Come funziona l’industria “mungi-clienti” che ha incassato 240 milioni di euro

È un giorno di aprile del 2024. Eva, impiegata nel dipartimento finanziario di un call center di una società che permette di investire online, è alla sua postazione. Eva non è il suo vero nome, ma è quello che usa nelle chat e negli applicativi del sistema. Il suo compito è monitorare e compilare i “report finanziari”, documenti di rendiconto su ciascun contatto inserito dai dipendenti del dipartimento nel Customer relationship management (Crm), l’applicativo per la gestione dei clienti. Software come questi sono molto comuni nelle società che devono gestire le relazioni con fornitori e acquirenti.

Eva sta consultando la pagina di una persona appena inserita nel Crm. Un click e poi torna a una tabella che sintetizza le interazioni avvenute con gli operatori: una colonna indica il codice identificativo del contatto, un’altra il suo “status” (se il contatto ha investito, oppure no; se ha passato tutte le verifiche per il processo di accettazione; se la proposta di investimento è stata inviata e altre voci), la terza ha qualche nota dell’ultima chiamata e riporta data e ora della stessa.

All’inizio i clienti di Eva credevano di essere investitori di una società che fa trading online. Ora raccontano di essere vittime di una delle organizzazioni che appartengono all’impero della truffe, l’industria criminale che froda i suoi clienti proponendo finti investimenti online. La filiera industriale comincia con la caccia alle potenziali vittime con pubblicità-trabocchetto, prosegue con una serie di chiamate “a freddo” per finalizzare gli investimenti e termina con la distribuzione del denaro in conti correnti e portafogli di criptovalute.

Eva è uno dei numerosi ingranaggi della macchina “mungi-clienti” che permette ai call center di estrarre più soldi possibili dagli investitori. Il sistema sfrutta due elementi: lo sviluppo tecnologico delle aziende che vendono online in tutto il mondo e le regole ancora poco chiare rispetto alle responsabilità di chi fornisce software e servizi informatici sull’identità dei clienti. Lo conferma l’ufficiale di Europol Sebastien Bley: le organizzazioni dietro alle frodi, spiega, «sono sicuramente meglio organizzate di prima e beneficiano anche di sviluppi tecnologici che permettono di colpire gruppi molto ampi di persone»

Mentre Eva supervisiona la gestione dei clienti, Zoe, una sua collega, controlla che il Crm funzioni senza intoppi, tenendo traccia di eventuali bug, errori di sistema. Se c’è qualche problema è pronta a segnalarlo al dipartimento di supporto informatico interno all’organizzazione. Ha accessi privilegiati al Crm, può esportare dati, accedere ai numeri di telefono delle vittime e creare nuovi utenti.

Per quanto siano software comuni e con funzionalità pressoché standard, l’organizzazione per cui lavora Eva ha deciso di svilupparne uno proprio insieme a un’azienda bulgara, per avere, presumibilmente, la possibilità di aggiungere e modificare funzioni a proprio piacimento, mantenendo un maggiore controllo sull’intero sistema.

«La sincronizzazione (dei dati che l’organizzazione raccoglie su ogni vittima, ndr) è completamente automatica – spiega a Occrp Nino Goldbeck, procuratore generale della città tedesca di Bamberg specializzato in reati informatici –. Tutto questo non avviene per caso, ma deve essere mappato con precisione in termini tecnici, logistici e organizzativi. Ed è a questo che servono i fornitori di tecnologia». 

Vere piattaforme per investire oppure truffe? 

Il Crm che sta monitorando Eva riguarda i clienti che si sono iscritti a Equistak, una piattaforma di trading online ormai non più raggiungibile. Tramite Equistak, un cliente poteva investire in titoli speculativi di vario genere: derivati sul prezzo delle materie, derivati sul valore di scambio delle valute, derivati sul prezzo delle azioni e molto altro. Tra i servizi offerti includeva anche tutorial video «e una comunità di supporto per aiutare i trader principianti a navigare i mercati con fiducia», si leggeva sul sito. 

Nel mondo legale, un trader guadagna dall’oscillamento dei prezzi: compra un bene quando il suo prezzo di vendita è basso e lo rivende quando il prezzo è più alto. Stabilire cosa significa “basso” e “alto” è proprio l’abilità del trader: la scelta di quando acquistare e vendere determina la differenza tra i due prezzi, cioè il margine di guadagno. All’interno di una piattaforma, un cliente viene dotato di un conto sul quale può caricare il denaro che vuole investire e sul quale gli vengono accreditati i suoi guadagni.

Le piattaforme di trading gestite dalla rete per la quale lavora Eva sono circa 79 e di queste solo dodici non hanno ricevuto alcuna segnalazione dalle autorità di vigilanza del mercato. I clienti sentiti dai giornalisti di #ScamEmpire affermano in più occasioni di avere difficoltà a ritirare i propri soldi e a gestire il proprio conto: 150 su 161 contattati via email o telefono dichiarano di considerare diversi brand una truffa e solo in 77 hanno deciso di denunciare alle forze dell’ordine. Solo uno ha avuto un’esperienza positiva.

Il sito di Equistak riportava un indirizzo di Zurigo ma non i dettagli sull’azienda che gestiva la piattaforma. La Financial conduct authority (Fca), l’autorità di vigilanza del mercato britannico, a ottobre 2024 ha segnalato questo brand in quanto potrebbe fornire servizi o prodotti finanziari senza la dovuta autorizzazione concesse dalle autorità nazionali di vigilanza del mercato, le equivalenti della Consob italiana. Però è impossibile per qualunque organismo aprire tutte le piattaforme che nascono in rete. 

Non bastano però le segnalazioni delle autorità di vigilanza a fermare l’organizzazione. Appena si presenta una situazione del genere, il gruppo non ha difficoltà a emigrare altrove: aprire una piattaforma di trading è facile. Per spostare tutti i contenuti del sito individuato dalle autorità di vigilanza del mercato bastano una decina di minuti. L’organizzazione per cui lavora Eva dispone di un fornitore che nei primi sei mesi del 2024 ha ricevuto oltre 150mila dollari in criptovalute per i propri servizi di gestione dei siti.

Uno dei brand della rete per cui lavora Eva è stato segnalato anche da Consob, l’autorità italiana per la vigilanza del mercato. La piattaforma era specializzata nel trading di criptovalute: «MTinvesting è stata costruita pensando fin dall’inizio ai trader e alle loro necessità: non è la solita piattaforma di trading, bensì ti offre un’esperienza davvero imbattibile per quanto riguarda lo scambio di criptovalute», diceva uno dei claim dell’azienda, il cui sito ormai non è più raggiungibile. «La nostra è una piattaforma sicura e consolidata – dichiarava  – e ti offre la possibilità di fare trading di migliaia di altcoin (monete virtuali diverse da Bitcoin, ndr) e delle principali criptovalute in modo sicuro e veloce».

La piattaforma non era gestita da alcun soggetto autorizzato alla prestazione di servizi di investimento nei confronti del pubblico italiano e Consob ha per questo oscurato il sito nel novembre del 2022. Questo potere le è stato assegnato nel 2019 e da allora hanno subito lo stesso trattamento oltre 1.200 indirizzi. Tuttavia, data la semplicità della migrazione, ad aprile 2023 Consob ha dovuto ordinare un nuovo oscuramento di MTInvesting che aveva semplicemente cambiato dominio. Due ex clienti hanno confermato via email a IrpiMedia di sentirsi truffati dalla piattaforma. Nessuno dei due ha fatto denuncia, uno perché sfiduciato di poter riuscire a recuperare i soldi investiti. 

Luigi Bovio, capo divisione della Financial cyber crime unit della polizia postale italiana, spiega a IrpiMedia che queste problematiche sono comuni a tutte le indagini informatiche ma «in molti casi ovviamente riusciamo a superarle», nel momento in cui scattano le indagini. Il problema è farle cominciare: il vero ritardo, secondo Bovio, si accumula tra il momento in cui è commesso il reato e quello in cui si sporge denuncia. «Nelle truffe di trading online c’è una maggiore fidelizzazione della vittima e così i primi pagamenti sono fatti addirittura due o tre anni prima rispetto al momento della denuncia», dice il vicequestore.

Secondo le cifre del rapporto annuale della polizia postale, solo nel 2024 le truffe online hanno fruttato ai criminali oltre 180 milioni di euro sottratti ai cittadini italiani. L’80 per cento di queste perdite è legato al finto trading online e si tratta di una stima parziale perché non tiene in considerazione le altre diverse autorità di polizia coinvolte. Malgrado le strategie dietro queste truffe siano note da anni, le organizzazioni che ci sono dietro sembrano essere sempre più abili nel gestire quelle che sono a tutti gli effetti degli imperi della truffa. 

Numeri di telefono random

Richard è l’operatore del call center che ha contattato più di recente la vittima che sta visualizzando Eva. Tra le note che ha lasciato nel Crm ci sono dettagli sulle spese che deve sostenere («Il suo cane deve prendere molti farmaci») e sui risparmi che ha da parte la vittima («Mette da parte massimo duemila euro all’anno»).  

Per effettuare le chiamate, Richard clicca sull’apposito pulsante nella pagina del Crm e il sistema si prende in carico l’esecuzione, mostrando sul cellulare del destinatario un generico numero di telefono non riconducibile ad alcuna utenza specifica. 

Questa integrazione diretta con il Crm è uno dei servizi inclusi dalle aziende che offrono servizi di telefonia ai call center. Coperato, Voiso, Squaretalk e MMDSmart offrono piattaforme con numeri virtuali con cui effettuare la chiamata, e permettono anche la registrazione di ogni telefonata. La cooperazione tra questa tipologia di aziende e i truffatori è «oggetto di accertamenti in alcuni procedimenti penali», commenta ancora Luigi Bovio a IrpiMedia, in base all’ipotesi che le aziende sappiano gli obiettivi di chi usa il loro servizio.

Squaretalk ha dichiarato a Occrp che, non potendo rilasciare informazioni sui propri clienti, effettuerà indagini: «Collaboriamo pienamente con le autorità quando ci vengono presentate denunce di frode o di molestie», ha aggiunto. Coperato ha spiegato di aver chiuso due account di call center della rete su cui hanno indagato i giornalisti di #ScamEmire dopo aver ricevuto un avviso da parte delle autorità competenti. Un terzo account resta attivo in quanto Coperato non ha ricevuto alcun reclamo o allerta. Voiso e MMDSmart hanno confermato di avere in piedi un rigoroso processo di verifica per tutti i nuovi clienti e di cooperare nel rispetto delle leggi.

Di certo, i servizi di telefonia sono un’importante voce di spesa per i call center: una delle tre unità interne del gruppo per il quale lavora Eva tra gennaio 2022 e aprile 2024 ha speso almeno 439mila dollari. Tanti pagamenti sono in criptovalute, in particolare in Tether, una stablecoin il cui valore è “stabile” (stable) perché agganciato a quello del dollaro.  

Nel caso di una piattaforma gestita dall’organizzazione è stato possibile identificare una società che senza alcun evidente scopo commerciale intermedia i contratti con Coperato, MMDSmart e Squaretalk.

Prede da cacciare

Qualunque azienda faccia marketing ha bisogno di email e numeri di telefono – in gergo lead, pista – di persone a cui vendere il proprio prodotto; vittime da mungere, per chi fa frodi. I fornitori, nel gergo del marketing, si chiamano affiliati: diffondono i prodotti di un’azienda a un loro parco di contatti a fronte di un pagamento. Un sito internet, per esempio, può essere un affiliato che si fa pagare per esporre pubblicità. 

Il martedì è il giorno di paga per i network di affiliati che lavorano con l’organizzazione di cui Eva è dipendente. James, il chief marketing officer dell’azienda, ha tra le sue mansioni il compito di approvare i pagamenti. Lavora con altri tre colleghi e colleghe. Jane, una di loro, nota un problema con la richiesta di un fornitore: «Tre per 800 fa 2400. Lui invece chiede 2450», scrive Jane. “Tre” sono i contatti delle persone che hanno depositato denaro sul conto di una delle piattaforme di trading dell’organizzazione; 800 sono i dollari pattuiti come retribuzione per ciascuna di queste vittime: lo dice un contratto stipulato con l’organizzazione. «Non sono bravi nella comunicazione di gruppo, [sono] persone impegnate :D», aggiunge. «Persone di merda», commenta James.

L’epiteto si riferisce agli impiegati di una delle dozzine di aziende che fornisce i dati di potenziali vittime alla rete di call center per cui lavora Eva. Quella in questione si chiama Zeus Media. 

Zeus Media è il punto di congiunzione tra chi ha un sito web su cui esporre la pubblicità e chi è interessato ad acquistare i contatti. Le persone che dopo aver visto un’inserzione pubblicitaria forniscono email e numero di telefono finiscono nei database di aziende simili a Zeus Media. Queste prendono il nome di network di affiliati perché aggregano molteplici affiliati pronti a diffondere pubblicità. In questo caso, chi lascia i contatti diventa poi un potenziale bersaglio a cui vendere.

Per gestire questi network servono poi dei software che aiutano i tracciamenti dei contatti inviati e i pagamenti ai network di affiliati. Quello utilizzato dalla rete di società per cui lavora Eva si chiama Getlinked.io e permette al call center di ricevere in maniera ordinata e precisa i dati delle vittime inviati da soggetti come Zeus Media. Il software tiene traccia della campagna pubblicitaria da cui derivano i contatti e quali di questi hanno effettuato il primo deposito. L’organizzazione criminale ha pagato almeno settemila dollari al mese nel 2024 a GetLinked.

GetLinked ha confermato a Occrp di avere al momento due contratti attivi con soggetti riconducibili al call center e di averne avuti altri due in passato. L’azienda ha spiegato che il suo prodotto è uno strumento generico di tracciamento del traffico online.

«In qualità di fornitore di software online, non siamo tenuti per legge a effettuare il Kyc (Know your customer, processo di verifica obbligatorio per certi tipi di enti, come le banche, ndr) sui nostri clienti. Inoltre, non abbiamo gli strumenti o la capacità di verificare le attività dei nostri clienti o le pubblicità dei loro affiliati su piattaforme di terzi come Google e Facebook, poiché queste attività non rientrano nell’ambito dei nostri servizi», ha spiegato GetLinked. «Ogni volta che riceviamo un reclamo conduciamo un’indagine approfondita e adottiamo le misure appropriate, compresa la notifica al cliente di adottare misure correttive».

Ogni affiliato ha le proprie credenziali di accesso al software di Getlinked usato dal call center e può inviare i dati dei contatti. La piattaforma genera poi un report indicando le vittime che hanno fatto il primo versamento. Con questi report, ogni lunedì, James e colleghi passano al setaccio le chat Telegram che hanno messo in piedi con ciascuno di questi affiliati per confermare che i numeri siano corretti. Per ogni lead il prezzo varia dai 700 agli oltre 1.200 dollari in base al Paese di origine della vittima. Sembra un prezzo alto, ma il margine di guadagno per l’Impero della truffa è comunque molto ampio: alcune delle vittime arrivano a perdere centinaia di migliaia di euro.

Una volta accordati sul numero effettivo di contatti – i lead – da pagare, il versamento è rigorosamente in criptovalute (meglio quando Tether). Tra febbraio 2024 e febbraio 2025, l’organizzazione dietro il call center ha pagato almeno 11 milioni di dollari a questi fornitori. I più pagati si fanno chiamare Mga, Cryp, Gladio, XDiamond. Molti di questi si nascondono dietro dei nomi generici su Telegram e le aziende a cui fanno capo sono spesso delle scatole vuote.

Zeus Media e gli altri network fungono da mediatori e quindi non sono necessariamente parte dello stesso gruppo criminale. Allo stesso tempo, però, sembrano essere consapevoli che le vittime hanno dato i propri contatti perché hanno visto pubblicità che promettono guadagni facili. 

In alcuni casi, le pubblicità sfruttano anche video di personaggi famosi generati con l’intelligenza artificiale che sponsorizzano la piattaforma. In Italia, la Consob nel dicembre del 2024 ha bloccato inserzioni che utilizzavano immagini della presidente del Consiglio Giorgia Meloni e del presidente della Repubblica Sergio Mattarella.

La raccolta del denaro

Mark è un cittadino britannico, uno tra le centinaia di clienti contattati dai giornalisti di #ScamEmpire. Ha investito con un brand di trading online dell’organizzazione e ha perso più di 25mila sterline: «Sulla piattaforma sembrava tutto reale, capisci? – racconta –. Sembrava stessi facendo bei soldi».

Alla piattaforma si accede scaricando l’apposita app. A quel punto si vede un grafico che indica se il valore dell’investimento sale o scende. A Mark sembrava che il valore del suo investimento puntasse in alto, sempre più in alto. Accade spesso, anche ad altri clienti, di sentire allora la spinta a depositare più denaro. Ogni volta che qualcuno aumenta il suo conto deposito da destinare agli investimenti, in una delle stanze dei call center dell’organizzazione, qualche dipende ritocca i dati di un foglio di calcolo con l’ammontare dei depositi e dei pagamenti.

A seconda della piattaforma di trading, cambia anche il modo di caricare il conto deposito. A volte è un servizio “integrato” alla piattaforma, a volte si passa da portafogli di criptovalute, a volte il caricamento si effettua via bonifico da inviare a una società terza, solitamente registrata in Estonia, Ungheria, Bulgaria e Regno Unito. In questa circostanza il versamento è giustificato da una fattura da saldare.

Quando pagamenti come questi partono da istituti di credito tradizionali che sono obbligati ad adeguarsi e a rispettare le regole antiriciclaggio internazionali, scattano i campanelli d’allarme per i pagamenti sospetti. A quel punto, per aggirare il problema, i dipendenti dell’organizzazione scrivono richieste di aiuto in una specifica chat Telegram: «Per favore – messaggia una dipendente in chat il 3 maggio 2024 – avremmo bisogno di assistenza su un account spagnolo per questa transazione». Il caso riguarda diecimila euro da spostare che partono dal conto di una banca tradizionale. 

Non è possibile stabilire con esattezza chi siano gli utenti che si nascondono dietro i nickname anonimi che rispondono prontamente alla sollecitazione. Spesso la soluzione che propongono nelle chat Telegram passa da servizi finanziari non convenzionali: challenger bank, istituti di credito con licenza che sfidano i circuiti tradizionali, oppure neobank, aziende di fintech che propongono soluzioni tecnologiche innovative solo per muovere denaro. È la seconda opzione, nel caso della cliente spagnola. La neobank francese proposta come soluzione nel luglio del 2024 ha ricevuto un ordine di Banca d’Italia per migliorare i suoi standard antiriciclaggio di un suo prodotto.

«Non mi sorprende – commenta a Occrp Kathryn Westmore, responsabile di politiche contro i crimini finanziari al Royal united services institute (Rusi) –. Le neobank, le challenger bank e le società di fintech ricevono una quantità sproporzionata di pagamenti fraudolenti rispetto al valore complessivo delle transazioni che gli vengono attribuite. Vediamo abbastanza spesso che i criminali sono molto consapevoli delle debolezze di questo tipo di istituzioni finanziarie, in particolare per quanto riguarda i loro controlli di onboarding (la procedura con cui si accetta un cliente nella banca, ndr)».

Alcune aziende che collaborano con l’organizzazione di truffatori convertono valute correnti (dette in gergo monete fiat, dal termine latino “così sia”) in criptovalute. È un modo per rendere più difficile tenere traccia di dove finiscono i soldi “munti” alle vittime. Mirhax Group Uab, per esempio, è un’azienda lituana che offre questo servizio e che è stata sanzionata nel 2023 per violazione delle leggi sull’anti-riciclaggio. Dai documenti di #ScamEmpire si scopre che Mirhax si trasforma in un’azienda polacca, 4Word Solutions Spzoo.

Le due aziende non hanno risposto alla richiesta di commento dei giornalisti di #ScamEmpire. «I truffatori fanno riferimento a circuiti bancari extraeuropei oppure di Paesi che hanno una scarsissima collaborazione di polizia», spiega Luigi Bovio, vicequestore della polizia postale italiana. Quando i soldi sono ormai depositati in casseforti che si trovano in giurisdizioni “protette”, «diventa difficile interagire col sistema bancario tramite le autorità di quei Paesi», chiosa Bovio.

Bovio ricorda, però, che la tecnologia può anche essere un’alleata contro le frodi. Alcune banche, per esempio, inviano automaticamente degli alert per i pagamenti sospetti a cui fa seguito una richiesta di chiarimenti ai correntisti. I dipendenti dei call center dell’organizzazione, però, dicono di non fidarsi delle banche e forniscono spiegazioni da presentare in caso di chiarimenti per operazioni sospette. Nel caso in cui l’autorizzazione fosse effettuata dal legittimo titolare, infatti, sarebbe davvero difficile per le forze di polizia recuperare il denaro investito. 

Proprio la questione dei soldi rimane quindi un’incognita. Secondo l’ufficiale di Europol Sebastien Bley ci sono diversi strumenti per fermare i pagamenti e riprendere i soldi. Le attività di recupero sono migliorate ma, aggiunge Bley, «si può sempre fare di più». «La tempestività – ricorda la polizia di Stato sul proprio sito in una pagina di consigli antifrode – è fondamentale per identificare gli autori e arrivare a un possibile recupero delle somme».

Le inchieste e gli eventi di IrpiMedia sono anche su WhatsApp. Clicca qui per iscriverti e restare sempre aggiornat*. Ricordati di scegliere “Iscriviti” e di attivare le notifiche.