Il CAPTCHA che ti fa fare il lavoro al posto suo.

La mossa che ribalta tutto

Ogni difesa di un computer è costruita intorno a una domanda sola: questo file arriva da fuori? Un allegato, un programma scaricato, uno script che parte da solo vengono guardati con sospetto, messi in quarantena, bloccati. È una barriera che funziona bene, e chi scrive truffe lo sa.

Questo copione non prova a superarla. La aggira chiedendo a te di aprire la porta dall’interno. Il comando non viene eseguito da una pagina web: viene eseguito da te, in una finestra di sistema che hai aperto tu, con l’account con cui stai lavorando. Per il computer non è un’intrusione, è una scelta dell’utente. E le scelte dell’utente non si bloccano.

Il resto della messa in scena serve solo a farti compiere quel gesto senza pensarci. Per questo il travestimento scelto è il CAPTCHA: è la cosa più noiosa e più innocua che ti capiti di fare online, quella che clicchi ogni giorno senza guardare.

Il copione, mossa per mossa

1. Il contatto

   Non ti scrive nessuno. Ci arrivi da solo: un risultato di ricerca spinto in alto apposta, un sito legittimo ma violato, un annuncio comprato su una rete pubblicitaria. Cerchi il driver di una stampante, un film in streaming, la versione gratuita di un programma, un modulo da scaricare. La pagina si apre e sembra quella giusta.

2. Il pretesto

   Prima del contenuto compare la verifica. Grafica pulita, spunta grigia, la frase che hai letto mille volte. A volte si presenta come una schermata di errore del browser, o come un aggiornamento da completare. Il travestimento cambia; la richiesta finale è sempre la stessa.

3. La leva: l’abitudine

   Le altre truffe usano la paura o la fretta. Questa usa la noia. Nessuno legge un CAPTCHA: lo si esegue. La leva è la parte di te che ha smesso di guardare perché quel gesto non ha mai avuto conseguenze, e il copione chiede una cosa appena diversa dal solito sperando che l’abitudine copra la differenza.

4. L’isolamento: il comando che non vedi

   Le istruzioni sono tre e sembrano innocue: premi Windows+R, premi Ctrl+V, premi Invio. Quello che non ti dice è che il testo da incollare è già nei tuoi appunti, messo lì dalla pagina nel momento in cui hai cliccato. Non lo hai copiato tu e non lo vedi mai per intero: la parte pericolosa è spinta all’inizio o alla fine con una lunga fila di spazi, così che la finestra mostri solo un frammento innocuo.

5. Il canale irreversibile

   Qui non parte un bonifico. Parte un programma che resta. Il denaro arriva dopo e da un’altra porta: le credenziali salvate nel browser, i codici di accesso alla banca intercettati alla prossima connessione, i portafogli di criptovalute svuotati, o l’accesso rivenduto a qualcun altro che passerà all’incasso fra settimane. Il momento in cui perdi i soldi non somiglia più al momento in cui hai cliccato, ed è per questo che quasi nessuno collega le due cose.

Perché un antivirus non ti salva

La domanda che arriva sempre è: possibile che nessuno se ne accorga? La risposta è che tutto quello che accade è, tecnicamente, regolare. Il comando viene battuto da un utente autenticato, in una finestra di sistema, con i permessi che quell’utente possiede davvero. Nessun file sospetto è stato scaricato e aperto: il programma spesso viene a prenderselo il comando stesso, un pezzo alla volta, usando strumenti che fanno parte del sistema operativo e che quindi risultano affidabili.

È lo stesso principio del finto operatore bancario che ti fa disporre il bonifico con le tue credenziali, invece di rubarle. Un’operazione autorizzata dal titolare non ha niente di anomalo da rilevare. La sicurezza informatica sa difendere un computer da quello che entra; non può difenderlo da quello che il proprietario decide di fare.