Truffatori prendono di mira i freelance su ArtStation

La pandemia ha lasciato decine di milioni di persone in tutto il mondo senza lavoro e i truffatori, che non perdono mai un’occasione, stanno prendendo di mira sempre di più i freelance e altre persone in cerca di lavoro. Oggi, esaminiamo una truffa insolitamente sofisticata che colpisce artisti e designer.

Ricerca di lavoro su ArtStation

Tutto inizia su ArtStation, sito dove gli artisti pubblicano il proprio portfolio per categorie come game art, anime, fumetti, media e produzione cinematografica. È normale per gli utenti del sito ricevere e-mail personali dai potenziali clienti.

Dall’anno scorso, però, i freelance di ArtStation vengono presi di mira da criminali informatici altamente professionali che si fingono dipendenti di importanti sviluppatori di giochi, tra cui 2K, Big Fish, Bluepoint e Riot Games.

Storia di una truffa

Un utente, un concept artist con sede negli Stati Uniti, riceve quello che sembra un invito per un colloquio con 2K, editore di titoli come BioShock, Mafia, Sid Meier’s Civilization, NBA 2K, e Borderlands. L’offerta comprende un bello stipendio e la possibilità di lavorare da remoto. L’e-mail è ben elaborata e include molti dettagli che di solito fanno pensare che dall’altra parte ci sia un professionista delle risorse umane.

Finta e-mail per un lavoro da svolgere da casa.

Il freelance studia attentamente il messaggio, che non sembra avere nulla a che fare con lo spam ordinario. Anche il dominio del mittente sembra legittimo: @2kgamesjobs.com. Tra i termini dell’impiego e i link ai profili LinkedIn, il presunto datore di lavoro indica che il colloquio si sarebbe tenuto su Telegram, allegando un link per scaricare e installare l’applicazione. L’artista scarica l’app di messaggistica e contatta il presunto recruiter.

A questo punto la maggior parte dei truffatori sarebbe passata direttamente alla fase di estorsione, ma in questo caso gli scammer rimangono nel personaggio ancora per un po’. Effettuano un lungo e approfondito colloquio con l’artista, ma non attraverso video o una chiamata telefonica, che è quello che ci aspetteremmo da un’azienda normale, ma via messaggio utilizzando la modalità chat segreta di Telegram. Eppure, nemmeno per un secondo l’artista ha l’impressione che si tratti di una messinscena. Le domande del falso recruiter richiedono una conoscenza professionale di prospettiva, teoria del colore e ombreggiatura. Il test sembra reale e l’artista prova soddisfazione nel superare la prova.

Ora tutto ciò che si frappone tra l’artista e il lavoro perfetto sono un paio di formalità: alcuni requisiti software e hardware tra cui un MacBook Pro con certe specifiche, un pacchetto per il design grafico, uno strumento di calibrazione dello schermo e un sistema per la registrazione del tempo. Niente di inverosimile, anche se l’attrezzatura deve essere acquistata da un particolare fornitore. In cambio, l’artista riceverà un pagamento anticipato tramite assegno.

Tuttavia, l’acquisto obbligatorio di attrezzature è sufficiente per insospettire l’artista che qualcosa non va. L’artista trova un avviso sul sito web di 2K riguardo a “malintenzionati che si spacciano per personale delle risorse umane dell’azienda” e smette di comunicare con i truffatori.

Per il nostro artista la storia si conclude qui ma non tutti sono stati così attenti.

Epilogo

Se l’artista avesse continuato a rimanere in contatto con i truffatori dopo il falso colloquio, avrebbe effettivamente ricevuto un assegno, che sarebbe sembrato provenire dalia divisione contabile di 2K e sarebbe stato consegnato da un vero corriere FedEx, il che dimostra ancora una volta quanto impegno i truffatori abbiano dedicato all’operazione.

L’assegno sembra vero ma non lo è.

Tuttavia, a un’analisi attenta l’assegno non soddisfa le aspettative. A un primo sguardo sembra un assegno regolare; le scritte sulla matrice suggeriscono persino la presenza di una filigrana sul retro. In realtà è solo un pezzo di carta stampato con una normale stampante a colori. I truffatori cercano di programmare il suo arrivo per il tardo pomeriggio del venerdì in modo che il destinatario non abbia il tempo di andare in banca e verificarne l’autenticità.

La tempistica può essere comunque legata a qualcosa di più. Gli assegni passano attraverso un processo chiamato clearing (compensazione) che può richiedere diversi giorni. La maggior parte delle banche non lavora nei fine settimana, quindi i truffatori immaginano che il nuovo “dipendente” pagherà semplicemente l’attrezzatura di tasca propria proprio durante il fine settimana, dando per scontato che l’assegno verrà pagato.

Se la vittima conferma la sua disponibilità a farlo, i cybercriminali rivelano l’identità del loro fornitore autorizzato, che risulta essere un individuo con un conto Venmo o Zelle, due servizi di trasferimento di denaro degli Stati Uniti. L’assunzione fasulla è  stata ideata per far sì che chi cerca lavoro invii a questo fornitore sconosciuto una somma pari al costo di un MacBook e altri “software e attrezzature necessarie”, più di 3.500 dollari in totale.

Come proteggersi

La truffa è diventata una questione abbastanza importante per le aziende coinvolte e ha attirato l’attenzione generale. ArtStation, da parte sua, ha pubblicato un articolo approfondito in merito a questa truffa. Alcuni sviluppatori ed editori di giochi hanno anche pubblicato avvisi sui propri siti web per mettere in guardia i potenziali candidati.

Alcune aziende mettono in guardia gli artisti.

Ecco alcuni consigli per evitare di diventare delle vittime di questo tipo di truffe:

• Limitate le ricerche di lavoro alle fonti ufficiali. La bacheca di ArtStation, per esempio, mostra solo annunci controllati;
• Diffidate delle offerte in cui vi propongono di parlare di un lavoro o di tenere un colloquio in una chat segreta, in cui i messaggi sono cifrati e non possono essere inoltrati, e che avvisano i partecipanti se qualcuno fa uno screenshot;
• Controllate le informazioni di contatto sui siti web ufficiali delle aziende, che di solito forniscono indirizzi e canali di comunicazione per il personale delle risorse umane. Se necessario, inviate un’e-mail all’azienda di richiesta generale di informazioni, chiedendo se la persona che vi ha contattato lavora effettivamente per loro;
• Utilizzate una soluzione di sicurezza affidabile che vi protegga dalle truffe e dal phishing.