Recensioni false in cambio di prodotti. Trovato un database di 200.000 persone che truffavano Amazon

Il gruppo di esperti di cybersicurezza SafetyDetectives ha portato alla luce un database aperto contenente messaggi diretti tra venditori Amazon e utenti disposti a scrivere recensioni false in cambio di prodotti gratuiti.

La scoperta riguarda un database ElasticSearch – che è uno dei più importanti motori di ricerca full text in internet – di 7 GB, con record che si riferiscono a più di 200.000 persone dell’Europa e degli Stati Uniti. Non si sa a chi appartenga il database individuato il 1 marzo 2021, era su un server non protetto in Cina. Il database è stato bloccato il 6 marzo.

Venditori disonesti e finti recensori che in cambio ricevono prodotti gratis

SafetyDetectives pensa che il server sia di una terza parte che raggiunge i potenziali recensori per conto dei venditori: una sorta di servizio che mette in contatto utenti disposti a scrivere false recensioni su Amazon in cambio di prodotti. Una vera e propria truffa che danneggia sia Amazon sia gli utenti onesti che si fidano delle recensioni lette sulla piattaforma di e-commerce.

La scoperta del database ha permesso di capire anche il funzionamento della truffa. I venditori inviano alle persone che sono disposte a lasciare recensioni false una lista di prodotti per i quali vorrebbero una recensione a cinque stelle su Amazon. Queste persone poi comprano i prodotti e lasciano la recensione, a quel punto inviano un messaggio al venditore contenente un link al loro profilo Amazon e, particolare fondamentale per la truffa, i loro dati PayPal per un “rimborso”. Naturalmente, viene concesso loro di tenere il prodotto che hanno comprato e recensito in malafede.

Apri originale

I 13 milioni di record del database di 7 GB contengono campi di tutti i tipi: dati relativi ai venditori con dettagli di contatto, indirizzi e-mail e numeri di telefono collegati agli account WhatsApp e Telegram utilizzati per comunicare con i recensori. I dati relativi ai recensori fraudolenti includevano più elementi di informazioni personali identificabili, tra cui 75.000 link ai loro account e profili Amazon, dettagli del conto PayPal, 232.664 indirizzi Gmail e nomi utente, molti dei quali composti da nomi reali.

Le cose potrebbero non mettersi bene per i truffatori

Al di là dell’eventuale parte terza ancora sconosciuta e facente funzione di elemento di contatto tra venditori e finti recensori, a rischiare grosso sono i venditori che hanno violato i termini di servizio di Amazon per la richiesta di recensioni false.

Gli account dei venditori possono essere eliminati in modo permanente anche con effetto immediato. Amazon può trattenere tutti i guadagni dalle transazioni in sospeso di prodotti venduti ma con soldi non ancora incassati.

Inoltre, Amazon ha il diritto di divulgare il nome del venditore pubblicamente proprio per scoraggiare malefatte di questo tipo, e ovviamente adire ad azioni legali.

Non andrebbe meglio ai finti recensori, che possono pagare sanzioni carissime (anche più di 10.000 dollari), e ricevere condanne in base alla giurisdizione del Paese di riferimento.

E i cracker che hanno avuto accesso al server gongolano

C’è un problema anche più grave delle truffe scoperte attraverso il database, ed è che quel database era accessibile a chiunque avesse la capacità di trovarlo, quindi anche a cracker esterni alle truffe che ora sarebbero in possesso dei dati sensibili, compresi gli account PayPal di migliaia di persone.

SafetyDetectives non ha detto se ha preso contatti diretti con Amazon per mettere al corrente la società dell’esistenza del database con i dati dei truffatori. Ha però voluto specificare anche che alcuni clienti che hanno fornito recensioni false potrebbero essere stati inconsapevoli di fare qualcosa di sbagliato, perché poco avvezzi al funzionamento delle recensioni o delle attività di marketing in senso generale, tali per cui la proposta di lasciare una recensione in cambio del prodotto sia sembrata loro legittima.