Settimana 3: Presunte commissioni sulla piattaforma di vendita Etsy

23.01.2024 - Nelle ultime settimane l’UFCS ha ricevuto numerose segnalazioni riguardanti la piattaforma di annunci Etsy. Subito dopo la creazione di un account, i nuovi venditori ricevono un messaggio, apparentemente da parte di Etsy, in cui gli viene comunicato che è necessario effettuare la verifica del metodo di pagamento per poter attivare il negozio online. Tuttavia, il messaggio è un tentativo di phishing.

La piattaforma di vendita Etsy è un sito di e-commerce fondato nel 2005; funge da mercato online per l’acquisto e la vendita di oggetti artigianali, vintage e artistici. In Svizzera Etsy è meno conosciuta rispetto ad altre piattaforme di vendita online. È per questo che finora l’UFCS ha ricevuto raramente segnalazioni di attacchi sulla piattaforma.

Eppure, nelle ultime settimane sono arrivate numerose segnalazioni riguardanti Etsy, e tutte seguono il medesimo schema. Si tratta di un attacco di phishing particolarmente subdolo e difficile da identificare. Inoltre, non solo vengono rubati i dati della carta di credito, la vittima viene anche indotta a pagare una somma di denaro.

Nuovi venditori nel mirino

L’attacco è rivolto contro nuovi venditori che hanno da poco aperto un negozio online su Etsy. Gli hacker hanno trovato un modo per individuare rapidamente i nuovi clienti. In un test condotto dall’UFCS, sono trascorsi appena 30 minuti tra l’apertura del negozio online e la ricezione del messaggio di truffa.

Questo tentativo di phishing è particolarmente subdolo perché il messaggio non arriva per e-mail, bensì tramite il sistema di notifica interno, la chat di Etsy. In questo modo si cerca di conquistare la fiducia dei nuovi venditori. I truffatori scelgono nomi e cognomi in modo da far sembrare che il messaggio arrivi dal servizio clienti interno o da un organo di verifica. Nel caso attuale è stato infatti utilizzato il cognome «Verifica», ma è stato già riscontrato anche il cognome «Supporto». Il nome viene poi visualizzato nel sistema di notifica, dando l’impressione che si tratti di una richiesta ufficiale da parte del servizio clienti oppure di una verifica ufficiale del processo di pagamento.

Messaggio falso che indica che il traffico dei pagamenti è bloccato.

Versamento di una cauzione come pretesto

Nelle comunicazioni successive viene affermato che per l’apertura definitiva del negozio online è necessaria una verifica del processo di pagamento. A tal fine, l’utente viene reindirizzato a una pagina dove gli viene chiesto di inserire i dati della propria carta di credito per effettuare un pagamento di 1000 dollari, per esempio. Contemporaneamente, il presunto assistente alla clientela assicura, tramite il sistema di notifica interno di Etsy, che non verrà effettuato un addebito sulla carta di credito e che si tratta soltanto di una cauzione, come si fa per noleggiare un’automobile. In questo caso, i pagamenti vengono bloccati, ma non addebitati.

Messaggio in cui si informa l’utente che si tratta solo di una prenotazione e non di un addebito.

Dopo la prima «prenotazione» arriva una seconda sollecitazione ad approvare un altro pagamento. In questo caso, per ottenere il rimborso dei 1000 dollari. Tuttavia, non ci sono né prenotazioni né rimborsi, solo addebiti per un totale di 2000 dollari. Quando la vittima chiede se è possibile discutere telefonicamente della questione, le viene risposto che potranno avere un contatto telefonico solo dopo aver concluso il processo di verifica.

In questa variante, la buona fede dei nuovi clienti viene spudoratamente sfruttata attraverso il «social engineering». Solitamente i nuovi clienti non conoscono ancora eventuali processi del fornitore di servizi. Inoltre, la comunicazione tramite la chat interna rafforza la fiducia della vittima.

Raccomandazioni

Su Etsy, le e-mail di assistenza vengono inserite nella categoria «Da Etsy». In questo modo è possibile individuare se la comunicazione è legittima.
messaggio falso che indica che il traffico dei pagamenti è bloccato.Fate attenzione al pagamento di presunte commissioni;
non lasciatevi mettere sotto pressione, ma prendetevi il tempo di verificare le modalità di pagamento del fornitore di servizi in questione;
se vi accorgete di aver effettuato un pagamento fraudolento, contattate immediatamente l’istituto finanziario in questione affinché possa bloccare il pagamento, se necessario;
se avete subito un danno finanziario, sporgete denuncia presso la polizia cantonale.

Numeri e statistiche attuali

Segnalazioni della scorsa settimana per categoria:

Numeri attuali