Truffa su Twint

L’indizio: ecco un prodotto interessante a un ottimo prezzo su una piattaforma di vendita, ad esempio uno smartphone o una console per videogiochi. Il venditore richiede il pagamento anticipato tramite Twint.

La realtà: non appena il denaro viene versato, l’account del venditore viene cancellato oppure l’acquirente viene bloccato. Il denaro è perso poiché le transazioni su Twint tra privati possono essere annullate soltanto con il consenso del beneficiario.

Segnali d’allarme: in genere, sulle piattaforme di vendita non si dovrebbero utilizzare codici QR o codici di pagamento Twint a cinque cifre ricevuti da venditrici o venditori privati. Spesso si nasconde infatti uno shop online poiché queste modalità di pagamento possono essere offerte soltanto da imprese. In altre parole, il truffatore passa per uno shop online per frodare l’acquirente.

Se possibile, bisognerebbe ritirare l’articolo personalmente e pagare il prezzo di acquisto solo dopo averlo ricevuto e controllato. Se non è possibile, occorre verificare attentamente i punti di seguito indicati in relazione alle offerte e ai venditori.

• Prezzo d’acquisto: l’offerta è troppo buona per essere vera?
   
• Data di creazione dell’account del venditore, valutazione, numero di offerte: se l’account esiste solo da poco tempo o ha troppi pochi amici su Facebook, bisogna prestare molta attenzione.
   
• Foto dell’articolo: consigliamo di caricare uno screenshot dell’articolo nella ricerca immagini di Google. Se la stessa immagine appare anche in altri Paesi, l’offerta è probabilmente contraffatta.
   
• Ritiro: è bene chiedere se si può ritirare l’articolo il giorno stesso dietro pagamento in contanti. I truffatori cercano il più delle volte una scusa per scartare questa opzione: ferie, trasloco, trasferta di lavoro all’estero ecc.
   
• Numero di telefono collegato a Twint: raccomandiamo di chiamare il numero e di annunciare che si sta telefonando per l’articolo offerto sulla piattaforma XY. Se il numero non è assegnato sebbene sia registrato presso Twint oppure se la persona al telefono non sa fornire alcuna informazione sull’articolo, si tratta molto probabilmente di un tentativo di truffa.

Per la piattaforma Ricardo consigliamo di utilizzare il servizio «MoneyGuard», tramite il quale il pagamento via Twint viene dapprima trasferito su un conto di deposito a garanzia e poi autorizzato solo se viene confermata la ricezione della merce.

Pagamento invece di accredito

La situazione: una presunta acquirente invia uno screenshot con un codice Twint a cinque cifre e chiede di immettere questo codice nell’app Twint al fine di «confermare/ricevere il pagamento».

La realtà: il codice Twint a cinque cifre è un codice di pagamento per un acquisto che i truffatori effettuano parallelamente. I truffatori fanno affidamento sul fatto che potranno effettuare il loro pagamento, spesso per l’acquisto di buoni regalo online, mediante l’azione richiesta al fine di ricevere un presunto pagamento che però non arriverà mai.

La situazione: l’acquirente sostiene di aver già inviato il denaro. Per ricevere l’importo bisognerebbe soltanto cliccare su un link oppure scansionare un codice QR.

La realtà: su Twint non è mai necessaria un’azione per ricevere un pagamento. Aprendo il link o scannerizzando il codice QR si finisce solitamente su una finta pagina di login, nella quale viene richiesto di inserire i propri dati di accesso per Twint o per l’e-banking. In realtà, questi dati vengono trasmessi ai criminali. Al paragrafo ֤«Phishing per ottenere i dati di accesso all’e-banking» più avanti si trovano altre informazioni su questo argomento.

Per spedire del denaro tramite Twint non serve altro che il numero di cellulare del beneficiario del pagamento. Occorre dare conferma solo se qualcuno richiede del denaro. Bisogna dunque essere molto diffidenti se, per un pagamento tramite Twint, una persona desidera conoscere altre informazioni oltre al numero di cellulare. In tale situazione raccomandiamo di non scansionare alcun codice QR e di non immettere alcun codice a cinque cifre nella propria app Twint. Evitare inoltre di confermare pagamenti richiesti da sconosciuti.

I propri dati di accesso a Twint non devono essere mai utilizzati al di fuori dell’app. Se sono stati inseriti i dati di accesso su un sito web e non è apparso alcun messaggio di errore, segnalare la sospetta truffa alla banca collegata alla propria app Twint. Ricordiamo che in nessun caso va inoltrato ad altre persone un codice di verifica ricevuto sul proprio cellulare. Infatti questo codice, in combinazione con gli altri dati trasmessi, permette ai truffatori di assumere il controllo dell’account Twint.

I messaggi di seguito riportati sono esempi tipici di phishing tratti dalla vita di tutti i giorni.

E-mail (phishing)

Aggiornamento di sicurezza: «Abbiamo aggiornato le nostre CGA. La preghiamo di confermare il suo account entro 24 ore per evitare che venga cancellato».

Inattività: «Il suo profilo TWINT è inattivo. Lo riattivi qui per mantenerne la piena funzionalità».

Fatture falsificate: si riceve un sollecito, ad esempio, da Swisscom, dalla Posta o da Sunrise, con un link a un «portale di pagamento» che si impossessa dei dati di login della vittima.

SMS (smishing)

Recapito di pacchi: «Non è stato possibile recapitare il suo pacco. La preghiamo di confermare il suo indirizzo e di pagare 1,95 franchi di dazi doganali».

Blocco del conto: «Il suo conto TWINT è stato bloccato per motivi di sicurezza. Confermi qui la sua identità per ripristinare l’accesso».

Rimborsi: «Le spetta un rimborso fiscale (AFC) o un accredito di un provider. Clicchi qui per ricevere il pagamento».  

Telefono (vishing o voice phishing)

Finto poliziotto oppure finto dipendente della banca: un presunto poliziotto o collaboratore della banca sostiene che si è verificato un attacco hacker sul conto della potenziale vittima. Per poter «salvare» il proprio denaro occorre comunicare subito il codice ricevuto per SMS oppure confermare una transazione nell’app.

Chiamata del servizio di supporto: «Qui è il servizio di supporto di TWINT. Stiamo riscontrando delle irregolarità».

Codici QR (quishing)  

Lettere falsificate (denominate anche «phishing offline»): «Ai sensi della nuova legge sul riciclaggio di denaro siamo tenuti a verificare i conti delle nostre clienti e dei nostri clienti. La preghiamo di controllare le sue coordinate bancarie entro il XX.YY.20ZZ per evitare che il suo conto venga bloccato».

Codici QR sostituiti: i truffatori incollano un adesivo con un proprio codice QR finalizzato a mettere a segno operazioni di phishing sui veri codici di parchimetri, colonnine di ricarica per auto elettriche o cartelloni per donazioni. Questi codici vengono poi scansionati tramite la fotocamera dello smartphone dalla vittima, che viene reindirizzata su un sito web fraudolento. È importante quindi scansionare i codici di pagamento QR sempre e soltanto tramite l’app Twint poiché, in caso di codice QR di phishing, apparirà un messaggio di errore.  

App di messaggistica e social media

Inoltro a terzi di un codice: un presunto contatto della potenziale vittima le dice di averle fatto inviare per errore un codice SMS e le chiede di inoltrarglielo rapidamente.

La realtà: i truffatori hanno hackerato l’account sul social media del contatto della vittima e lo utilizzano per carpire il codice di attivazione del conto Twint.

I truffatori cercano in seguito di effettuare il login al conto Twint della potenziale vittima con i suoi dati di accesso. A tal fine, oltre che dei dati di login, hanno bisogno anche di un codice di verifica. Per ottenerlo si fanno vivi ancora una volta per telefono o tramite chat. Questo metodo viene chiamato anche «phishing in tempo reale».

I truffatori si spacciano per esempio per dipendenti del servizio di supporto della piattaforma di vendita e chiedono di comunicar loro il codice. In alternativa, la vittima riceve un messaggio da qualcuno che afferma di aver fatto inviare per errore un codice di verifica al suo numero.

Una volta che i truffatori riescono a far breccia nel conto Twint, il più delle volte esauriscono completamente il limite di spesa massimo disponibile. In caso di conti Twint con limite giornaliero, tentano di saccheggiare nuovamente la disponibilità allo scoccare della mezzanotte.

I propri dati di accesso a Twint non devono essere mai utilizzati al di fuori dell’app o comunicati a terzi. Ogni volta che si desidera effettuare il login al proprio conto Twint occorre accertarsi di aver aperto l’app direttamente sul proprio cellulare e non tramite un link o un codice QR ricevuto in un messaggio.

In nessun caso bisogna inoltrare ad altre persone un codice di verifica ricevuto sul proprio cellulare. Questo vale in particolare se la richiesta sospetta proviene da persone del proprio ambiente sociale. Nella maggior parte dei casi il codice di verifica è l’ultima tessera del puzzle di cui necessitano i truffatori per assumere il controllo del conto Twint. È importante attivare nella propria app Twint la funzione di notifica delle transazioni. In questo modo ci si rende conto immediatamente di transazioni fraudolente e si può reagire senza indugio.

Raccomandiamo pertanto di diffidare delle chiamate che sembrano arrivare dalla banca o dalla polizia. Il fatto che il display del telefono indichi il nome della propria banca o della polizia o che la persona dall’altra parte della cornetta parli con un accento locale non permette di escludere che si tratti un tentativo di truffa. Non bisogna mai rivelare informazioni al telefono. Twint e le banche collegate a Twint non richiedono mai agli utenti di rivelare codici o dati di accesso telefonicamente o via messaggio. In caso di dubbi, occorre rivolgersi direttamente alla propria banca o agli uffici di polizia.

Sostituzione del numero di telefono

L’indizio: A un mercato delle pulci si vuole pagare un acquisto con Twint e si inserisce come beneficiario del pagamento su Twint il numero di telefono indicato su un cartello affisso alla bancarella.

La realtà: I truffatori hanno sostituito discretamente il numero di telefono del venditore con il proprio. Se si trasferisce il denaro questo finirà sul conto di un impostore.

Nota: le condizioni d’uso di Twint vietano ai commercianti di offrire la possibilità di pagare tramite numero di cellulare in occasione di transazioni commerciali (negozi di prodotti agricoli, bancarelle al mercato, ecc.).

Il messaggio «Ciao mamma»

L’indizio: una mamma riceve il seguente messaggio su WhatsApp: «Ciao mamma, sono al ristorante. Mi hanno appena rubato la borsa con cellulare e portafogli. Mi puoi per favore twintare 100 franchi a questo numero così posso pagare il pranzo?».

La realtà: naturalmente questa storia è fittizia. Lo stratagemma: un presunto conoscente dice di essere in una situazione d’emergenza e chiede un pagamento tramite Twint. In realtà, i truffatori hanno hackerato il conto Twint e forse anche quello WhatsApp o dei social media della persona in questione.

L’indizio: un avventore paga un giro di birre per il proprio gruppo e mostra al barista una conferma di pagamento di Twint sul proprio telefono.

La realtà: si tratta di una conferma finta e in realtà non è avvenuta alcuna transazione. L’avventore mostra per esempio lo screenshot del pagamento fatto per il giro precedente. In questo caso la parte lesa è il gestore del bar.

Attenzione: tramite l’app «TWINT Business Portal» e il «portale rivenditori TWINT» ogni commerciante può verificare in tempo reale la ricezione di un pagamento. È quindi fondamentale sensibilizzare i dipendenti affinché verifichino i seguenti punti a ogni transazione:

1. Nell’app «TWINT Business Portal» è effettivamente visibile una nuova transazione in entrata?
2. La data e l’ora del pagamento coincidono con la transazione?

Importante: Per le transazioni Twint tra privati, la schermata di conferma di pagamento non riporta né la data né l’ora.

Scansionare il codice QR di Twint soltanto dall’app stessa. È bene accertarsi per qualsiasi pagamento tramite Twint e pagamento di fatture con codice QR che il beneficiario del denaro e l’importo siano corretti. In caso di dubbi, bisogna verificare la situazione con l’emittente della fattura prima di trasmettere il denaro.  Un truffatore potrebbe aver inviato una fattura falsificata contenente un codice QR di phishing.

Occorre ricordare che alla conferma nell’app Twint segue di norma un addebito sul proprio conto. Raccomandiamo pertanto di verificare prima della conferma che il beneficiario del pagamento e l’importo siano corretti. Se una persona sostiene di aver versato per errore del denaro, consigliamo di controllare le proprie transazioni su Twint prima di «restituire» il denaro.

Se si riceve un messaggio da una persona del proprio ambiente sociale in cui questa afferma di trovarsi in una situazione d’emergenza e di aver bisogno urgentemente di denaro, è necessario verificare con attenzione la circostanza prima di effettuare il pagamento. Occorre inoltre essere particolarmente diffidenti se una persona fa pressione perché si agisca velocemente.

Quando si riceve del denaro tramite Twint è importante verificare per ogni transazione che la somma sia effettivamente arrivata. Infatti la conferma di pagamento di Twint mostrata sul display del telefono potrebbe essere falsa (per esempio un video o uno screenshot di una conferma di pagamento precedente riferita a una transazione dello stesso importo).