Il finto rimborso di Leroy Merlin: il modulo che regala la tua identità

Il 15 ottobre mi è arrivata un’email che sembrava scritta dal servizio clienti di Leroy Merlin. Il messaggio era breve e cortese: l’ordine non era stato consegnato, il rimborso era già stato disposto sullo stesso metodo di pagamento e, per scusarsi del disagio, l’azienda prometteva un ulteriore accredito pari al 50% dell’importo, fino a un massimo di 500 euro. Per riceverlo bastava compilare il modulo allegato, firmarlo e rispedirlo rispondendo alla mail.

Chi ha davvero un ordine in corso, o semplicemente compra spesso online, potrebbe cascarci senza pensarci troppo. Del resto chi rifiuterebbe qualche centinaio di euro per un pacco mai arrivato? Ed è proprio su questo che contano i truffatori.

Il meccanismo è studiato con cura. Prima ti tranquillizzano, dicendoti che il rimborso dell’ordine è già partito, così non hai motivo di allarmarti né di andare a controllare. Poi ti offrono un premio, il famoso “ristoro” del 50%, ed è quello il vero amo. Nel modulo compaiono anche termini come “pre-autorizzazione”, “circuito bancario” e nomi reali di servizi di pagamento come Oney e Fintecture. Servono a dare un’aria ufficiale e burocratica a un documento che di ufficiale non ha nulla.

Anche il file allegato racconta molto. Si tratta di un semplice PDF, senza virus né link nascosti: l’ho controllato e al suo interno non c’è codice di nessun tipo. È stato creato con Google Documenti e nel nome porta ancora i segni di una conversione fatta in fretta. Non deve infettare il computer, deve solo convincerti a riempirlo con i tuoi dati.

C’è poi un dettaglio sul mittente che vale la pena spiegare. L’indirizzo che compariva nell’email terminava con privaterelay.appleid.com, un dominio che appartiene davvero ad Apple. Non significa però che Apple c’entri qualcosa. Apple offre ai suoi utenti un servizio chiamato “Nascondi la mia email”, che crea indirizzi fittizi da usare al posto di quello vero quando ci si registra a un sito. I messaggi arrivano comunque nella casella reale, ma il mittente viene riscritto in quel formato. Leggendo bene, l’indirizzo originale dei truffatori era nascosto nella prima parte, con un dominio che imitava quello di Leroy Merlin pur non essendo il suo.

Per chi usa questo servizio c’è anche un vantaggio. Siccome ogni indirizzo fittizio viene creato per un sito preciso, nelle impostazioni dell’account Apple si può vedere a quale servizio era stato dato l’indirizzo che ha ricevuto la truffa. In questo modo si capisce da dove i truffatori lo hanno preso, e lo si può disattivare con un clic.

Il punto più importante è guardare cosa chiede il modulo. Nome e cognome, luogo e data di nascita, codice fiscale, indirizzo di residenza, IBAN, nome della banca, agenzia con relativo indirizzo e, per finire, la firma. Per fare un bonifico basterebbero il nome dell’intestatario e l’IBAN. Tutto il resto non serve a darti dei soldi, serve a prenderti l’identità.

Con il nome e l’IBAN, per esempio, qualcuno può provare ad attivare a tuo nome degli addebiti diretti sul conto, cioè quei pagamenti automatici che si usano per bollette e abbonamenti. Spesso sono cifre piccole e ripetute, facili da non notare se non si controlla l’estratto conto con attenzione.

Con codice fiscale, dati anagrafici, indirizzo e una firma da copiare, i truffatori hanno in mano quasi tutto quello che serve per presentarsi come te. Possono usarlo per chiedere un finanziamento, attivare un contratto telefonico o di fornitura, aprire un conto presso operatori che fanno controlli poco severi. Di solito manca ancora una copia del documento d’identità, ed è per questo che spesso arriva un secondo messaggio che la chiede “per completare la verifica” prima dell’accredito.

C’è poi il rischio della telefonata. Chi ha risposto alla mail può essere contattato da un finto operatore, che si presenta come addetto della banca o del negozio e conosce già tutti i suoi dati. Proprio per questo sembra credibilissimo. A quel punto può chiedere un codice ricevuto via SMS, di confermare un’operazione sull’app della banca o di installare un programma di assistenza remota. È spesso in questa fase che i soldi spariscono davvero.

Infine, anche quando non vengono usati subito, dati così completi hanno un valore e vengono venduti ad altri criminali. Possono tornare utili per altre truffe anche a distanza di mesi.

Per riconoscere questa truffa basta ricordare una regola semplice: un’azienda che ti deve restituire dei soldi li rimanda sullo stesso metodo di pagamento che hai usato, e non ti chiede mai di compilare un modulo via email con codice fiscale, dati della banca e firma. Se un messaggio ti promette denaro in cambio dei tuoi dati personali, fermati. Se hai un dubbio su un ordine, accedi al tuo account dal sito o dall’app ufficiale, digitando tu l’indirizzo, senza usare i link presenti nella mail.

Se invece hai già compilato e spedito il modulo, non farti prendere dal panico ma muoviti subito. Avvisa la tua banca, spiega cosa è successo e chiedi di tenere d’occhio il conto, compresi gli eventuali addebiti diretti. Controlla l’estratto conto nelle settimane successive: un addebito diretto che non hai autorizzato si può contestare, ma prima te ne accorgi e meglio è. Diffida di chiunque ti chiami dicendo di essere la banca o il negozio, anche se conosce i tuoi dati, e non comunicare mai codici ricevuti via SMS.

È utile anche presentare una segnalazione alla Polizia Postale, che si può fare online sul sito commissariatodips.it. Nei mesi successivi può valere la pena chiedere a una centrale rischi come CRIF la propria situazione creditizia, per verificare che nessuno abbia chiesto finanziamenti a tuo nome.

Non dimentichiamolo mai: nessuno regala soldi via email. E quando il regalo è il prezzo per farti consegnare la tua identità, conviene sempre lasciarlo dov’è.

• Oggetto:La tua richiesta n.847261
  Rispondi a: Leroy Merlin <customercare_at_support_leroymerlin_it_xxxxxx@privaterelay.appleid.com>    Gentile Cliente,
  
  Ti informiamo che purtroppo non ci è stato  possibile consegnare l’ordine n. 26248L40086-1 – I037972248
  E’ già stato predisposto il rimborso per la sua totalità nella stessa modalità di pagamento da te utilizzata.
  Scusandoci per il disagio provvederemo ad accreditare un’ ulteriore  somma  pari al 50% e per un massimo di €  500,00 dell’ordine rimborsato, sul tuo conto corrente bancario.
  Per questo ti chiediamo di compilare il modulo in allegato e restituircelo firmato rispondendo a questa mail.
  Per qualsiasi chiarimento contatta il nostro Customer Care.
  
  Cordiali saluti