Non ti rubano la password. Te la fanno dare senza chiedertela.

Autorizzare non è accedere

Quando colleghi un’applicazione al tuo account — il calendario a un’app di riunioni, la posta a un programma di gestione — non le stai dando la password. Le stai dando un permesso: leggere la posta, vedere i contatti, scrivere sul calendario. È un meccanismo utile e usato ovunque, e la schermata in cui premi Consenti è quella autentica del tuo fornitore, con l’indirizzo giusto e il lucchetto giusto.

Il copione usa quel meccanismo così com’è. Ti arriva un invito a vedere un documento condiviso, a partecipare a un evento, a verificare un’identità. Quello che si apre non è una copia della schermata di accesso: è la schermata vera. L’unica cosa falsa è l’applicazione che sta chiedendo i permessi, e il suo nome è scelto per sembrare una cosa di lavoro.

Le conseguenze sono tre, e sono tutte spiacevoli. La verifica in due passaggi non protegge, perché non c’è nessun accesso anomalo da bloccare: l’hai autorizzato tu, con la tua sessione già aperta. Cambiare password non serve, perché il permesso è indipendente dalla password. E il collegamento resta, silenzioso, finché qualcuno non va a cercarlo nell’elenco delle applicazioni collegate — una pagina che quasi nessuno apre mai.

Il copione, mossa per mossa

1. Il contatto

   Un messaggio diretto o un’email che sembra di lavoro: un funzionario, un giornalista, un organizzatore di un evento, un fornitore. Spesso arriva su applicazioni di messaggistica aziendale, dove la guardia è più bassa che sulla posta.

2. Il pretesto

   Un documento da leggere, un modulo da compilare, un’identità da verificare per accedere a una cartella condivisa. Niente di allarmante: è una richiesta ordinaria, del tipo che ricevi dieci volte a settimana.

3. La leva: la schermata vera

   Qui sta il rovesciamento. Tutti i consigli sul phishing dicono di controllare l’indirizzo della pagina di accesso. Questa volta l’indirizzo è giusto, perché la pagina è davvero quella del tuo fornitore. Il controllo che hai imparato passa, e ti conferma che va tutto bene.

4. L’isolamento: il permesso che nessuno guarda

   Il testo dei permessi è scritto piccolo, in linguaggio tecnico, e chiede più di quanto servirebbe: leggere e inviare la posta, accedere ai file, restare collegata anche quando non sei presente. È l’unico punto in cui la truffa si vede, ed è esattamente il punto che nessuno legge.

5. Il canale irreversibile

   Il danno non è immediato e non somiglia a una truffa. L’applicazione resta collegata e legge. Da lì escono le conversazioni con i fornitori — materia prima per una truffa del capo o per un cambio di IBAN — e i codici di reimpostazione degli altri servizi, che passano tutti dalla posta. La perdita arriva settimane dopo, e nessuno la collega a quel Consenti.

L’indirizzo che l’assistente si è inventato

C’è una seconda porta che si è aperta di recente e che merita la stessa attenzione. Quando chiedi a un assistente automatico qual è il sito per accedere a un servizio — una banca, un negozio, un’assicurazione — può capitare che risponda con un indirizzo plausibile ma inesistente, perché è un testo generato, non un elenco consultato.

Il punto è che quegli errori sono prevedibili e ripetibili: la stessa domanda produce spesso lo stesso indirizzo sbagliato. Chi truffa lo ha capito, registra quei domini in anticipo e ci mette una pagina di accesso. Il risultato è un sito falso raggiunto senza che nessuno ti abbia mandato nulla: ci sei arrivato tu, tramite uno strumento di cui ti fidi.

La difesa è la stessa di sempre e non riguarda l’assistente: l’indirizzo di una banca o di un servizio dove metti le credenziali non si prende da una risposta generata, né da un annuncio in cima ai risultati. Si prende dal segnalibro che hai salvato, dall’applicazione ufficiale, o da un documento cartaceo che hai già — una bolletta, un estratto conto, la carta stessa.