Telegram diventa per l’ennesima volta vetrina del cybercrimine.
Kit illegali venduti su Telegram permettono di aggirare i controlli biometrici di banche e piattaforme crypto tramite fotocamere virtuali e deepfake.
Strumenti che alimentano una rete globale di riciclaggio legata alle truffe pig-butchering – tecnica mirata a svuotare i conti delle vittime che abbiamo approfondito qui – movimentando miliardi di dollari verso la stablecoin Tether.
Questo il quadro generale. La situazione tende al caos e il caos non aiuta chi si occupa di cyber difesa.
Per capire meglio il contesto e i reali pericoli ci siamo avvalsi del parere di Pierluigi Paganini, Ceo Cybhorus e direttore dell’Osservatorio sulla cybersecurity Unipegaso.
Indice degli argomenti
Telegram come hub per i cyber criminali
All’interno di un centro di riciclaggio di denaro in Cambogia – scrive la MIT Technology Review che ha svolto un’indagine approfondita – un operatore apre con disinvoltura un’app bancaria vietnamita sul proprio smartphone.
Quando il sistema richiede una verifica dell’identità mediante l’upload di una foto, l’uomo seleziona l’immagine di un trentenne asiatico, legittimo proprietario del conto.
Il passaggio successivo, tuttavia, è quello più critico: il controllo di “liveness” (vitalità), che richiede l’attivazione della fotocamera per confermare che l’utente sia una persona in carne ed ossa. Momento in cui, invece di inquadrare il proprio volto, il criminale mostra una foto statica di una donna che non ha alcuna somiglianza con il titolare del conto.
Al contrario di quanto è lecito attendersi, il sistema accetta la verifica, permettendo l’accesso completo alle funzioni dell’app.
Una nuova frontiera del crimine informatico resa possibile da una vasta gamma di servizi di hacking disponibili a basso costo su Telegram.
L’indagine ha identificato ventidue canali e gruppi pubblici su Telegram in cinese, vietnamita e inglese, dediti esclusivamente alla vendita di kit di bypass per le procedure KYC (Know Your Customer) e di dati biometrici rubati.
Canali che vantano migliaia di iscritti e sui quali si trovano sia gli strumenti necessari sia pacchetti completi che promettono procedure fluide per violare sistemi di giganti come Binance o istituti di credito.
Nonostante Telegram affermi di rimuovere regolarmente tali account per violazione dei termini di servizio, la natura di questi mercati è molto resiliente: non appena un canale viene chiuso, altri ne prendono il posto, garantendo la continuità delle operazioni criminali.
L’impalcatura tecnologica che rende possibile bypassare KYC
L’efficacia di questi attacchi si basa su una manipolazione tecnica sofisticata che interviene direttamente sull’hardware e sul software dello smartphone. Questo aspetto offre una conferma della crescente sofisticatezza delle minacce, argomento datato ma sempre valido.
La tecnica principale prevede l’uso di una fotocamera virtuale (VCam), uno strumento che consente di sostituire il segnale video in tempo reale della fotocamera del telefono con contenuti multimediali preregistrati, siano questi foto, video di persone reali o deepfake generati dall’intelligenza artificiale.
Per rendere possibile questa iniezione di dati, i criminali utilizzano telefoni jailbroken (dispositivi i cui limiti di sicurezza originali sono stati rimossi) oppure iniettano un codice noto come hooking framework direttamente all’interno delle applicazioni bancarie.
In questo modo, l’app viene indotta a credere di ricevere immagini autentiche dalla fotocamera live, quando in realtà sta elaborando file digitali manipolati.
Questa infrastruttura tecnologica è il motore che alimenta l’industria globale delle truffe pig-butchering e del gioco d’azzardo illegale.
I capitali sottratti alle vittime confluiscono in una rete di conti correnti controllati da organizzazioni di riciclaggio note colloquialmente come water houses.
Qui, i kit di bypass KYC diventano strumenti essenziali: permettono ai riciclatori di accedere istantaneamente ai conti “mulo” e di trasferire i fondi prima che i sistemi di sicurezza possano rilevarli, convertendo spesso il bottino nella stablecoin Tether.
La velocità di esecuzione è elevata, con transazioni orchestrate che si concludono in pochi secondi, dimostrando una profonda conoscenza dei flussi di verifica e autenticazione bancaria da parte dei criminali.
Si stima che nel solo 2025 le truffe e le frodi legate al mondo crypto abbiano generato un volume d’affari illegale prossimo ai 17 miliardi di dollari, segnando un netto incremento rispetto ai 13 miliardi dell’anno precedente.
Le capacità di risposta
Le istituzioni finanziarie e le piattaforme di criptovalute si trovano in una posizione difensiva complicata e, mentre aziende come Binance dichiarano di disporre di sistemi di sicurezza all’avanguardia capaci di prevenire miliardi di perdite, gli esperti indipendenti mantengono un forte scetticismo.
Inoltre, il pericolo tende a rimanere invisibile, perché molti bypass riescono a superare i controlli senza essere mai rilevati, lasciando le aziende e i fornitori di servizi KYC all’oscuro della reale entità delle violazioni fino a quando non è troppo tardi.
Nel medesimo tempo, per gli sperti, ogni nuovo requisito di sicurezza rappresenta semplicemente una nuova sfida tecnica che i truffatori cercheranno di superare, rendendo la battaglia una continua ed estenuante rincorsa tecnologica.
Restare allerta senza allarmismi
Il riconoscimento biometrico mostra un lato di sé ancora poco conosciuto, ma possiamo ancora ritenerlo sicuro?
“La risposta onesta è: dipende da come è implementato, e il livello di allerta è giustificato ma va calibrato”, continua l’ingegner Pierluigi Paganini.
“Il riconoscimento biometrico rimane, in termini assoluti, superiore alla password tradizionale: nessun phishing classico sottrae un volto. Il problema, come evidenzia bene l’articolo del MIT, non è la biometria in sé ma il liveness check, ovvero il meccanismo che verifica che la persona davanti alla telecamera sia reale e presente in quel momento. I bypass documentati non ‘clonano’ un volto nel senso fantascientifico del termine: sfruttano una virtual camera che sostituisce il feed video reale con immagini o video statici, anche molto semplici, ingannando app che implementano controlli di vivacità poco robusti.
Il punto critico è quindi la qualità dell’implementazione del liveness check: soluzioni passive di basso livello (che analizzano solo la texture del frame) sono molto più vulnerabili di quelle attive e multimodali, che incrociano micro-movimenti, riflessi della luce, analisi del flusso ottico e segnali comportamentali. Società specializzate hanno stimato che gli attacchi via virtual camera sono aumentati in modo significativo dal 2024, il che indica una corsa agli armamenti reale, non un allarme teorico”.
Tenere alta l’attenzione è sempre producente, cedere alla paura lo è decisamente meno. “Farsi prendere dal panico sarebbe però controproducente: abbandonare la biometria in favore di PIN o password sarebbe un passo indietro netto in termini di sicurezza media.
La risposta corretta è pretendere, come utenti e come regolatori, implementazioni di qualità certificata, adottare l’autenticazione a più fattori anche dove la biometria è già presente, e restare vigili su richieste anomale di ‘verifiche identità’ non sollecitate. Il problema esiste, è in crescita, ma è gestibile con tecnologia e consapevolezza. L’allarme serve; il panico no”, sottolinea l’esperto.
La situazione in Italia
Alle nostre latitudini le acque sono ancora calme, ciò non vuole dire che resteranno tali anche in futuro.
Infatti, come evidenzia l’ingegner Paganini: “A oggi non risultano casi pubblicamente confermati e attribuiti in modo esplicito a istituti di credito italiani specifici nell’ambito dei bypass biometrici tramite virtual camera o deepfake, almeno non con il livello di dettaglio che emerge dall’inchiesta del MIT Technology Review su BBVA o Binance.
Questo non significa assenza del fenomeno: significa più probabilmente che le banche italiane, come la gran parte degli istituti europei, potrebbero non aver interesse a rendere pubbliche vulnerabilità o incidenti che potrebbero erodere la fiducia dei clienti, e che le segnalazioni alle autorità avvengono spesso in modo riservato.
Il vettore Telegram come marketplace di exploit è stato segnalato anche in report di Europol riferiti al contesto europeo allargato, che include ovviamente l’Italia.
È ragionevole attendersi che con la diffusione dei kit descritti nell’articolo, venduti a prezzi accessibili e con istruzioni dettagliate, il perimetro si estenderà rapidamente anche agli istituti italiani, se non lo ha già fatto in modo non rilevato”.
