La truffa della spunta blu e del “controllo di routine”
Una mail che finge di arrivare da Meta ma in realtà cerca di rubare le credenziali delle nostre pagine (possibilmente Business)
Il 3 aprile sulla mia mail di lavoro arriva un messaggio, in inglese, che recita:
Your page XXXXX YYYYYY showed up in a routine check.
See details:
https://forms.gle/m18YqgAXWpnWtnuB7?m=271140&s=EOPH4BL It’s a quick check and should only take a moment.
Everything will stay the same after that.
Feel free to reply if needed.
Best regards,
Meta Verification Team
Ref: 271140
Time: 4/3/2026, 5:31:24 AM
Cliccando sul link mi viene comunicato che Meta avrebbe deciso che la mia pagina business merita il blue badge di verifica:
Andando avanti a cliccare mi ritrovo su quella che sembra la pagina ufficiale di Meta Verified (ma, come vedremo tra poco, non lo è):
Poi mi vengono chiesti i miei dati:
E infine la cosa più importante, i dati d’accesso alla mia pagina:
E signori e signore: le jeux sont faites, ecco come farsi fregare la propria identità business.
Purtroppo sono ancora tanti gli utenti che cascano in questi trucchetti, utenti a cui nessuno ha insegnato l’ABC della fregatura online, utenti che magari gestiscono attività imprenditoriali che possono subire grossi danni da questo genere di furto d’identità.
Proprio per questo vorrei evidenziare i tanti dettagli a cui stare attenti per cercare di proteggersi da questo genere di truffe.
L’indirizzo del mittente
La primissima cosa a cui fare attenzione è l’indirizzo mail, quello reale, del mittente. Meta non ti scrive da:
@gmail.com@outlook.com@random-domain-verifica.biz
Meta usa domini ufficiali tipo:
@meta.com@facebook.com
Se il mittente è anche solo vagamente creativo, tipo meta-support-check-verified123, siamo già nel campo del ciao, sono un truffatore. Il nome del mittente non conta nulla. Conta SOLO il dominio. Nel caso della mail arrivata a me questo era l’indirizzo mail del mittente: vanhoavuong37@gmail.com, non particolarmente professionale.
Il link del dominio
Qui siamo proprio alla pigrizia operativa, un colosso come Meta che gestisce miliardi, ha infrastrutture proprie, ma ti chiede di verificarti… tramite Google Forms. È evidente che c’è qualcosa che non va, è come se la banca ti dicesse: Per sicurezza, inserisci la password di accesso su un foglio Excel condiviso.
Lo spoofing
Purtroppo esiste questa cosa chiamata spoofing che i truffatori sfruttano per sembrare quel che non è. In pratica, grazie a semplici trucchetti, possono darci a intendere che la mail del mittente – esattamente come succede con i numeri di telefono – sembri qualcosa del tipo Meta Verification Team, senza che ci venga mostrato fin da subito il reale indirizzo, oppure con un dominio tipo meta.com-go.to. Il punto è che quello che visualizziamo nella casella di posta come mittente è solo un’etichetta, un nome deciso da chi invia la mail. Non è una garanzia, non è una certificazione, non è niente di affidabile. Il vero mittente è l’indirizzo completo, e soprattutto il dominio, la parte finale, quella dopo la @.
Il trucco sta tutto lì: farci leggere solo la prima parte e sperare che il nostro cervello si fermi prima del punto giusto. Purtroppo spesso funziona, perché leggiamo di fretta, siamo distratti, oppure ci fidiamo troppo del nome visualizzato. È esattamente su questo che puntano: non sulla tecnologia, ma sulla nostra attenzione che dura quanto un reel: troppo poco.
Per difendersi non serve essere tecnici, basta diventare un minimo sospettosi: controllare sempre il dominio reale, ignorare il nome rassicurante del mittente e ricordarsi che nessuna piattaforma seria chiederà mai credenziali attraverso link esterni o form improvvisati.
Lo spoofing non è sofisticato. È solo abbastanza furbo da sfruttare il fatto che noi, a volte, non lo siamo.
Concludendo
Questa non è una truffa particolarmente complessa. Il fatto che ancora oggi ci siano persone (e aziende) che ci cascano dimostra da un lato la scarsa cultura digitale nel nostro Paese, dall’altro lato è la prova che la fretta e l’assenza di quello spirito critico che ci porta a farci domande e porre dubbi sono fonte di pericoli.
Il problema non è chi ci casca – che resta una vittima che andrebbe tutelata -, il problema è che nessuno gli ha mai spiegato come non cascarci.
redazione at butac punto it
Se ti è piaciuto l’articolo, sostienici su Patreon o su PayPal! Può bastare anche il costo di un caffè!
Un altro modo per sostenerci è acquistare uno dei libri consigliati sulla nostra pagina Amazon, la trovi qui.
BUTAC vi aspetta anche su Telegram con il canale con tutti gli aggiornamenti.
Ci è stato segnalato lo screenshot che potete vedere qui sopra. Mostrerebbe la pagina X del popolare influencer americano MrBeast. Uso il condizionale perché quella originale è questa: A parte una lievissima differenza nel numero dei profili seguiti da MrBeast (nel fake sono 2312, in quello originale sono 2311) e nel post pinnato in alto […]
Da anni cerchiamo di spiegarvi che è come se alcune bufale fossero state ingegnerizzate per tornare virali con regolarità. Una di queste è la storiella del profumo con cui ti drogano per poi rapinarti, stuprarti, portarti via gli organi. L’abbiamo vista declinata in mille modi, l’abbiamo smontata più volte, ma nulla, continua a tornare fuori ciclicamente. […]
Le proteste degli studenti europei hanno scatenato la vena creativa di tanti che usano l’intelligenza artificiale, ed ecco che in rete hanno preso a circolare post di ogni genere: difficile distinguere quali siano onesti e quali invece raccontino storie che non hanno nulla di reale. È il caso del video che andiamo a trattare, condiviso […]
Devi cambiare la prenotazione per un volo? Sistemare un check-in? Rivedere le cabine del traghetto? Cosa fai? Apri Google, cerchi il servizio clienti dell’azienda a cui ti vuoi rivolgere e chiami il primo risultato che ti si presenta. Peccato che questo sia esattamente quello che oggi i truffatori si aspettano che tu faccia. Lo schema […]