A Bitle è arrivata una lettera col sigillo del re. Diceva urgente, diceva entro un'ora, diceva sbrigati. E Bitle si è sbrigato: ha scritto la sua chiave e l'ha mandata indietro. Poi ha guardato meglio il sigillo, e ha scoperto che era fatto a pennarello.
La fretta non è un dettaglio, è il metodo
C'è un'idea che gira da vent'anni e che oggi fa più danni che altro: che le truffe si riconoscano dagli errori di italiano, dai loghi sgranati, dalle formule strane. Non è più così. I messaggi di oggi sono scritti bene, hanno il logo giusto, arrivano da indirizzi che sembrano plausibili e a volte si inseriscono perfino dentro conversazioni vere.
L'unica cosa che non possono togliere è la fretta. Chi ti scrive per truffarti ha bisogno che tu agisca prima di pensare, perché il pensiero è esattamente ciò che fa fallire il tentativo. Per questo il messaggio dice sempre che scade qualcosa: il conto viene bloccato, il pacco torna al mittente, la fattura va pagata oggi, l'account viene chiuso entro ventiquattro ore.
Quindi la regola non è "impara a riconoscere le truffe". È più semplice e più robusta: quando un messaggio ti mette fretta, quella fretta è il sospetto. Non il contenuto, non il mittente, non la grammatica. La fretta.
Come si presentano davvero
Nelle aziende che seguiamo, tre forme tornano più spesso delle altre.
Il messaggio della banca o del corriere, di solito via SMS, con un link che porta a una pagina identica a quella vera dove ti viene chiesto di accedere. Quello che digiti lì finisce direttamente a chi ha costruito la pagina.
La fattura modificata. Una mail che sembra arrivare da un fornitore reale, con una fattura reale, ma con l'IBAN cambiato. Spesso arriva dopo che qualcuno ha davvero letto la corrispondenza tra voi, quindi i riferimenti sono corretti e il tono è quello giusto.
La richiesta urgente dal capo. Un messaggio a nome del titolare o dell'amministratore, spesso da un indirizzo simile ma non identico, che chiede un bonifico rapido o l'acquisto di buoni regalo, e che raccomanda di non parlarne con nessuno perché è una cosa riservata. La riservatezza serve a impedire l'unica verifica che smonterebbe tutto: una telefonata.
Tre controlli che bastano quasi sempre
Fermati e conta fino a dieci. Nessuna banca chiude un conto in un'ora, nessun corriere brucia un pacco alle diciotto. Se davvero la scadenza fosse reale, esisterebbe un modo per verificarla che non sia il link nel messaggio.
Guarda chi scrive davvero, non il nome visualizzato. Il nome è quello che sceglie il mittente. Il dominio no. Un dominio con una lettera in più, un trattino di troppo, una estensione diversa dal solito è il sigillo fatto a pennarello di questa storia.
Non rispondere al messaggio: vai tu. Non cliccare il link e non richiamare il numero scritto lì dentro. Apri il sito della banca come fai sempre, chiama il fornitore al numero che hai già in rubrica, alzati e vai dal collega. Se il messaggio era vero non hai perso niente. Se era falso hai appena evitato tutto.
Se ci sei già cascato
Succede, e succede anche a chi di mestiere fa il nostro. La cosa che fa danno non è cascarci, è aspettare per la vergogna.
Se hai inserito una password, cambiala subito su quel servizio e su ogni altro posto dove usavi la stessa. Se riguarda una banca o una carta, chiama la banca e fai bloccare, poi presenta denuncia: serve sia per l'assicurazione sia per eventuali contestazioni. Se hai fatto un bonifico da poco, chiedi subito il richiamo: nelle prime ore qualche volta si recupera. Se è successo su un computer aziendale, dillo a chi si occupa dell'IT nello stesso momento in cui te ne accorgi, non a fine giornata.
Quello che può fare l'azienda, e non il singolo
Sul singolo messaggio decide la persona. Ma la maggior parte del rischio si toglie prima, con tre cose organizzative.
La verifica in due passaggi su mail e gestionali: se anche la password finisce in mano a qualcuno, da sola non apre niente. Una regola sui pagamenti che nessuno può saltare, per esempio che qualsiasi cambio di IBAN di un fornitore si conferma per telefono a un numero già noto, mai a quello scritto nella mail. E un canale per segnalare senza figuracce: se chi sbaglia teme la ramanzina, aspetta, e le ore perse sono il vero danno.
Il nostro lavoro di IT Manager per le PMI è in buona parte questo: mettere in piedi le regole prima che servano, così quando arriva la lettera col sigillo dorato la risposta è già scritta.
Se vuoi capire come sta messa la tua azienda su queste cose, scrivici: due domande e ti diciamo se c'è qualcosa da sistemare davvero o se stai già bene così.
