Il pedaggio da 3 euro e 80.

Perché la cifra è così bassa

Chiedere 3,80 euro sembra un errore di progettazione: perché costruire un’infrastruttura di truffa per incassare pochi euro a persona? Perché non è quello l’incasso.

L’importo ha una funzione sola: essere troppo piccolo perché tu faccia qualcosa di diverso dal pagare. Una richiesta da 300 euro ti farebbe chiamare qualcuno, cercare il transito, controllare gli estratti conto. Una da 3,80 no: la paghi per liberartene, come si paga una piccola seccatura. E per pagarla devi fare l’unica cosa che al copione interessa davvero, cioè scrivere il numero della carta, la scadenza, il codice di sicurezza e poi confermare il codice che ti arriva dalla banca.

Quello che viene addebitato dopo non ha più niente a che vedere con i 3,80 euro. Nei casi peggiori la pagina non registra un pagamento singolo: registra la carta su un servizio ad addebito ricorrente, oppure usa la conferma che hai appena dato per autorizzare un’operazione molto più grande. Hai autorizzato tu, con il tuo codice, e questo rende la contestazione molto più difficile.

Il copione, mossa per mossa

1. Il contatto

   SMS, email o WhatsApp con il mittente falsificato. Sugli SMS la falsificazione del nome del mittente è banale, e ha una conseguenza precisa: il messaggio finisce nella stessa conversazione dei messaggi veri della società autostradale o della banca. Vedere il falso in fila sotto agli avvisi autentici è la prova più convincente che il copione possa offrire, e non gli è costata niente.

2. Il pretesto

   Un transito non regolarizzato, un’uscita senza pagamento, un pedaggio in sospeso, un conto targa da sistemare. Il pretesto è credibile perché è successo davvero a molti: un casello che non legge il dispositivo, un’uscita con la sbarra alzata, un passaggio con il telepedaggio scarico. Il messaggio non deve convincerti che è vero, deve solo somigliare a qualcosa che ti è già capitato.

3. La leva: la sanzione, non il debito

   Non ti si chiede di pagare un debito: ti si chiede di evitare una sanzione. È una differenza che conta, perché sposta l’attenzione dall’importo alla scadenza. «Entro 48 ore» vale più di qualunque cifra, e la maggior parte delle persone paga senza mai chiedersi se quel transito sia esistito.

4. L’isolamento: la piccolezza

   Qui l’isolamento non lo impone il truffatore: lo produce l’importo. Nessuno telefona alla società autostradale per 3,80 euro, nessuno ne parla con qualcuno, nessuno va a controllare i transiti di quel giorno. La cifra si difende da sola dalla verifica, ed è la ragione per cui questo copione ha un tasso di riuscita che quelli con richieste alte si sognano.

5. Il canale irreversibile

   Una pagina che replica quella vera fino al carattere, dove inserisci i dati della carta e poi il codice ricevuto dalla banca. Quel codice è la firma: è la autenticazione forte, cioè la conferma che l’operazione la vuoi tu. Una volta digitato, l’operazione risulta autorizzata dal titolare, ed è il motivo per cui recuperare i soldi diventa complicato.

Il codice della banca è una firma

La parte che quasi tutti raccontano come un dettaglio è invece il centro della vicenda. Il codice che arriva dalla banca, o la conferma dall’applicazione, non serve a «completare il pagamento»: serve ad autorizzarlo. È la firma sull’operazione, e va letta prima di apporla, perché il messaggio della banca contiene quasi sempre l’importo e il beneficiario reali.

È lì che il copione si smonta: la pagina dice 3,80 euro, il messaggio della banca dice un’altra cifra e un altro nome. Chi legge quel messaggio invece di limitarsi a copiarne il numero non viene truffato. Chi non lo legge sta firmando in bianco.