Nella nostra rassegna quotidiana di tentativi di frode intercettati, questa settimana segnaliamo una campagna di phishing che sfrutta il marchio Klarna, il noto servizio di pagamento rateale “buy now, pay later” molto diffuso negli e-commerce europei.L’email, ricostruita graficamente in modo piuttosto curato, nasconde però una serie di errori grossolani che ne tradiscono l’origine fraudolenta — a partire dal mittente, fino ad arrivare a una frase finale che, con involontaria ironia, smentisce sé stessa.
Analizziamola nel dettaglio, punto per punto, come facciamo sempre nei nostri approfondimenti di cybersecurity awareness.
L’anatomia del messaggio
Il messaggio si presenta con oggetto “Re: Pagamento in attesa – Aggiorna ora -“, un classico schema da urgenza artificiale: il prefisso “Re:” lascia intendere che si tratti della risposta a una conversazione precedente mai avvenuta, mentre “Aggiorna ora” spinge alla reazione immediata senza lasciare il tempo di riflettere.
Il corpo dell’email riproduce fedelmente la grafica “dark mode” con cui Klarna comunica realmente ai propri utenti: logo in alto a sinistra, badge rosa “PAGAMENTI”, titolo in evidenza “Aggiorna il tuo metodo di pagamento” e un pulsante di call-to-action ben visibile “Aggiorna Metodo di Pagamento →”. Dal punto di vista puramente estetico, il lavoro di clonazione è discreto — ma è proprio qui che la truffa mostra la sua debolezza principale: chi l’ha costruita ha copiato la forma, non la sostanza.
⚠️ Primo indizio, il più eclatante: il nome del mittente riporta “Klarnna Se rvizio clienti” — con la doppia “n” di troppo in “Klarnna” e uno spazio anomalo dentro la parola “Servizio”. Nessuna azienda seria sbaglia il proprio nome nell’intestazione delle comunicazioni ufficiali: è la prima, inequivocabile firma di un tentativo di frode.
L’indirizzo del mittente: il vero tallone d’Achille
Se il nome visualizzato può ingannare un occhio distratto, l’indirizzo email reale è la prova regina. Il messaggio proviene da ara@regionucayali.gob.pe — un dominio istituzionale che, a un controllo elementare, risulta riconducibile a un ente governativo regionale del Perù (il suffisso .gob.pe è l’equivalente peruviano del nostro .gov.it).
Klarna è una società fintech con sede in Svezia: non ha alcun motivo di inviare comunicazioni da una casella di posta di un’amministrazione pubblica sudamericana. Questo pattern è tipicamente riconducibile a una casella di posta legittima compromessa: i truffatori, dopo aver violato le credenziali di un account email reale (spesso proprio quello di un ente pubblico con sicurezza informatica non aggiornata), la utilizzano come “trampolino” per inviare campagne di spam e phishing, sfruttandone la reputazione di dominio per superare più facilmente i filtri antispam.
La beffa finale: “Klarna non ti chiederà mai la password completa via email”
Ed eccoci al punto più paradossale di tutta la comunicazione. In fondo al messaggio, in un riquadro verde rassicurante con tanto di icona a forma di lucchetto, compare la scritta: “Klarna non ti chiederà mai la password completa via email.”
🎭 Ed è vero: non la chiedono via email. Il problema è che non serve chiederla via email quando è sufficiente convincere la vittima a inserirla di persona in un sito clone costruito ad arte, un click dopo aver premuto quel pulsante rosa “Aggiorna Metodo di Pagamento”. La frase rassicurante non è una tutela: è essa stessa parte della messinscena, inserita apposta per abbassare la guardia di chi legge, sfruttando proprio le raccomandazioni di sicurezza che le aziende serie diffondono per proteggere i clienti.