Perché i truffatori scrivono male apposta

Chiunque abbia ricevuto un messaggio truffa se lo è chiesto: se sono capaci di svuotare un conto corrente, perché scrivono «Gentile Client, il suo conto e stato sospenso» con l'accento sbagliato e una lettera in meno? La risposta è che quegli errori, in buona parte, sono voluti, e servono a filtrare le persone.

Il ragionamento è cinico e funziona così. Mandare un messaggio a un milione di persone costa quasi niente, ma rispondere a chi abbocca costa tempo: c'è una conversazione da portare avanti, un finto operatore da mettere al telefono, una storia da sostenere per mezz'ora. Se rispondessero anche mille persone che poi, a metà strada, si insospettiscono e riattaccano, quel tempo sarebbe buttato.

Gli errori risolvono il problema alla radice. Chi nota l'accento sbagliato e il nome scritto male è la stessa persona che, tre passaggi dopo, noterà che l'indirizzo del sito non torna. Meglio che si fermi subito.

Il filtro, spiegato con i numeri

Immagina diecimila persone che ricevono lo stesso SMS.

Se il messaggio è scritto perfettamente, magari in mille toccano il link. Ma la maggior parte di quelle mille si ferma alla pagina successiva, o alla richiesta del codice, o alla telefonata. Alla fine arrivano in fondo in dieci, e nel frattempo c'è stato da gestire il traffico di novecentonovanta persone diffidenti.

Se il messaggio contiene tre errori evidenti, toccano il link in cinquanta. Ma quelle cinquanta sono persone che agli errori non hanno fatto caso, e la percentuale che arriva in fondo è molto più alta. Il risultato finale è simile, con una frazione del lavoro.

È lo stesso motivo per cui certe truffe raccontano storie assurde, tipo un'eredità in un paese lontano. Non sono ingenue: sono selettive.

Gli altri errori che non sono errori

Una volta capito il meccanismo, si riconoscono anche gli altri dettagli che sembrano sbadataggini e non lo sono.

Il saluto generico. «Gentile cliente», «Buongiorno utente». Non è che non conoscano il tuo nome, anche se spesso è vero: è che un saluto generico permette di usare lo stesso messaggio per tutti, e chi si accontenta di essere chiamato «utente» dalla propria banca è il destinatario giusto.

L'urgenza esagerata. «Entro 24 ore», «ultima possibilità», «il conto verrà chiuso». Nessun ente serio si comporta così, e chiunque abbia mai avuto a che fare con una banca lo sa. Chi non se ne accorge è la persona che si spaventerà anche al telefono.

La cifra piccola. Un paio di euro di spese di giacenza, pochi centesimi di conguaglio. Serve a far sembrare la faccenda una seccatura burocratica invece che una decisione, e a far tirare fuori la carta senza pensarci.

Le maiuscole in mezzo alla frase e i simboli strani. Servono anche a un'altra cosa, più tecnica: a passare i filtri automatici che riconoscono i messaggi truffa. Scrivere «B4NCA» o mettere caratteri simili ma diversi confonde i programmi di controllo, e come effetto secondario rende il testo storto agli occhi umani.

Quando invece scrivono benissimo

Vale la pena dirlo, perché aspettarsi sempre gli errori è la nuova trappola.

Da quando esistono programmi che generano testi in italiano corretto, molti messaggi truffaldini sono impeccabili: grammatica giusta, tono professionale, perfino il logo della banca al posto giusto. Il filtro degli errori sta perdendo utilità, e chi ha imparato solo quel segnale rischia di sentirsi al sicuro davanti a un messaggio ben scritto.

C'è poi una categoria che ha sempre scritto bene: le truffe mirate, quelle in cui il tuo nome, la tua banca e a volte anche il nome di tuo figlio compaiono nel testo. Costano di più a chi le fa, quindi sono rare, ma quando arrivano sono difficilissime da distinguere.

Per questo il segnale su cui vale la pena appoggiarsi non è mai l'italiano, ed è sempre lo stesso: l'indirizzo del link e la richiesta. Un messaggio scritto benissimo che ti chiede il codice arrivato per SMS è una truffa esattamente come uno pieno di errori.

I due controlli che reggono anche sui messaggi ben scritti

L'indirizzo. Guarda la parte che sta subito prima della prima barra: deve finire esattamente con il nome ufficiale. inps.it è dell'INPS; inps-servizi.net no; e nemmeno inps.it.area-utenti.com, dove il nome vero è area-utenti.com. Nessun programma di scrittura automatica può risolvere questo problema a chi truffa, perché il nome ufficiale semplicemente non è suo.

La richiesta. Il codice usa e getta, il PIN, la password, l'installazione di un programma che veda il tuo schermo, lo spostamento di soldi su un conto sicuro. Nessuna di queste cinque cose viene chiesta da nessun ente legittimo, in nessuna circostanza, per quanto bene sia scritta la frase che la accompagna.

Il copione generale, quello che vale per tutte le truffe indipendentemente da come sono scritte, sta in truffe online: come riconoscerle.

Cosa fare con questa consapevolezza

La cosa più utile non è diventare sospettosi di tutto, che è faticoso e rende la vita sgradevole. È spostare l'attenzione dal come al cosa.

Smetti di valutare se il messaggio sembra vero. L'aspetto è la parte che chi truffa controlla meglio, e su cui investe di più.

Guarda cosa ti chiede di fare. È la parte che non possono cambiare, perché è lo scopo della truffa. Se ti chiede di toccare un link e inserire dati, o di dare un codice, o di installare qualcosa, il resto non conta.

Verifica sempre per conto tuo. Numero sul retro della carta, applicazione già installata, indirizzo scritto da te. Mai il link, mai il numero nel messaggio.

Una nota che riguarda le persone più delle tecniche: chi è caduto in una di queste truffe si sente spesso stupido proprio a causa degli errori, «come ho fatto a non vedere che c'era scritto male». Ma gli errori erano lì apposta per essere superati da chi in quel momento era preoccupato, di fretta o distratto, e la selezione non riguarda l'intelligenza. Riguarda il momento della giornata in cui è arrivato il messaggio.

Nel corso sulle truffe digitali si allena esattamente questo sguardo, su messaggi veri, con le esercitazioni in cui si devono trovare i falsi in mezzo agli autentici.