La truffa del finto colloquio di lavoro: le e-mail phishing che citano big brand per rubare i dati

Perché è importante conoscere il fenomeno del phishing via e-mail

Ogni giorno, nelle nostre caselle di posta elettronica riceviamo numerose e-mail spam, che ci propongono promozioni ed offerte imperdibili, ma non solo: quelle più insidiose, infatti, possono nascondere vere e proprie truffe, che possono avere conseguenze davvero notevoli.

Dalle richieste di rinnovo di abbonamenti (mai sottoscritti) a quelle di modifica di password, passando per le finte eredità o i premi delle lotterie, il fenomeno del phishing via e-mail si è affermato come uno tra i fenomeni di cybercriminalità che provoca danni per milioni di euro.

Negli ultimi tempi, però, si è andata affermando sempre più la truffa del finto colloquio di lavoro, una nuova forma di phishing tramite e-mail che sfrutta una delle esigenze più pressanti per numerose persone, cioè, trovare un’occupazione.

Come funziona la truffa del finto colloquio di lavoro tramite phishing e-mail

Scopriamo quali sono i meccanismi sfruttati dai criminali informatici e, soprattutto, quali sono i segnali ai quali dobbiamo prestare immediatamente attenzione per evitare di cadere nella trappola dei malintenzionati.

1. Il mittente fa sempre riferimento a un brand famoso (agenzia, azienda, …)

I criminali informatici scelgono sempre brand famosi e, a seconda di quanto è accurato il tentativo di phishing tramite e-mail, si tratta di marchi riferibili ad aziende di settori per i quali il destinatario nutre un certo interesse. Per incrementare le possibilità di successo della frode, infatti, i cyber criminali propongono una truffa “personalizzata”.

Non sempre, però, i malintenzionati adottano queste accortezze: talvolta sfruttano in modo più generico qualunque grande nome (può trattarsi di Zara o altre realtà che si rivolgono a un pubblico decisamente più ampio).

2. L’oggetto che invita immediatamente ad aprire il messaggio

I cyber criminali curano molto l’oggetto dell’e-mail, invogliano il destinatario ad aprire il messaggio con una comunicazione che promette una buona opportunità di lavoro.

3. Il nome del destinatario è corretto

Per rendere ancor più verosimile il messaggio, i criminali si rivolgono al destinatario col suo nome.

4. I tipici contenuti presenti nel messaggio di posta

Di solito, le e-mail phishing con proposte irrealistiche di lavoro si caratterizzano per:

• Le mansioni proposte che rientrano nei tipici lavori che si possono svolgere anche da casa (assistente virtuale, inserimento dati, ottimizzazione di app, …); in alcuni casi, invece, possono essere pertinenti rispetto al curriculum della persona.
• Gli stipendi, se indicati, sono piuttosto allettanti rispetto all’impegno richiesto dalle mansioni richieste (talvolta non si fa subito riferimento alla retribuzione).
• La richiesta di usare una piattaforma di messaggistica istantanea (come Telegram), per approfondire gli aspetti dell’offerta di lavoro.

5. L’indirizzo e-mail del mittente

Se il tentativo di phishing è grossolano, di solito il truffatore usa delle caselle di posta elettronica registrate presso servizi come Gmail. Nei casi più raffinati, invece, si fa ricorso allo spoofing mostrando dei nomi a dominio che sono molto simili a quelli delle aziende cui si riferiscono i cyber criminali.

6. L’obiettivo delle e-mail: non è sempre il denaro

Seppure in alcuni casi possa essere chiesto da subito del denaro, spesso questi tentativi di phishing nell’ambito del lavoro mirano a compiere un furto d’identità.

I cyber criminali vogliono ottenere i documenti d’identità del malcapitato, per poter compiere reati di vario tipo e scaricarne la responsabilità sulla vittima della truffa. Per far ciò, possono richiedere di collegarsi a (finti) portali dove inserire i propri dati per trasmettere la candidatura, oppure, farsi trasmettere direttamente i documenti tramite posta elettronica.

Possono anche mirare a farsi consegnare le credenziali di accesso ai servizi finanziari, compiendo operazioni non autorizzate a danno del truffato.

Domande frequenti sulle e-mail di phishing con opportunità di lavoro

Le e-mail che sembrano provenire da un’azienda affidabile possono essere comunque false?

Sì, perché i criminali informatici sfruttano la tecnica dell’e-mail spoofing per falsificare l’intestazione del messaggio di posta elettronica, simulando che provenga da un dominio autorevole. Se si hanno dei dubbi, contattare direttamente l’azienda tramite il modulo di contatto presente sul sito ufficiale (o tramite un altro recapito indicato sul portale).

Come ci si deve comportare se si ricevono e-mail di questo tipo?

In primo luogo, non bisogna mai cliccare su alcun link né scaricare allegati. In seguito, non rispondere mai alle richieste contenute nel messaggio, né trasmettere alcuna informazione personale ai malintenzionati. Infine, segnalare sempre l’e-mail come spam e phishing (possibilmente anche alla polizia postale), bloccando il mittente.

Cosa si può fare se sono stati forniti i propri dati bancari?

In questo caso, prendere immediatamente contatto con la propria banca per bloccare carte o conti che potrebbero essere usati dai criminali informatici.

Cosa si può fare se sono stati inviati i propri documenti d’identità?

Contattare al più presto le forze dell’ordine (Polizia Postale) per sporgere una denuncia e contrastare il potenziale furto d’identità.

Cosa si può fare se sono state trasmesse le proprie credenziali di login?

Accedere immediatamente al portale, servizio o app e provvedere a cambiare subito l’attuale password. Prestare molta attenzione se la password è condivisa su diversi servizi o account: in questo caso, sostituirla ovunque per evitare accessi indebiti.

Cosa si può fare se si è scaricato un allegato o cliccato su un link?

Eseguire immediatamente una scansione antivirus approfondita (o completa) sul proprio dispositivo alla ricerca dei potenziali malware installati.

Ci sono conseguenze legali se si accetta una di queste finte proposte di lavoro?

Dipende dalla natura delle richieste. Se viene richiesto di ricevere un bonifico per conto di altri per poi girare il denaro su un altro conto, magari dietro la promessa di una commissione, si può inconsapevolmente prendere parte al riciclaggio di denaro.

Che cos’è la truffa del falso assegno (o check scam) nell’ambito lavorativo?

Di solito, viene inviato un assegno o un bonifico (falso o revocabile) con la richiesta di acquistare il materiale per lavorare, rivolgendosi a un «fornitore autorizzato». Quando si trasferisce il proprio denaro a questo terzo, l’assegno iniziale risulta scoperto o stornato (e si perdono i propri soldi).

Le considerazioni conclusive e il consiglio

In questo breve tutorial dedicato a capire come funziona la truffa del finto colloquio di lavoro abbiamo scoperto come le e-mail di phishing sul tema del lavoro propongono spesso delle opportunità di carriera sfruttando soprattutto i nomi dei grandi brand.

Oltre a questi messaggi di posta elettronica inviati a milioni di utenti, però, i criminali informatici sfruttano altre modalità per tentare di sottrarre i dati personali (soprattutto quelli sensibili) alle persone, come per esempio gli annunci su portali.

Grazie anche all’abuso dell’intelligenza artificiale per generare contenuti truffaldini, i malintenzionati rendono sempre più credibili le loro iniziative malevole, raggirando tantissimi utenti ogni anno, causando notevoli danni economici.

Per non perdere le news su questa tematica e le nostre guida pratiche, suggeriamo di salvare la rubrica Italian Tech tra i preferiti del browser e il portale repubblica.it tra le fonti di ricerca preferite su Google.

Leggi le altre guide tech