Proteggere le proprie credenziali ed evitare le truffe nello streaming

Quanto valgono le vostre credenziali per un truffatore

Gli account di streaming sono un bersaglio apprezzato perché si rivendono facilmente e perché danno spesso accesso a un mezzo di pagamento. Un truffatore che ottiene le vostre credenziali può:

• rivendere l'accesso al vostro account, o usarlo su molti dispositivi finché il servizio non lo blocca;
• cambiare l'indirizzo di contatto e la password per escludervi;
• riutilizzare la stessa coppia di nome utente e password su altri siti (posta, banca, e-commerce): è il cosiddetto attacco di credential stuffing, che sfrutta le password riutilizzate;
• sfruttare la carta di credito registrata per sottoscrivere opzioni o acquistare contenuti.

Gli account di tipo Xtream Codes pongono un problema particolare: l'indirizzo del server, il nome utente e la password compaiono spesso in chiaro nell'indirizzo della playlist, per esempio http://serveur.exemple:8080/get.php?username=martin&password=abc123&type=m3u_plus. Condividere questo indirizzo, pubblicarne una schermata su un forum o inviarlo in un messaggio equivale a consegnare le vostre credenziali. La nostra pagina sui formati Xtream e M3U mostra come sono strutturate queste informazioni.

Riconoscere il phishing

Il phishing consiste nel farvi inserire da soli le vostre credenziali o i dati bancari su una pagina falsa. Il messaggio esca arriva per e-mail, SMS, messaggistica istantanea o social network e imita l'aspetto di un servizio noto.

Gli scenari più comuni

• Il falso «problema di pagamento»: «Il tuo abbonamento è sospeso, aggiorna il metodo di pagamento entro 24 ore.»
• Il falso rinnovo: «Il tuo abbonamento scade oggi, rinnovalo per non perdere i tuoi canali», con un link a una pagina di pagamento.
• Il falso rimborso: «Ti è stato addebitato due volte, clicca per essere rimborsato.» La pagina chiede allora il numero della carta «per accreditare l'importo».
• La falsa offerta eccezionale: un anno gratis, una tariffa imbattibile, valida «solo per poche ore».
• Il falso servizio clienti: un account su un social network che risponde al vostro reclamo pubblico e vi invita a proseguire in messaggio privato.

Gli indizi che tradiscono la trappola

La regola più efficace è semplice: non seguite mai un link ricevuto per accedere o pagare. Aprite voi stessi l'app ufficiale o digitate l'indirizzo del servizio nel browser. Se esiste un problema reale, comparirà nella vostra area cliente.

I pagamenti da evitare

Il modo in cui un venditore vi chiede di pagare dice molto sulla sua serietà. Alcuni mezzi di pagamento sono irreversibili: una volta partito il denaro, né la vostra banca né nessun altro può recuperarlo.

• Carte regalo e ricariche prepagate: nessun commerciante legittimo pretende di essere pagato con codici di carte regalo. È uno dei segnali di truffa più affidabili.
• Criptovalute: le transazioni sono definitive e l'identità del beneficiario è difficile da stabilire.
• Bonifico a un privato, in particolare verso un conto all'estero: nessuna protezione in caso di mancata consegna.
• Pagamento «tra amici e familiari» sui servizi di pagamento online: questa opzione esclude la protezione acquirente prevista per gli acquisti.

Al contrario, la carta di credito su un sito identificato, con autenticazione forte (conferma nell'app della vostra banca), offre possibilità di contestazione. Per gli abbonamenti, preferite un pagamento tramite gli store di app o direttamente sul sito ufficiale del servizio, che permettono di consultare e disdire l'abbonamento facilmente. Una carta virtuale, offerta da molte banche, limita inoltre l'esposizione del vostro vero numero di carta.

Questi mezzi di pagamento non tracciabili sono proprio quelli richiesti dai venditori di offerte illecite: il nostro articolo IPTV legale o illegale illustra gli altri segnali d'allarme.

Gestire bene le password

Una password unica per ogni servizio

Il pericolo principale non è una password troppo corta, ma una password riutilizzata. Se un sito mal protetto subisce il furto del suo database, tutti i vostri account che usano la stessa password diventano vulnerabili. Usate una frase segreta lunga (quattro o cinque parole senza legame tra loro) o una sequenza casuale di almeno dodici caratteri, diversa per ogni servizio.

Un gestore di password

Nessuno può ricordare decine di password uniche. Un gestore di password le genera, le conserva cifrate e le compila automaticamente sul sito giusto, il che costituisce tra l'altro una protezione contro il phishing: non proporrà le vostre credenziali su un dominio falso. I sistemi Android, iOS e i principali browser ne integrano uno.

L'autenticazione a due fattori

Attivate la verifica in due passaggi ovunque sia proposta, in primo luogo sulla vostra casella di posta: è lei che permette di reimpostare tutte le altre password. Un'app di autenticazione o una chiave di sicurezza è più sicura di un codice ricevuto via SMS, ma l'SMS resta preferibile a niente.

Sui dispositivi condivisi

• Su un televisore o un computer di famiglia, disconnettetevi dai servizi prima di rivendere o prestare il dispositivo, poi ripristinatelo.
• Nei servizi che lo consentono, consultate regolarmente l'elenco dei dispositivi connessi ed eliminate quelli che non riconoscete.
• Non inviate le credenziali per messaggio, nemmeno a un familiare: le conversazioni si conservano e si sincronizzano su molti dispositivi.

La condivisione dell'account: che cosa sapere

La maggior parte dei servizi di streaming limita il numero di schermi simultanei e, sempre più spesso, riserva l'uso di un abbonamento alle persone di uno stesso nucleo familiare. Condividere il proprio account oltre quanto prevedono le condizioni d'uso può comportare una fatturazione aggiuntiva o una sospensione.

Per gli account Xtream Codes, il numero di connessioni simultanee è stabilito dal fornitore. Se un terzo usa le vostre credenziali, vedrete comparire messaggi di superamento del numero di connessioni o interruzioni inspiegabili. In tal caso, chiedete al vostro fornitore di cambiare la password. Sul lato lettore, inserite le credenziali direttamente su ogni dispositivo invece di far circolare per messaggio l'indirizzo completo della playlist; in AICKO IPTV, uno stesso account sincronizza poi i vostri preferiti e i progressi di riproduzione tra gli schermi.

Che cosa fare in caso di frode

Se avete comunicato i vostri dati o notato un'operazione sospetta, agite in fretta e in quest'ordine. Le procedure e gli organismi variano da paese a paese; di seguito sono indicati quelli francesi, mentre altrove occorre rivolgersi alla propria banca e alle autorità del proprio paese.

1. Bloccate la carta chiamando la vostra banca o tramite la sua app. In Francia il server interbancario di opposizione è raggiungibile allo 0 892 705 705 a qualsiasi ora.
2. Contestate le operazioni non autorizzate presso la vostra banca. Per un pagamento che non avete autorizzato, la banca deve in linea di principio rimborsarvi rapidamente; la contestazione va fatta senza indugio e al più tardi entro tredici mesi dall'addebito.
3. Segnalate la frode con la carta sulla piattaforma ufficiale francese Perceval, accessibile da service-public.fr (Francia), se sono stati effettuati acquisti con il numero della vostra carta senza che l'abbiate persa.
4. Cambiate le password, iniziando dalla posta, poi tutti gli account che usano la stessa password. Attivate l'autenticazione a due fattori.
5. Sporgete denuncia. In Francia, per le truffe online si può presentare denuncia via Internet tramite la piattaforma Thésée del ministero dell'Interno.
6. Segnalate il messaggio o il sito: in Francia un SMS fraudolento può essere inoltrato gratuitamente al 33700 e un contenuto illecito online segnalato sulla piattaforma ufficiale Pharos (Francia).

Il dispositivo nazionale francese Cybermalveillance.gouv.fr offre una diagnosi online, schede pratiche per ogni tipo di truffa e la messa in contatto con dei professionisti. Le procedure di denuncia e di segnalazione sono illustrate anche su service-public.fr (Francia).

Gli errori che peggiorano la situazione

• Pagare una seconda volta per «sbloccare» un rimborso promesso dal truffatore.
• Rispondere ai falsi servizi di recupero che promettono di recuperare il vostro denaro in cambio di un anticipo.
• Aspettare: più il blocco è tardivo, più tempo ha il truffatore per usare la carta.

In sintesi

• L'indirizzo di una playlist Xtream contiene spesso le vostre credenziali in chiaro: non condividetelo.
• Non seguite mai un link ricevuto per accedere o pagare: passate dall'app o dal sito ufficiale.
• Rifiutate carte regalo, criptovalute e bonifici a privati.
• Una password unica per servizio, un gestore e l'autenticazione a due fattori.
• In caso di frode: blocco della carta, contestazione, cambio delle password, denuncia e segnalazione.

Domande frequenti

Ho cliccato su un link senza inserire nulla: sono in pericolo?

Il rischio è basso se non avete inserito alcuna informazione e non avete installato nulla. Chiudete la pagina, aggiornate browser e sistema e restate attenti ai messaggi successivi, che potrebbero essere più mirati.

La mia banca mi rimborserà?

Per un'operazione che non avete autorizzato, la banca deve in linea di principio rimborsare, salvo grave negligenza da parte vostra, per esempio se avete comunicato voi stessi un codice di conferma. Contestate senza attendere e conservate le prove.

Come capire se qualcuno usa il mio account?

Consultate la cronologia di visione e l'elenco dei dispositivi connessi nella vostra area cliente. Connessioni rifiutate per superamento del numero di schermi o programmi che non avete guardato sono segni rivelatori.

Dove segnalare un sito o un messaggio fraudolento?

In Francia, inoltrate gli SMS fraudolenti al 33700, segnalate i contenuti illeciti su Pharos e consultate Cybermalveillance.gouv.fr per essere orientati. In caso di danno, sporgete denuncia, online tramite Thésée per le truffe su Internet. Altrove, rivolgetevi agli organismi del vostro paese.