Un’ondata di campagne fraudolente basate sull’impersonificazione di enti pubblici e piattaforme commerciali sta colpendo simultaneamente Iran, Algeria e Russia, spingendo le autorità di ciascun paese a diffondere allarmi circostanziati. L’Organizzazione iraniana per gli affari fiscali ha denunciato l’invio di SMS contraffatti che, spacciandosi per comunicazioni ufficiali sul «certificato di firma» per il sistema dei contribuenti, contengono link sconosciuti con l’obiettivo di furto d’identità, frode e sottrazione di dati. In Algeria, l’azienda postale nazionale ha segnalato la proliferazione su Facebook di pagine e collegamenti che ne usurpano logo e denominazione per indurre i cittadini a cedere informazioni personali e bancarie. Il ministero dell’Interno russo, da parte sua, ha messo in guardia contro una duplice minaccia: telefonate di falsi impiegati di banca che invocano il blocco dei conti da parte del sistema «Antifraud» e un raggiro fisico in cui una carta viene lasciata deliberatamente in un bancomat per poi accusare di furto chi la raccoglie ed estorcere un risarcimento immediato.

Le tecniche adottate dai malintenzionati convergono verso un unico punto di pressione: il codice di verifica inviato via SMS. La polizia cibernetica iraniana (FATA) ha descritto un meccanismo in cui i truffatori, fingendo di offrire premi o sconti, convincono la vittima a comunicare il codice ricevuto sul cellulare; con quel codice accedono a servizi di acquisto a credito come SnapPay e DigiPay, effettuano transazioni e lasciano il debito in capo al titolare del conto. In Russia, il deputato della Duma Anton Nemkin ha illustrato uno schema analogo: falsi operatori di marketplace chiedono il codice per annullare un inesistente addebito per la giacenza di un ordine, ma il codice serve in realtà ad autenticare l’accesso all’account della vittima e a modificarne i dati. In tutti i casi, le istituzioni ribadiscono che nessun ente affidabile – né l’amministrazione fiscale, né le poste, né le piattaforme di e-commerce – richiede codici di verifica per telefono o tramite canali non ufficiali.

Secondo le ricostruzioni fornite dalle autorità, la strategia dei criminali sfrutta la fiducia che i cittadini ripongono nei marchi istituzionali e la pressione psicologica generata da urgenze artefatte. In Algeria, la Gendarmeria nazionale e la Direzione generale della sicurezza nazionale avevano già lanciato un allarme la settimana precedente, denunciando l’uso di falsi profili di appartenenti alle forze dell’ordine per sottrarre denaro e dati. In Russia, il ministero dell’Interno ha collegato queste campagne a un più ampio ricorso all’ingegneria sociale: un primo contatto innocuo – la richiesta di un codice per un motivo banale – viene seguito da una seconda chiamata in cui un falso poliziotto o addetto alla sicurezza bancaria avverte che la comunicazione precedente era fraudolenta, inducendo la vittima a eseguire disposizioni che svuotano il conto. L’obiettivo trasversale è l’acquisizione di credenziali di accesso, informazioni bancarie e codici monouso, merce preziosa per alimentare frodi a catena.

Tutte le istituzioni coinvolte hanno diramato le medesime raccomandazioni: non cliccare su link ricevuti da mittenti sconosciuti, non condividere codici di verifica con alcun interlocutore, verificare ogni comunicazione attraverso i canali ufficiali – il portale web dell’ente, l’applicazione autentica, il numero di assistenza pubblicato – e segnalare immediatamente i tentativi sospetti. Al momento il dossier resta aperto sul piano delle indagini e della prevenzione: non sono stati annunciati arresti né operazioni coordinate a livello internazionale, ma la frequenza degli avvisi suggerisce che le campagne siano in fase di espansione e che la vigilanza dei singoli utenti resti, come ha scritto l’azienda postale algerina, «la prima linea di difesa».