La crittografia protegge il percorso del messaggio; una richiesta di denaro va verificata in modo indipendente.
La crittografia end-to-end può proteggere il contenuto dei messaggi dagli intermediari, ma non garantisce che il mittente dica la verità. Anche un truffatore può inviare messaggi cifrati dal proprio account. Per valutare un falso amministratore, un premio inesistente o un'offerta legata alle criptovalute, occorre verificare l'identità dell'account e la sua richiesta separatamente dalla sicurezza del percorso del messaggio.
Tre schemi comuni e come reagire
| Messaggio ricevuto | Cosa verificare | Azione più sicura |
|---|---|---|
| «Sono l'amministratore del gruppo; invia subito questa somma» | Il nome e l'immagine di un amministratore potrebbero essere stati copiati | Controlla l'elenco degli amministratori e chiedi conferma tramite un recapito che conoscevi già |
| «Hai vinto; paga una commissione per ricevere il premio» | Un pagamento per sbloccare un premio è un segnale di truffa | Non pagare; trova l'organizzatore in modo indipendente |
| «Rendimento garantito; hai solo pochi minuti» | La fretta e la promessa di guadagni certi ostacolano le verifiche | Non inviare denaro né informazioni sul wallet e verifica l'affermazione in modo indipendente |
Questi segnali invitano a fermarsi e controllare. Un aspetto ufficiale, il numero di membri o l'approvazione di diversi altri account non bastano, da soli, a dimostrare l'affidabilità di una richiesta.
Come verificare se un amministratore è falso?
Il nome visualizzato e l'immagine di un account possono essere imitati. Controlla attentamente il nome utente e l'identificativo, ma ricorda che anche un account autentico potrebbe essere stato compromesso. Se la richiesta è insolita, contatta la persona tramite un altro canale che conosci già, invece di rispondere nella stessa conversazione.
Per esempio, se l'amministratore di un gruppo di lavoro ti chiede un trasferimento di denaro in un messaggio privato, fai confermare la richiesta tramite un numero o un canale dell'organizzazione già registrato, non tramite un nuovo numero fornito dallo stesso account. Non inviare informazioni sensibili per «dimostrare di essere un membro».
Un numero di sicurezza o un'impronta della chiave può aiutare a verificare il collegamento crittografico con il contatto. La corrispondenza delle chiavi, però, non dimostra che la sua offerta finanziaria sia legittima o che il suo dispositivo sia privo di malware.
Perché non inviare denaro o codici di accesso per ricevere un premio?
La guida della Federal Trade Commission statunitense sui falsi premi indica le richieste di denaro per ricevere un premio e di informazioni finanziarie tra i principali segnali d'allarme. Il messaggio può presentarsi come un concorso, un'estrazione, un regalo o una comunicazione dell'assistenza dell'account.
Non inviare in chat codici di accesso, password o frasi di recupero. Se qualcuno ti chiede di entrare in un sito per «attivare il premio», apri autonomamente l'indirizzo ufficiale dell'organizzatore tramite un percorso noto. Il lucchetto HTTPS o la dicitura «cifrato» sulla pagina non dimostrano che l'organizzatore sia autentico.
In cosa differiscono il pump and dump e le offerte di criptovalute dai falsi premi?
In uno schema di pump and dump, una promozione coordinata può far salire la domanda e il prezzo di un asset, consentendo agli organizzatori di vendere le proprie disponibilità. In un investimento fittizio potrebbero non esserci affatto operazioni reali, mentre un pannello mostra profitti inventati. Sono due meccanismi diversi, ma entrambi possono sfruttare l'entusiasmo del gruppo e la pressione del tempo.
La guida ufficiale della FTC sulle truffe con criptovalute mette in guardia dalle promesse di rendimenti garantiti, dall'impersonificazione e dalle richieste di trasferire criptovalute. Questo articolo non consiglia di acquistare o vendere asset: il suo scopo è aiutare a valutare una richiesta sospetta.
Evita di collegare un wallet o di firmare una transazione di cui non comprendi il significato. Non inserire mai la frase di recupero per un amministratore, un operatore dell'assistenza o per ricevere un airdrop. Un pagamento aggiuntivo per «sbloccare i profitti» o «recuperare il denaro perso» può essere una continuazione della stessa truffa.
A cosa serve la crittografia end-to-end e cosa non risolve?
Una crittografia corretta, insieme all'autenticazione delle chiavi, è progettata per tutelare la riservatezza e l'integrità dei messaggi dalle persone esterne alla conversazione. Ma un membro autorizzato del gruppo legge il testo e può mentire, inviare link dannosi o copiare i messaggi. La sicurezza post-compromissione non è un sistema di rilevamento delle truffe né una revoca automatica dell'accesso di un attaccante.
Allo stesso modo, un protocollo come SRP, che non invia direttamente la password durante l'accesso, non impedisce di inserire la stessa password in una pagina falsa. Proteggere l'accesso e riconoscere l'inganno sono due problemi distinti.
Secondo i limiti di sicurezza pubblicati da Livara, i canali pubblici non equivalgono alle chat private. La possibilità di segnalare i contenuti è utile, ma né la natura pubblica di un canale né la presenza di strumenti di segnalazione rendono impossibili le truffe.
Cosa fare se ho già inviato informazioni o denaro?
- Interrompi le comunicazioni e i pagamenti successivi; non pagare nuove commissioni per «risolvere il problema».
- Conserva messaggi, identificativo dell'account, indirizzo del sito e ricevuta della transazione per una segnalazione; non pubblicarli.
- Se hai fornito dati di accesso, entra nel sito ufficiale da un dispositivo affidabile, cambia la password e controlla le sessioni e i metodi di recupero.
- Se hai effettuato un pagamento, contatta subito la banca o il servizio di pagamento interessato. Il rimborso non è garantito, soprattutto nel caso delle criptovalute.
- Segnala e blocca l'account e il messaggio con gli strumenti ufficiali del servizio di messaggistica. Per una segnalazione alle autorità, rivolgiti all'organismo ufficiale competente del luogo in cui vivi.
Domande rapide
Bastano un badge di verifica o molti membri?
No. Verifica in modo indipendente la richiesta specifica, l'identità della persona e la destinazione del pagamento; nessun segno esteriore sostituisce queste verifiche.
Se il numero di sicurezza è corretto, la richiesta di denaro è legittima?
No. La verifica delle chiavi riguarda l'interlocutore del collegamento cifrato, non la veridicità delle sue affermazioni finanziarie o la sicurezza del suo dispositivo.
Devo cliccare sul link per capire se è falso?
No. Per valutare una richiesta sospetta, accedi prima al servizio tramite un percorso ufficiale e noto. Un'anteprima curata o un nome di dominio simile all'originale non sono prove di affidabilità.
