Persino la Nutella è finita nella rete del cybercrimine. Sembra assurdo, eppure la crema spalmabile più amata d’Italia è diventata lo strumento perfetto per orchestrare una campagna di phishing che sta mietendo vittime su Facebook. Non si tratta del solito tentativo maldestro: questa truffa è costruita con cura maniacale, sfruttando la credibilità del marchio Ferrero e la psicologia dell’affare imperdibile per sottrarre dati delle carte di credito a utenti ignari.
Il meccanismo è collaudato ma sempre efficace. Tutto inizia con un post apparentemente innocuo, pubblicato da profili Facebook costruiti ad arte per sembrare collegati all’universo Ferrero. Il messaggio ha un tono confidenziale, quasi amichevole, come se provenisse da un dipendente premuroso che vuole condividere un’opportunità riservata. Il testo recita più o meno così: “Ciao a tutti! Lavoro presso un partner di Nutella. Avevamo un grande ordine aziendale di cofanetti regalo Nutella Gift Box. All’ultimo momento il cliente ha rinunciato in parte, hanno cambiato il concept dei regali. Il lotto era già stato preparato ed era pronto per la spedizione“.
La narrazione prosegue spiegando che, per non congelare le rimanenze fino alla prossima promozione, l’azienda avrebbe aperto un link riservato con prezzo scontato, destinato a dipendenti e partner. Un’occasione esclusiva, insomma, che può essere condivisa “finché la pagina rimane attiva“. Il messaggio termina annunciando che il collegamento verrà lasciato nei commenti, strategia tipica per aggirare i filtri antispam di Facebook. Chi clicca sul link viene catapultato in un universo parallelo costruito con precisione chirurgica. Il sito che si apre replica in modo convincente la grafica ufficiale del brand: loghi, font, colori, persino l’icona del browser sono identici a quelli del portale Ferrero. A questo punto l’utente viene accolto da un breve questionario sulle abitudini di consumo della Nutella, cinque domande apparentemente innocue che servono a creare un’illusione di legittimità.
Completato il questionario, scatta la fase due: una finta lotteria in cui l’utente ha tre tentativi per vincere una gift box. Naturalmente, vince sempre. È proprio qui che la trappola si chiude. Per ricevere il premio, viene richiesto di compilare un modulo con dati personali e, soprattutto, le informazioni della carta di credito. La giustificazione è plausibile: serve solo per coprire le spese di spedizione, un importo irrisorio che non insospettisce. Nel momento in cui l’utente inserisce i dati bancari, i truffatori ottengono tutto ciò che gli serve. Le informazioni vengono clonate e utilizzate per addebiti non autorizzati, per svuotare conti o per aprire nuovi profili fake che alimenteranno ulteriori raggiri. Il danno può essere devastante, e spesso le vittime se ne accorgono solo quando è troppo tardi, controllando l’estratto conto.
A segnalare il fenomeno è stato Butac, il sito italiano specializzato nel debunking delle bufale online. L’analisi ha permesso di identificare i segnali tipici di questa truffa, che nonostante l’apparente sofisticazione presenta diverse falle evidenti a un occhio attento. I profili Facebook che diffondono l’offerta, per esempio, hanno caratteristiche comuni: pochi amici, una bacheca praticamente vuota, contenuti pubblicati tutti nello stesso giorno. Le foto profilo appaiono generiche, spesso scollegate dall’identità dichiarata, e vengono caricate in blocco. Anche i commenti entusiastici sotto i post fanno parte dell’inganno. Mostrano presunte vincite, foto di bambini sorridenti con scatole traboccanti di prodotti Nutella, testimonianze di utenti soddisfatti. Molti di questi commenti sono generati da bot o utilizzano immagini create dall’intelligenza artificiale, un dettaglio che diventa riconoscibile solo osservando con attenzione le incongruenze nelle immagini o nei testi.
Gli esperti di sicurezza informatica sottolineano che truffe di questo tipo fanno leva su due meccanismi psicologici potentissimi: l’urgenza e l’idea del colpo di fortuna. La promessa di un’offerta limitata, destinata a esaurirsi presto, spinge a prendere decisioni rapide senza riflettere. La scelta di un prodotto iconico come la Nutella, poi, abbassa ulteriormente le difese: è un marchio che conosciamo dall’infanzia, che evoca fiducia e familiarità. Difficile immaginare che possa essere usato per fregare qualcuno. Eppure la realtà è questa: proprio la credibilità del brand viene sfruttata per dare verosimiglianza alla truffa. Vale la pena ricordare che aziende come Ferrero non promuovono mai iniziative di questo genere tramite profili casuali o link non verificati. Qualsiasi offerta autentica passa sempre dai canali ufficiali: sito web aziendale, pagine social verificate con la spunta blu, newsletter ufficiali. Un link riservato lasciato nei commenti da uno sconosciuto non è mai legittimo.
Per proteggersi da questa e da truffe simili, è fondamentale seguire alcune regole basilari. Prima di tutto, verificare sempre la fonte. Se un’offerta non arriva da un profilo verificato o da un dominio ufficiale, è quasi certamente falsa. Bisogna poi diffidare dei link nei commenti: i truffatori usano questa strategia per nascondere l’indirizzo reale del sito, che spesso presenta differenze minime rispetto a quello originale, come lettere sostituite o domini strani. Non bisogna mai inserire dati personali o informazioni della carta di credito su pagine che non presentano certificati di sicurezza. Un sito legittimo mostra sempre il lucchetto nella barra degli indirizzi e utilizza il protocollo HTTPS. Errori grammaticali, elementi grafici incoerenti o richieste anomale sono altri campanelli d’allarme da non sottovalutare. Se un’offerta sembra troppo bella per essere vera, probabilmente è una truffa.
In caso si sospetti di essere incappati in un raggiro del genere, è importante agire rapidamente. Segnalare la pagina a Facebook permette di impedire che altri utenti cadano nella rete. Contattare immediatamente la propria banca per bloccare la carta e verificare eventuali movimenti sospetti può limitare i danni. Cambiare le password degli account associati alla carta compromessa è altrettanto cruciale. Molte banche oggi offrono carte di credito virtuali, pensate proprio per gli acquisti online su siti poco conosciuti. Queste carte hanno plafond limitati e possono essere disattivate facilmente, rappresentando una barriera efficace contro le frodi. L’uso di sistemi di autenticazione a due fattori, come il 3D Secure che richiede una conferma via SMS o app per ogni transazione, aggiunge un ulteriore livello di protezione.
