La truffa valigie in mano

Un matrimonio in Kosovo. Una comitiva di invitati in partenza dal Ticino. Prima del viaggio – siamo a fine giugno – sui telefonini di diversi di loro compare un messaggio WhatsApp da parte dell’albergo. Nomi, dettagli, numero di prenotazione sulla piattaforma Booking, tutto coincide.

Nella denuncia presentata a luglio al Ministero Pubblico uno degli invitati, un 69.enne del Luganese, ha ricostruito i passaggi di quello che, poi, si è rivelato un tentativo di truffa collettiva: sventata in parte, per fortuna, ma non del tutto.

«All’inizio mi è stato chiesto di confermare diversi dettagli della prenotazione, come l’orario di arrivo e via dicendo», racconta il denunciante. «Alla fine mi è stato proposto di pagare la camera, ciò che con notevole ingenuità e distrazione ho fatto, nella convinzione di pagare, appunto, l’albergo».

Alla carta di credito vengono addebitati trecento dollari. Che però non finiscono sul conto dell’hotel in Kosovo – come la vittima ha in breve avuto modo di verificare – ma su una misteriosa piattaforma online con un dominio dell’arcipelago Chagos, nell’Oceano Indiano. Il 69.enne capisce di essere stato truffato. Avvisa gli altri partecipanti al matrimonio: nessun altro ha ancora “abboccato”, il pericolo è sventato. Ma come è possibile che qualcuno abbia avuto accesso in modo così dettagliato ai dati non di una, ma di così tante potenziali vittime?

Nel corso dell’estate i tentativi di truffa relativi a prenotazioni su Booking si sono moltiplicati. Tutto è iniziato in aprile, quando nella banca dati della nota piattaforma olandese si è scoperta una falla, che ha permesso ai pirati del web di accedere ai dati di migliaia di utenti in tutto il mondo. Fingendosi albergatori, nel pieno della stagione turistica, gli hacker hanno contattato centinaia di vacanzieri anche in Svizzera. In tre mesi l’Ufficio federale della sicurezza informatica (UFCS) ha ricevuto 170 segnalazioni da parte di altrettanti clienti, molti dei quali – quanti esattamente non si sa – sono caduti nella trappola, come il 69.enne luganese.

Il numero è significativo, ma copre solo una minima parte delle persone effettivamente colpite, precisa il portavoce Max Klaus. «È una truffa particolarmente insidiosa, perché i truffatori fanno riferimento a una prenotazione già effettuata. I messaggi fraudolenti appaiono molto più credibili rispetto a quelli inviati in modo casuale». L’UFCS tiene un monitoraggio costante e in tempo reale degli attacchi informatici in corso nella confederazione, e a partire da maggio ha notato un aumento importante (quasi nove volte) delle segnalazioni riguardanti prenotazioni alberghiere. Da 13 in aprile, a 93 in maggio. A giugno e luglio il numero è sceso (76 segnalazioni in tutto) ma è ancora molto superiore a quello “fisiologico” degli attacchi casuali, come detto molto meno pericolosi.

Il problema principale, però, nasce dopo. La Svizzera è sempre più una preda ghiotta per la criminalità digitale, che solo l’anno scorso ha messo a segno oltre 57mila attacchi (oltre un migliaio a settimana contro organizzazioni). Da ultimo, a farne le spese è stato lo stesso Ufficio federale dell’informatica e della telecomunicazione, che lunedì ha subito un attacco su cui sono ancora in corso accertamenti (si sa che circa 200 account sono stati compromessi). L’anno scorso l’UFCS ha registrato 28 attacchi informatici contro l’amministrazione federale e 325 contro infrastrutture critiche, tra cui la Ruag – per la precisione una filiale negli Stati Uniti del produttore di armamenti – è il caso più noto. Ma sono stati colpiti anche uffici pubblici di Cantoni e Comuni.

Se lo Stato non riesce a proteggere sé stesso – così come le grandi organizzazioni private o para-pubbliche – che cosa può fare per tutelarsi il singolo cittadino? Tornando al caso ticinese, trecento franchi sono «un importo irrisorio» come sottolinea la vittima nella denuncia. «Lo scopo della presente è unicamente cercare di tutelare altre potenziali vittime». Nel motivare il decreto successivo (non luogo a procedere) il 28 luglio il Ministero Pubblico sottolinea l’impossibilità di accertamenti su suolo elvetico, per individuare gli autori. «Ulteriori atti di inchiesta sarebbero possibili unicamente mediante l’inoltro di domande di assistenza giudiziaria internazionale in materia penale, senza certezza di ottenere risultati utili».

Alla vittima non resta che rassegnarsi. Celati dietro schermi e paraventi digitali, tracce sbiadite disseminate in giro per il mondo, gli ignoti borseggiatori informatici contano sul fatto che «cercarli comporta un lavoro completamente sproporzionato rispetto alle piccole somme in gioco», registra il 69.enne. «Occorre purtroppo prendere atto che siamo di fronte al crimine perfetto, dato che in tal modo il truffatore può colpire, e di fatto colpisce, centinaia di persone, e quindi le somme globali sono molto rilevanti, e lo Stato non ha la possibilità di tutelare le vittime».

Rimane la strada della prevenzione. Che parte dai consigli di chi ci è passato («fare attenzione quando si paga online, se possibile stipulare un’assicurazione») e passa per le campagne di sensibilizzazione portate avanti negli anni dalla Polizia cantonale (Cyber Sicuro) cui compete il perseguimento. Lo scorso anno la Sezione analisi tracce informatiche (SATI) ha bloccato e recuperato pagamenti per oltre 40 milioni di franchi in Ticino: i danni effettivi sono stati di 5 milioni – a conferma di come, parafrasando il Ministero Pubblico, nel complesso il maltolto è tutt’altro che “esiguo” – ma i crimini sono calati (meno 8 per cento) dopo il grande aumento dell’anno precedente, il 2024. È il segnale che, forse, la prevenzione serve, e che i malviventi devono farsi sempre più furbi.