Questo scenario è un composito tratto da schemi documentati pubblicamente, non un caso concreto.
Settimana 1: ricognizione
Il lavoro preparatorio inizia molto prima del giorno del closing. Gli annunci immobiliari, i registri pubblici e i post sui social su un imminente trasloco segnalano tutti che è in corso un'operazione. Un attaccante non deve violare nulla per sapere chi è coinvolto; lo storico degli annunci di un buyer agent, la rubrica del personale di una title company o persino un'autorisposta di fuori ufficio possono nominare esattamente chi segue il dossier.
Giorni prima del closing: la preparazione
Con i nomi e la data di closing fissati, l'attaccante monta l'infrastruttura: un dominio quasi identico a quello della title company, oppure l'accesso a una casella realmente compromessa tramite una password riutilizzata o trapelata. Tutto è pronto prima che venga inviato un singolo messaggio sospetto.
Giorno del closing: arriva l'email
Il messaggio arriva in un momento in cui l'urgenza sembra normale, spesso vicino alla scadenza del bonifico. Fa riferimento all'indirizzo reale, alla data reale di closing e talvolta ai nomi reali di tutti gli altri nel dossier. Il cambio richiesto è di solito piccolo: un aggiornamento del numero di routing, una nota che il conto originale "è stato rifiutato". Nulla sembra drammatico.
La chiamata di follow-up
Se il compratore esita, spesso arriva una telefonata, a volte da un numero contraffatto, sempre più spesso da una voce generata dall'IA che corrisponde a qualcuno con cui il compratore ha già parlato. La chiamata esiste per eliminare l'ultimo pizzico di dubbio prima di inviare il bonifico.
Dopo il bonifico
Una volta inviati, i fondi di solito non restano a lungo sul conto di destinazione. Vengono mossi, frazionati o convertiti nel giro di ore, proprio per anticipare una richiesta di richiamo. La rilevazione spesso non avviene fino a giorni dopo, quando il venditore o il finanziatore reale conferma che i fondi non sono mai arrivati.
Dove la sequenza avrebbe potuto rompersi
Ogni fase precedente dipende da una sola cosa non verificata: l'identità di chi chiede che i soldi si muovano e il conto a cui vengono spostati. Confermare entrambi in modo indipendente, e registrare tale conferma in una scrittura blockchain a prova di manomissione anziché in un database modificabile, è l'unico passo che rompe l'intera sequenza.
- Con quanto anticipo iniziano di solito a pianificare gli attaccanti?
- La ricognizione comincia spesso settimane prima di un closing, usando informazioni pubbliche da annunci, personale e social, invece di qualsiasi intrusione nei sistemi.
- Basta una telefonata per confermare che le istruzioni sono legittime?
- Solo se fatta a un numero che avevi già, non a uno che appare nel messaggio sospetto, e combinata con una verifica indipendente di identità e dati del conto.