COME BERNIE MADOFF HA UTILIZZATO GLI STESSI INGANNI PSICOLOGICI TIPICI DELLE TRUFFE INFORMATICHE (CHIAMATE BEC: BUSINESS EMAIL COMPROMISE)

 

11 dicembre 2008, in piena crisi finanziaria, veniva arrestato Bernie Madoff, il truffatore più grande della storia, colui che ha creato una truffa finanziaria piramidale, nota come schema Ponzi, che è arrivata a 65 miliardi di dollari tra capitali versati e guadagni fittizi.

La cosa particolare è che, in oltre 30 anni, Madoff è riuscito ad ingannare non solo privati investitori, ma anche organizzazioni finanziarie e banche tra le più note al mondo e pure di diversi paesi. Ha ingannato persino la SEC (la nostra CONSOB per capirci), nonostante avesse ricevuto molteplici e specifiche segnalazioni. Come è stato possibile l’inganno?

La cosa interessante è che le circostanze di questa truffa sono comuni, per molti versi, a quelle che attualmente esistono nel mondo digitale cioè alle truffe informatiche, chiamate tecnicamente truffe BEC (Business Email Compromise).

Esse puntano ad ingannare il personale delle organizzazioni, per convincerlo a bonificare somme ingenti ad IBAN indicati dal truffatore stesso (o ad inviare informazioni “preziose”). E’ come un siluro sparato da un sommergibile nascosto nel mondo digitale: te ne accorgi solo quando colpisce l’obiettivo, o meglio, quando i soldi sono spariti.

Anche in questo caso, le vittime sono spesso persone esperte, anche con molti anni di esperienza amministrativa-finanziaria, eppure vengono ingannate lo stesso.

Quali sono allora gli elementi che inducono le vittime a cadere nella truffa, superando la loro stessa preparazione, illudendo il loro cervello, convinte di operare in modo corretto?

Ecco cosa emerge facendo un raffronto tra le due tipologie di truffe:

1. Creare fiducia nella vittima.

Madoff: Madoff, ex presidente della NASDAQ, era una figura rispettata in tutto il mondo finanziario. La sua reputazione precedeva ogni dubbio. Madoff, vestito dei suoi meriti passati, veniva visto come un mago della finanza, superando ogni barriera di diffidenza. La sua posizione ha reso facile per molti investitori fidarsi di lui senza fare troppe domande. Questa stima incondizionata ha offuscato il giudizio non solo dei privati investitori, ma anche di molte istituzioni rinomate, che gli hanno affidato miliardi di dollari senza effettuare i dovuti controlli, ritenuti superflui.

BEC: Le truffe informatiche per riuscire devono indurre la vittima a fidarsi. Ecco perché il truffatore mette la maschera di qualcuno di cui la vittima si fida o comunque ne teme l’autorità. Ed infatti i truffatori impersonano alte cariche aziendali o partner commerciali fidati o un collega o altri soggetti, che appaiono alla vittima come una persona conosciuta ed affidabile oppure molto autorevole, creando un'aura di legittimità. In questa maschera di familiarità, la guardia viene abbassata e la vittima agisce secondo le istruzioni del truffatore.

1. Conferma sociale.

Madoff: Molti investirono ciecamente con Madoff perché vedevano altri farlo, seguendo la logica del "se tutti lo stanno facendo, deve essere sicuro". Non solo, moltissime vittime sono state indotte ad investire con lui, tramite il passaparola di persone di cui si fidavano, come professionisti, parenti ed amici di vecchia data. L’emulazione allenta i freni inibitori.

BEC: Nelle truffe informatiche un meccanismo spesso utilizzato è quello di indurre, con l’inganno, una persona a comunicare con un’altra persona, chiedendole di fare l’azione truffaldina voluta dal criminale. Chi riceve la richiesta, fidandosi della persona che conosce e di cui ha fiducia o ne teme l’autorità, mette in atto l’azione senza pensarci troppo. In un caso esaminato da me e Stefano Benato, il cambio IBAN era stato comunicato dall’intermediario commerciale, persona assolutamente affidabile, che aveva dichiarato di aver verificato telefonicamente con il fornitore l’IBAN, che aveva inviato via email, che però era quello del truffatore (persi oltre 200 mila euro).

3 Creare una motivazione per agire

Madoff: Nelle truffe è la vittima che esegue l’azione dannosa voluta dal truffatore. Nel mondo volatile degli investimenti, Madoff offriva qualcosa che tutti desiderano: prometteva rendimenti costanti. I suoi rendimenti infatti erano noti per essere costantemente positivi, un'attrattiva irresistibile in un mercato incerto. C’è poi un altro elemento che lo stesso Madoff, interrogato durante il suo processo, ha evidenziato: “L’unica cosa che accomunava tutti quanti in questo campo era l’avidità”. L’avidità era diventata spesso la vera motivazione ad investire da parte delle vittime.

BEC: Nella truffa BEC, il truffatore instilla nella vittima, con l’inganno, quella motivazione convincente per eseguire l’azione dannosa voluta dal criminale. Per far questo vengono utilizzati vari “grilletti psicologici”, come ad esempio l’urgenza, collegata al rischio di grave danno, o ancora la perdita di un’opportunità da cogliere se l’azione non viene eseguita in tempi rapidi o, ancora, l’ordine rivolto ad un subordinato, che sembra provenire da una persona con autorità. Molti sono i trucchi usati con continue varianti, frutto di una notevole creatività criminale.

4 Opacità ed ambiguità: creare un mondo virtuale fasullo

Madoff: Madoff ha creato un'aura di mistero attorno alla sua strategia di investimento, affermando di utilizzare una tecnica complessa chiamata "split-strike conversion", che teneva segreta quale know how aziendale. Questa aura di complessità, abbinata alla sua reputazione, ha reso difficile per gli investitori e i regolatori capire esattamente cosa stesse succedendo, offrendogli una copertura all’apparenza molto convincente.

BEC: La creazione di un mondo virtuale all’apparenza veritiero è indispensabile per convincere le vittime a fidarsi. Molti sono i mezzi impiegati dai truffatori per raggiungere questo obiettivo, dagli account compromessi, alla creazione di email o documenti informatici o cartacei fittizi, molto simili a quelli utilizzati nell’organizzazione della vittima. Questi superano il vaglio di persone esperte anche per l’utilizzo di una terminologia aziendale condita da dettagli molto precisi, che rendono difficile discernere che si tratti di mera finzione, specie se chi effettua il vaglio non è adeguatamente formato a resistere a questo tipo di attacchi.

5 Scarsa conoscenza o negligenza

Madoff: Molti privati investitori, con scarse conoscenze in materia finanziaria, hanno spesso investito tutti i loro risparmi con Madoff, violando la regola base del saggio investitore di diversificare il rischio, fidandosi, senza avere mai un dubbio. Ma la cosa più incredibile è che molti gruppi finanziari e banche famosi e di diversi paesi non hanno eseguito audit approfonditi o controlli adeguati, confidando ciecamente nella reputazione di Madoff. In questo caso è evidente la grave negligenza commessa, ma appare straordinario come istituti molto importanti di paesi diversi siano stati indotti a non applicare le loro stesse regole interne (anche in violazione di legge) per investire con Madoff, credendo alle apparenze da lui create. Deve dirsi che Madoff più volte ha superato i superficiali e negligenti controlli eseguiti anche dalla SEC, tramite giovani inesperti e spesso in soggezione di fronte a lui.   
Una truffa quella di Madoff in grado di ingannare tutti, esperti o meno.

BEC: Le truffe BEC colpiscono soprattutto persone che non sono formate ad affrontare questo tipo di rischio, anche perché poco impattante a livello sociale a differenza del ransomware, dove invece avviene il blocco dei sistemi informatici e l’azienda si ferma (con il rischio anche di vedersi pubblicare i dati aziendali sul dark web, se non viene pagato il riscatto). Nella truffa informatica, invece, la perdita è meramente economica, di solito la somma bonificata all’IBAN del truffatore, mentre l’azienda non si ferma e di solito nulla trapela all’esterno, anche per un certo pudore. Pur essendo un rischio che cagiona perdite economiche maggiori del ransomware, è un problema scarsamente considerato dai consigli di amministrazione, vuoi per scarsa consapevolezza, vuoi per eccesso di ottimismo, nella convinzione che non possa a loro capitare, perché hanno persone di provata esperienza. E’ proprio questo senso di sicurezza che viene travolto, con grande meraviglia e delusione, quando poi la truffa avviene. Scarsa conoscenza e negligenza sono vulnerabilità che i truffatori conoscono molto bene e le sfruttano per preparare la truffa BEC.

6 BIAS cognitivi

Madoff: Ogni essere umano è nato con diversi BIAS cognitivi. Uno di questi è l'ottimismo eccessivo, la tendenza a credere che le cose andranno bene nonostante le evidenze contrarie. Molti investitori non volevano credere che una truffa fosse possibile, specialmente da una figura autorevole come Madoff. Non solo, ma spesso molti di essi avevano paura di perdersi qualcosa: la FOMO (Fear of Missing Out) crea l’ansia di perdere qualcosa di importante. Gli investitori non volevano rimanere fuori da ciò che sembrava essere un'opportunità incredibile. Questa paura li ha spinti a entrare senza fare le dovute verifiche.

BEC: Paradossalmente è proprio il nostro cervello con le sue innate vulnerabilità che agevola il truffatore, che ci fa credere all’apparenza da lui creata, che diventa però qualcosa di assolutamente reale per la vittima. E’ nota a livello scientifico (Daniel Kahneman, “Persieri lenti e veloci”) la distinzione nel nostro cervello tra sistema 1, la parte più atavica, che ci spinge a fare le azioni in modo automatico e veloce, senza troppo riflettere e che richiede poco sforzo, e il sistema 2, la parte più recente, che ci spinge a riflettere e richiede molta più fatica. Stefano Benato ha utilizzato questo approccio scientifico per capire perché le persone cadono negli inganni creati tramite il social engineering. Le persone di fronte a determinati elementi che riconoscono come familiari, utilizzano spontaneamente il sistema 1 e quindi agiscono in modo veloce e automatico, senza troppo riflettere e cadono nel tranello creato dal truffatore. Il sistema 2 viene completamente oltrepassato grazie al social engineering. Solo una formazione flessibile, che sviluppa un’abilità, è in grado di allenare le persone a porsi dei dubbi ed ad utilizzare, quando serve, il sistema 2 e, quindi, a riflettere con attenzione prima di agire. La conoscenza da sola non basta, serve sviluppare l’abilità di riconoscere un attacco social engineering e poi saper agire correttamente e questo richiede tempo, in un’organizzazione almeno due o tre anni. Si tratta infatti di far attecchire nell’organizzazione, o meglio nelle persone che la compongono, la cultura della sicurezza informatica.

In conclusione dalla comparazione tra la truffa Madoff e le truffe BEC sono emersi diversi elementi comuni, con la differenza che le seconde continuano ancora a colpire le organizzazioni, con gravi danni economici.

Per mitigare questo tipo di rischio, io e Stefano Benato, unendo le nostre diverse competenze tecnico-legali-formative, abbiamo insieme elaborato proprio un corso specifico dedicato al personale amministrativo-finanziario delle organizzazioni, che comprende anche le figure apicali.
In esso viene studiato questo tipo di truffe, non solo in teoria, ma anche andando ad analizzare nello specifico casi realmente accaduti (prendendoli dalla vasta esperienza di Stefano), per poi far elaborare dal personale stesso specifiche procedure sui pagamenti da ricevere e da eseguire (toccando anche la contrattualistica), in modo che siano personalizzate sulle caratteristiche dell’organizzazione interessata, da perfezionare poi assieme con i docenti.

Si tratta di un approccio che mira a porsi il problema prima che generi la perdita e che richiede una visione proattiva da parte della direzione dell’organizzazione, senza la quale questo rischio non può essere mitigato.

 

---

Like   Back to Top   Seen 85 times   Liked 0 times

Subscribe to Updates

Enter your email address to be notified of new posts

Subscribe to:
All Posts GDPR cyber security

x

Subscribe to Updates

If you enjoyed this, why not subscribe to free email updates ?

I've already subscribed / don't show me this again