalavano ai primi arrivati tra i propri follower 5mila euro mossi a compassione dalle difficoltà economiche in cui al momento si trovano molte famiglie sono solo alcuni esempi di come qualche criminale informatico ha provato a cavalcare la crisi sanitaria.

Esempi a cui vanno aggiunti, ancora, vaccini contro il COVID-19 venduti sul dark web per cifre che arriverebbero fino a 750 dollari americani per una sola dose di AstraZeneca, da pagare rigorosamente in bitcoin e senza peraltro avere alcuna certezza né della reale natura della fiala che si riceverà, né addirittura di quando e se effettivamente la si riceverà a casa.

Nel dark web non sarebbe difficile neanche acquistare, pagandola poche centinaia di dollari, la stessa tanto agognata certificazione verde: non importa che non si sia completato il ciclo vaccinale o non si abbia a disposizione un certificato di guarigione o l’esito negativo di un tampone e non c’è da sorprendersi se è vero, come sottolinea tra gli altri la BBC, che i documenti falsi sono da sempre tra i beni più oggetti di compravendita nel dark web.

Come difendersi dalle truffe sul Green Pass

L’ultimo esempio riconduce dritti alle ragioni per le quali può essere pericoloso condividere in Rete, dai propri account social, immagini della certificazione verde: oltre a “esporre” i propri dati particolari, si rischia che QR e altri elementi in essa contenuti vengano salvati dai malintenzionati, appositamente modificati e rivenduti.

Anche contro gli attacchi digitali “a tema” coronavirus, in altre parole, la miglior difesa rimane adottare atteggiamenti consapevoli e le più elementari precauzioni per la propria cybersecurity. Non a caso tra i consigli condivisi dalla Polizia Postale per difendersi dalle truffe Green Pass c’è un grande classico come non aprire link dubbi o di cui non si conosca la provenienza (e i QR che compaiono sulle certificazioni verdi COVID-19 sono a tutti gli effetti link che rimandano a risorse locate in Rete).

Più specificamente, per evitare di incappare in truffe e raggiri mentre si sta cercando di procurarsi il lasciapassare per viaggi, eventi, spostamenti, ecc. si dovrebbe tenere conto che:

• l’unico sito ufficiale dove scaricare il Green Pass è https://www.dgc.gov.it/spa/public/home (in alternativa si può ottenere la propria certificazione verde COVID-19 attraverso le app IO o Immuni o accedendo al Fascicolo Sanitario Elettronico);
• il codice per scaricare il Green Pass, quando non si usano o si dispongono SPID o carta d’identità elettronica, viene fornito dal Ministero della Salute tramite SMS tradizionale e mai tramite WhatsApp o altre app di messaggistica istantanea;
• il messaggio con cui le autorità sanitarie italiane comunicano al cittadino la disponibilità del Green Pass recita sempre e solo «certificazione verde Covid-19 di (NOME E COGNOME) disponibile. Usa AUTHCODE XXXXXXXXXXXX e Tessera Sanitaria su www.dgc.gov.it o App IMMUNI o attendi notifica su App IO».

Pur essendoci al momento diversi allentamenti alle misure anticontagio che riguardano gli spostamenti, infine, rimane in molte situazioni l’obbligo di indossare o avere con sé la mascherina: messaggi che promettono una totale libertà una volta scaricata la certificazione verde COVID-19 dovrebbero suonare perlomeno sospetto.

Anche le truffe Green Pass, come molte operazioni simili, giocano cioè di ingegneria sociale e nel cavalcare desideri e bisogni, anche dei più inconsci, delle potenziali vittime. La soglia di attenzione si abbassa e cadono molte difese quando la ricompensa di un’azione, per di più semplice e immediata come seguire un link e compilare un form, è poter finalmente soddisfare un desiderio che prova da tempo come viaggiare, muoversi liberamente, riprendere la vita sociale e farlo senza curarsi di mascherine o distanziamento fisico.