L’invio di uno screenshot per attestare un bonifico eseguito, una prenotazione alberghiera o una transazione online rappresenta ormai una prassi quotidiana sia tra privati che nelle relazioni di business. Tuttavia, la crescente disponibilità di strumenti di intelligenza artificiale generativa e software di fotoritocco accessibili ha reso la creazione di schermate fasulle estremamente rapida, economica e visivamente indistinguibile dall’originale: loghi, importi, timbri orari e causali possono essere replicati su misura con facilità.
Secondo l’analisi condotta da ESET, considerare l’immagine di uno schermo come una prova inconfutabile espone consumatori e imprese a crescenti rischi finanziari, operativi e reputazionali, imponendo un cambio di paradigma su ciò che viene ritenuto giuridicamente e proceduralmente valido come riscontro digitale.
I limiti probatori dello screenshot e i rischi per i consumatori
Da un punto di vista tecnico, uno screenshot non è altro che una matrice di pixel priva di valore probatorio autonomo: non consente di risalire con certezza alla sorgente, non certifica l’integrità del dato e può essere ritagliato o fabbricato ex novo. A differenza di log di sistema, identificativi univoci di transazione (CRO/TRN) o registri originali della banca, l’immagine è una prova debole:
- Truffe sui marketplace e pagamenti simulati: I cybercriminali utilizzano ricevute fasulle per indurre venditori privati a spedire merci mai saldate, oppure simulano accrediti bloccati per richiedere anticipi di denaro a titolo di sblocco fondi.
- Falsa affidabilità e furto di account: Finti screenshot di recensioni positive vengono impiegati per dare credibilità a piattaforme di e-commerce fraudolente, mentre in scenari di social engineering le vittime vengono spinte a inviare schermate contenenti codici temporanei (OTP) per il recupero delle password, aprendo la strada al furto dell’identità digitale.
- Rigetto nei contenziosi: Gli istituti finanziari, le strutture ricettive e i vettori di trasporto hanno innalzato i livelli di controllo, respingendo le schermate come riscontro unico e richiedendo documentazione ufficiale, con il conseguente allungamento dei tempi di istruttoria per i clienti in buona fede.
L’impatto sulle imprese: customer care, frodi interne e chargeback
Per le organizzazioni aziendali, la gestione degli screenshot si traduce in vulnerabilità procedurali e costi di gestione elevati:
- Rimborsi illeciti e duplicazione beni: Reparti amministrativi e team di customer care rischiano di concedere crediti, rimborsi non dovuti o articoli sostitutivi basandosi su attestazioni grafiche non verificate, incrementando l’incidenza di chargeback.
- Assorbimento di tempo operativo: Anche a fronte di attacchi sventati, i team antifrode e IT devono condurre verifiche manuali complesse tra registri di consegna, log di sistema e database transazionali per accertare i fatti.
- Business Email Compromise e autorizzazioni critiche: Schermate artefatte di chat aziendali o presunte email di dirigenti vengono talvolta sfruttate per simulare autorizzazioni a pagamenti urgenti o per forzare l’accesso a dati riservati durante i processi di onboarding e gestione del personale.
Procedure e contromisure: aggiornare i protocolli aziendali
Per ESET, l’evoluzione del cybercrime richiede alle organizzazioni e ai cittadini di stabilire confini chiari tra materiale di supporto e fonte di verità certificata:
- Verifica sui canali indipendenti: Sia nelle compravendite online che nelle conferme di pagamento, l’autenticità deve essere verificata direttamente all’interno delle applicazioni ufficiali o sui portali bancari, senza mai seguire link forniti dalla controparte.
- Validazione tramite log di sistema: Le imprese devono vietare l’esecuzione di azioni irreversibili (come l’emissione di rimborsi o il cambio di credenziali) sulla base del solo screenshot, richiedendo i riferimenti transazionali grezzi o le ricevute telematiche originali con tracciamento email completo.
- Integrazione API e formazione interna: Risulta prioritario integrare le piattaforme di supporto direttamente con i sistemi terzi (gateway di pagamento e corrieri) per l’acquisizione automatica dei dati di stato, addestrando al contempo i dipendenti HR e del customer care a trattare metadati e analisi visive solo come tracce indiziarie.
Uno screenshot può indicare dove indirizzare un’indagine tecnica o documentare un messaggio di errore, ma la conferma di un’operazione economica o organizzativa deve necessariamente provenire da architetture che il mittente non ha la facoltà di manipolare.
