Come Trans.eu intercetta le frodi sulle merci

Michał Pakulniewicz: Due anni fa avevamo parlato delle frodi nel trasporto e lei aveva descritto una sorta di ciclo. In alcuni periodi il problema principale erano gli spedizionieri fittizi, in altri i truffatori che si spacciavano per vettori. All’epoca, la minaccia più seria era rappresentata dall’acquisizione di aziende di trasporto già consolidate. Che cosa è cambiato da allora?

Piotr Sobala, responsabile del team internazionale per la sicurezza di Trans.eu Group: Ho parlato di «ciclo» perché la criminalità nel trasporto cambia continuamente forma. A volte aumentano i casi che coinvolgono falsi vettori, mentre in altri periodi sono gli spedizionieri disonesti a creare i problemi maggiori.

Due anni fa eravamo nel pieno di una fase particolarmente sofisticata. I criminali acquisivano legalmente aziende di trasporto già operative e sfruttavano la loro storia e la fiducia costruita negli anni. Un’impresa di questo tipo risultava credibile sia agli spedizionieri sia ai vettori, permettendo ai truffatori di prendere rapidamente in carico fino a una dozzina di spedizioni di valore.

Sarebbe stato logico aspettarsi un’ulteriore diffusione di questo modello. Invece i criminali hanno cambiato strategia. Sempre più spesso non hanno bisogno di impossessarsi di un’intera azienda: rubarne l’identità digitale è molto più semplice.

In che modo?

Il phishing, cioè l’inganno con cui si inducono gli utenti a consegnare le proprie credenziali, è diventato la minaccia principale. Rispetto all’acquisizione di un’azienda, è più facile, meno costoso e soprattutto molto più rapido. Lo schema è quasi sempre simile: l’utente riceve un messaggio che sembra provenire dalla piattaforma.

Nel messaggio gli viene chiesto di effettuare nuovamente l’accesso, aggiornare i dati o risolvere un presunto problema dell’account. Il collegamento, però, non porta al vero sito Trans.eu, bensì a una copia estremamente convincente. Quando l’utente inserisce nome utente e password, il truffatore può entrare nell’account e impersonare l’azienda legittima per un periodo limitato.

Molti titolari d’azienda pensano di riconoscere subito un’email falsa. Sono davvero così convincenti?

Purtroppo sì, e stanno diventando sempre più difficili da smascherare. Le prime campagne di phishing erano relativamente facili da individuare. Oggi una pagina di accesso contraffatta può riprodurre quasi alla perfezione quella originale. Spesso l’unica differenza si trova nell’indirizzo web: una lettera diversa o un’estensione del dominio insolita. Quando si lavora di fretta e si gestiscono decine di messaggi al giorno, è facile non notare un dettaglio così piccolo. Ed è proprio su questa distrazione che fanno affidamento i criminali.

Che cosa succede dopo? Le credenziali rubate vengono utilizzate subito?

Non necessariamente. È uno degli aspetti che più sorprendono. Il criminale non deve accedere all’account il giorno stesso: può aspettare una settimana, un mese o anche più a lungo. Abbiamo registrato una fase particolarmente intensa di campagne di phishing tra la fine del 2024 e l’inizio del 2025, mentre i tentativi di sottrarre merci sfruttando quelle credenziali sono comparsi molti mesi dopo.

Il truffatore osserva l’attività dell’azienda e aspetta il momento più favorevole per agire. Solo allora utilizza l’account compromesso. Di conseguenza, il titolare potrebbe non collegare l’incidente a un messaggio aperto diverse settimane prima.

Rispetto a due anni fa c’è però una differenza importante. In passato la preparazione di un attacco poteva durare mesi. Oggi la priorità è la velocità. Se il criminale sta utilizzando l’account di un’azienda esistente, sa che il titolare prima o poi noterà un accesso non autorizzato o un nuovo utente. Non c’è più tempo per costruire la credibilità nell’arco di diversi giorni: a volte restano soltanto poche ore.

Questo incide anche sulla quantità di merce che può essere sottratta? Dopo aver preso il controllo di un’azienda, i criminali potevano pianificare con più calma un’operazione di ampia portata. È più difficile farlo con un’identità rubata?

Sì. Qualche anno fa i criminali investivano molto tempo nella preparazione di una singola operazione importante. Prendevano il controllo di un’azienda credibile, costruivano l’infrastruttura necessaria, si preparavano per settimane e poi ingannavano diversi spedizionieri in un breve lasso di tempo, sottraendo numerose spedizioni di alto valore. Acquisire un’azienda aveva senso solo se l’obiettivo era appropriarsi di una grande quantità di merci. Oggi il modello è diverso.

Chi opera attraverso un account compromesso sa di avere una finestra temporale molto stretta. Il titolare potrebbe individuare un accesso anomalo, i nostri analisti rilevare un’attività sospetta e l’account venire bloccato.

Per questo la rapidità è decisiva. Invece di pianificare un’operazione con numerose spedizioni, il criminale spesso punta a una o due merci e poi scompare. Ne deriva un paradosso: i tentativi di frode aumentano, ma il valore medio di ogni singolo furto diminuisce.

Eppure lo scorso anno è stato un anno record per i furti di merci in Europa.

È vero, e questo dimostra che il problema è tutt’altro che risolto. Sul mercato europeo il numero degli incidenti ha raggiunto livelli record. A seconda della fonte, rispetto all’anno precedente l’aumento è arrivato a raddoppiare o triplicare. È un’indicazione chiara delle dimensioni della sfida che il settore deve affrontare.

Allo stesso tempo, i dati della nostra piattaforma mostrano un elemento interessante. Anche se rileviamo più tentativi di frode, il valore complessivo delle merci sottratte è in diminuzione. Come dicevo, chi entra in un account tramite phishing sa di avere pochissimo tempo: il titolare si accorgerà presto che qualcosa non va oppure interverrà il nostro team per la sicurezza.

Non c’è più il tempo necessario per preparare un’operazione su larga scala. Il criminale deve agire immediatamente. Questo produce più tentativi complessivi, ma attacchi individuali molto più limitati.

Abbiamo inoltre osservato un numero inferiore di aziende colpite nei primi sei mesi dell’anno in corso. I criminali continuano chiaramente a sviluppare nuove tecniche, ma le nostre misure di sicurezza stanno contribuendo a contenere le perdite.

Per noi questo dato è più importante del semplice numero di incidenti. Anche i partner commerciali sono diventati più attenti e informati sui rischi, contribuendo alla riduzione del valore delle merci sottratte.

Si può quindi dire che il 2025 abbia risentito della grande ondata di campagne di phishing osservata tra la fine del 2024 e l’inizio del 2025, mentre nei primi sei mesi dell’anno la situazione ha iniziato a stabilizzarsi grazie alle nuove protezioni?

Vorrei poter dire che è andata esattamente così, ma sarebbe una conclusione troppo semplice. Non credo che i criminali informatici abbiano fatto un passo indietro. Anzi, continuano a comparire scenari nuovi.

Abbiamo rilevato casi in cui un account compromesso non è stato utilizzato subito per rubare merci. Il criminale ha invece inviato, attraverso il sistema di messaggistica della piattaforma, file PDF contenenti malware. Chi li apriva rischiava di compromettere anche il proprio computer. È un’ulteriore conferma del fatto che i truffatori cercano continuamente nuovi modi per ottenere l’accesso ad altri account.

Ha parlato di nuove tecniche criminali. Il phishing è ancora la minaccia principale o stanno emergendo altri scenari?

Il phishing è uno dei due scenari principali. Prima di parlare del secondo, cioè la creazione di società di comodo sulla piattaforma, è importante ricordare che il furto d’identità comprende anche una tecnica ormai nota: impersonare aziende al di fuori della piattaforma.

I truffatori creano indirizzi email quasi identici a quelli legittimi. A distinguerli può essere una sola lettera o un’estensione del dominio diversa.

Poi contattano vettori o spedizionieri e cercano di spostare la conversazione fuori dalla piattaforma. È una tecnica vecchia, ma continua a essere molto efficace. In base ai casi che ci vengono segnalati, la maggior parte delle frodi commesse al di fuori delle piattaforme di trasporto segue proprio questo schema.

E le persone continuano a cascarci?

Purtroppo sì. A volte pensiamo che una tecnica sia ormai così conosciuta da non poter più ingannare nessuno. In realtà bastano la fretta, un momento di distrazione o una situazione apparentemente urgente. È lo stesso meccanismo alla base di ogni campagna di phishing: alla vittima non viene lasciato il tempo di fermarsi e riflettere.

Per questo invitiamo sempre gli utenti a verificare l’indirizzo del mittente, controllare con attenzione l’indirizzo del sito e non spostare la comunicazione fuori dalla piattaforma, a meno che non ci sia una ragione precisa per farlo.

Accanto al phishing ha citato un’altra tecnica molto utilizzata dai truffatori: le società di comodo.

Il phishing resta uno dei problemi più seri, ma non è l’unico. Le aziende create esclusivamente per sfruttare, dopo alcuni mesi, una reputazione costruita ad arte rappresentano una minaccia sempre più significativa. È la seconda tendenza ben riconoscibile che stiamo osservando.

Qualche anno fa molti truffatori cercavano di acquisire aziende già affermate e con una storia verificabile. Oggi può essere più conveniente creare una nuova società, completare la procedura di verifica, costruire credibilità per diversi mesi e solo dopo commettere la frode. Richiede pazienza, ma offre ai criminali un controllo molto maggiore sull’operazione.

Parliamo di imprese completamente fittizie oppure di società regolarmente registrate e realmente operative?

È proprio questo a rendere la minaccia così difficile da individuare. In molti casi si tratta di aziende registrate in modo del tutto legale. Possiedono una licenza, un’assicurazione, una storia sul mercato e un titolare identificabile; inoltre completano la procedura di autorizzazione. Sulla carta sembra tutto regolare.

Non sono aziende che si possono respingere subito perché sospette. Al contrario, possono apparire perfettamente normali per molti mesi.

Quindi svolgono davvero operazioni di trasporto sulla borsa dei carichi?

Spesso sì. È un altro cambiamento che stiamo osservando. In passato i truffatori volevano agire il più rapidamente possibile. Oggi possono costruire con pazienza la propria credibilità: portano a termine singoli incarichi, raccolgono recensioni positive e accumulano referenze. Tutto sembra normale.

Solo dopo un certo periodo arriva il momento per cui l’azienda è stata creata: un furto, a volte due, e poi l’impresa scompare.

Questo significa che controllare soltanto i documenti non è più sufficiente?

Esatto. La verifica dei documenti resta indispensabile. Dobbiamo sapere chi sta registrando l’azienda e se i documenti presentati sono autentici. Oggi, però, questo controllo non garantisce più una protezione completa.

Se una persona intende commettere una frode fin dall’inizio, può preparare l’intero processo molto più efficacemente rispetto a qualche anno fa. Per questo è altrettanto importante monitorare che cosa accade all’azienda dopo il completamento della procedura di autorizzazione.

Quindi una maggiore attenzione e controlli più approfonditi sui potenziali partner commerciali sono responsabilità condivise tra il gestore della piattaforma e gli utenti? Anche questi ultimi prestano più attenzione alle attività sospette?

Senza dubbio. Qualche anno fa molti verificavano soprattutto se l’azienda fosse autorizzata e da quanto tempo operasse. Oggi le imprese prendono in considerazione un insieme di informazioni molto più ampio.

Esaminano la storia delle collaborazioni, il numero di incarichi completati, le referenze e l’attività sulla piattaforma. Se un’azienda esiste da pochi mesi ma non presenta praticamente alcuna storia operativa, gli utenti sono sempre più propensi a fare domande aggiuntive. È uno sviluppo positivo: la consapevolezza degli utenti è chiaramente aumentata.

Nonostante questo, i criminali riescono ancora a ingannare le persone?

Purtroppo sì. Anche i criminali imparano dall’evoluzione del mercato. Se sanno che le aziende appena costituite vengono osservate con maggiore attenzione, non agiranno necessariamente una settimana dopo la registrazione. Possono aspettare diversi mesi, talvolta anche di più. Il loro obiettivo è costruire fiducia. Più appaiono credibili, più è probabile che qualcuno rinunci a un controllo supplementare.

È possibile individuare i Paesi da cui provengono più spesso queste aziende?

In base a ciò che osserviamo, si tratta più spesso di società estere. Nei casi che stiamo analizzando compaiono con maggiore frequenza aziende del Regno Unito, dell’Italia, della Romania e della Lituania. Questo non significa che le imprese di questi Paesi siano meno affidabili. Stiamo semplicemente descrivendo le località che ricorrono più spesso nei casi esaminati.

E le campagne di phishing citate in precedenza? Da dove partono?

Analizzando i dati tecnici, vediamo che molti tentativi di accesso e parte dell’infrastruttura utilizzata dai criminali riconducono a indirizzi IP in Armenia. È però necessaria una precisazione importante: un indirizzo IP non ci dice chi sia l’autore dell’attacco. Può indicare il luogo in cui opera un gruppo criminale oppure limitarsi a identificare server affittati e infrastrutture usate per condurre le operazioni. Non possiamo quindi concludere che i responsabili siano persone provenienti da quel Paese.

Sembra che non si abbia più a che fare con singoli truffatori, ma con gruppi ben organizzati.

È anche la nostra osservazione. Vediamo sempre più spesso una netta divisione dei compiti. Alcune persone ottengono l’accesso agli account, altre individuano le spedizioni più interessanti e un altro gruppo si occupa del furto o della successiva vendita della merce.

Questo dimostra che la criminalità nel trasporto sta diventando sempre più professionale. Proprio per questo i metodi di verifica tradizionali non sono più sufficienti. Dobbiamo analizzare non soltanto i documenti, ma anche il comportamento degli utenti. Molto spesso è proprio il comportamento a segnalare per primo che qualcosa sta iniziando ad andare storto.