Abbiamo parlato con un web designer che crea siti di online banking contraffatti

Un design elegante è fondamentale, sia nel caso di siti legittimi che di oscuri siti truffaldini che devono avere soltanto un'apparenza di legittimità, per convincere gli utenti a rilasciare le informazioni della propria carta di credito. I cybercriminali hanno bisogno di web designer capaci, e i programmatori a corto di soldi a volte hanno bisogno di lavori di questo genere—se sono disposti a lasciare da parte qualsiasi scrupolo morale in cambio di un pugno di Bitcoin.

Mi sono imbattuto in un vecchio post all'interno del subreddit r/darknet, scritto da un web designer che invitava i truffatori a contattarlo per servirsi delle sue competenze per costruire siti di phishing—siti falsi che assomigliano a quelli veri (tipo Gmail) ma che hanno il solo scopo di spillare informazioni personali e finanziarie da vittime ignare. "Cercate un vero web designer che trasformi il vostro discutibile progetto in qualcosa dall'aspetto professionale, senza domande e nell'anonimato completo?" ha scritto WolphReph42. "Avete appena trovato la persona che fa per voi."

Ero interessato al suo annuncio, ma non per il servizio offerto, volevo sapere cosa significasse essere web designer nella darknet, quindi gli ho scritto una mail utilizzando PGP, sperando che non si fosse già liberato del suo account Safe Mail.

"Io non sono un criminale," mi ha risposto WolphReph42. "Non cerco modi per truffare le persone, non sono un hacker e non sono un signore della droga che passa il suo tempo nel retro male illuminato di un ristorante cinese, fumando un sigaro e contando mazzette: sono una persona normale, con un buon lavoro che mi permette di vivere in modo dignitoso."

Nonostante ciò, il web designer anonimo mi ha detto di avere a che fare abbastanza regolarmente con l'illegalità. Oltre i suoi servizi di siti di phishing, ha creato alcuni bazar della darknet che vendono droghe di tutti i tipi—dagli oppiacei all'erba. La sua creazione più recente è un clone finlandese di Silk Road, il bazar della dark net che Ross Ulbricht è stato riconosciuto colpevole di ges​tire.

Molti truffatori vogliono dei semplici cloni di Gmail o Paypal, ha affermato WophReph42, per fare soldi velocemente. Un clone decente può costare dai 1000 ai 5000 dollari, mi ha detto WolphReph42, ma progetti che richiedono più specifiche tecniche e sottigliezze possono costare di più, molto di più—un sito di Internet banking convincente può arrivare a costare anche 15000 dollari.

Secondo un report del 2014 dell'Anti-Phishing Working Group, un'organizzazione anti-phishing che consiglia i governi, nella seconda metà del 2014 sono sorti 128.378 siti di phishing nel web. WolphReph42 mi ha detto di averne creati più di 100 negli ultimi tre anni.

Come è successo che una persona che si definisce normale—senza particolari pretese, e con un lavoro ben retribuito—sia finita in un contesto così oscuro? "Ero al verde avevo disperatamente bisogno di soldi, quindi ho messo da parte la mia morale e sono entrato in quel mondo," mi ha scritto WolphReph42. "È stato il mio primo lavoro losco: un bazar che non so se abbia avuto successo o no (se sì, non è mai arrivato ad alti livelli). Da lì ho cercato potenziali clienti sui forum e ogni tanto mi sono affidato al passaparola."

WolphReph42 insiste sul fatto di non essere un criminale, nonostante mi abbia detto di avere il sospetto che lo si potrebbe accusare di violazioni di copyright per i suoi siti-clone. Ma è convinto che non potrebbe essere accusato dei danni subiti dalle vittime dei siti.

Ho contattato David Fraser, avvocato specializzato in questioni legate al web nello studio legale canadese McInnis Cooper, per avere un parere legale sulle attività di WolphReph42. Sfortunatamente potrebbe essere in pericolo più di quanto lui immagini.

"La violazione di copyright è poca cosa rispetto ai crimini più gravi," ha detto Fraser. "La colpevolezza dipende da cosa gli sviluppatori del sito sanno o che ruolo avevano nel crimine in generale, nella truffa ad esempio. In generale, per quanto riguarda le cose che potrebbero sapere, credo che le accuse dipenderebbero dal modo in cui pubblicizzano i loro servizi."

Rispetto a quale pena potrebbe essere inflitta a un web designer che fa il lavoro sporco dei truffatori, Fraser ha affermato che il tribunale potrebbe condannarlo alla detenzione se la truffa del sito supera i 5000 dollari. WolphReph42 mi ha detto che protegge la sua identità utilizzando la crittazione PGP standard, Tor, server proxy che nascondono la sua posizione e un nuovo laptop ogni tre-quattro settimane.

Ma sarà sufficiente?

"Nessuno vuole essere un potenziale complice di un crimine," mi ha detto il web designer anonimo. "A me semplicemente piacciono i soldi."