Truffe Klarna: come riconoscere le email false e proteggere il proprio account dal phishing

Sul sito italiano di Klarna, il servizio svedese che permette di pagare a rate gli acquisti online, è comparso da qualche tempo un avviso per i clienti. Mette in guardia da email, SMS e telefonate che usano il nome dell'azienda per carpire dati personali e credenziali di accesso. Klarna ha scelto di avvisare gli utenti perché le segnalazioni si sono moltiplicate: arrivano da chi usa il servizio, ma anche da autorità ed esperti di sicurezza, in Italia e in Svizzera. I pretesti cambiano, l'obiettivo resta lo stesso: entrare nell'account della vittima e usarlo al suo posto.

Tra le segnalazioni più rilevanti dell'anno c'è un alert del CSIRT dell'Agenzia per la cybersicurezza nazionale. Descrive una campagna che imita le notifiche dell'azienda e chiede di verificare i dati di pagamento collegati all'account entro 24 ore. Chi non lo fa, dice il messaggio, rischia il blocco di alcune funzioni, compresi i piani di pagamento rateali. Altre fonti riferiscono versioni successive che cambiano il pretesto ma non lo schema. A fine agosto la polizia svizzera ha descritto una mail che annuncia un ordine confermato e fermo in attesa di spedizione, da sbloccare aggiornando il metodo di pagamento con un vistoso pulsante. In Italia, durante l'estate, è circolata una variante con oggetto "Re: Pagamento in attesa – Aggiorna ora". In tutti i casi la grafica riprende con cura logo, colori e impaginazione delle comunicazioni ufficiali, come già visto in truffe a nome di Booking, Vodafone, Tim, MioDottore e PagoPA.

Il passaggio più pericoloso arriva dopo il clic. Il pulsante porta a una pagina di accesso falsa, molto simile a quella di Klarna, che chiede l'indirizzo email o il numero di telefono legato all'account. Mentre la vittima li digita, i truffatori usano gli stessi dati per tentare l'accesso al sito vero. Klarna a quel punto invia alla vittima un codice OTP a sei cifre, la password monouso che conferma l'identità. Il codice è autentico e arriva dai canali ufficiali, via email o SMS, ma la pagina falsa chiede di trascriverlo. Nella campagna segnalata dall'ACN i codici richiesti sono due: prima quello via email, poi quello via SMS.

Una volta inseriti, l'attaccante completa l'accesso e ottiene il pieno controllo dell'account. Alla vittima compare un messaggio di errore su un codice scaduto, pensato per non destare sospetti. Il meccanismo aggira la verifica in due passaggi, che protegge l'account solo finché i codici restano nelle mani del titolare. Un codice Klarna ricevuto senza aver chiesto di accedere è dunque un campanello d'allarme: qualcuno sta provando a entrare con i dati della vittima, e quel codice non va comunicato a nessuno.

I segnali per smascherare la mail partono dal mittente. Il nome visualizzato si può scrivere a piacere, quindi va letto l'indirizzo completo: le comunicazioni legittime arrivano dai domini ufficiali dell'azienda. Nella mail "Pagamento in attesa" riportata dall'ACN il nome mostrato era "Klarnna Se rvizio clienti", con una n di troppo e uno spazio fuori posto. L'indirizzo reale apparteneva a un ente regionale del Perù, con ogni probabilità una casella violata e sfruttata per superare i filtri antispam. Altri indizi sono il saluto generico, come "Ciao Cliente", e le scadenze strette. Perfino un riquadro verde con il lucchetto, che ricordava come Klarna non chieda mai la password via email, faceva parte dell'inganno: la frase è vera, ma serve ad abbassare la guardia, perché la password viene poi raccolta sul sito clone.

Anche l'indirizzo della pagina parla. Quella segnalata dall'ACN girava su un dominio romeno senza alcun legame con l'azienda, mentre l'accesso ufficiale passa dall'app o da app.klarna.com. Nel dubbio conviene ignorare il link e digitare l'indirizzo nel browser. Un'altra spia è una casella che si riempie all'improvviso di spam: alcuni truffatori la inondano di messaggi inutili per nascondere le notifiche vere di Klarna o della banca su accessi e acquisti in corso.

Chi ha già inserito i dati sulla pagina falsa deve cambiare subito la password di Klarna, e quella di ogni altro servizio dove usa le stesse credenziali, entrando dall'app o dal sito ufficiale. Poi va controllato se nell'account compaiono acquisti o piani di pagamento sconosciuti. Se sono stati ceduti anche i dati della carta, la prima telefonata va alla banca, che può bloccarla e verificare gli addebiti; chi ha un conto Klarna si rivolge al servizio clienti dell'azienda. In ogni caso l'accaduto va denunciato alla Polizia Postale, conservando mail, SMS e screenshot.