Smishing e Vishing: le truffe tramite SMS e chiamate vocali

Il termine smishing deriva dalla combinazione delle parole SMS (Short Message Service), ovvero i messaggi di testo brevi che si inviano tramite cellulare e phishing, cioè truffa. Quando i cybercriminali eseguono un attacco o una campagna di phishing, inviano e-mail fraudolente con lo scopo di ingannare il destinatario e indurlo ad aprire un allegato contenente malware, raggiungere un sito fasullo o aprire un link dannoso. Il medesimo inganno avviene per lo smishing, che semplicemente usa gli SMS al posto delle e-mail; il messaggio di testo chiede all'utente di contattare un numero di telefono o di andare su un sito web (spesso con la promessa di uno sconto o di una promozione) e di eseguire un'azione immediata. Il numero telefonico fraudolento quasi sempre è un sistema di risposta automatica con il quale si invita l'utente a fornire informazioni private come le password, codici OTP (One Time Password) o dati riguardanti la propria carta di credito. In alcuni casi una volta risposto all'SMS, viene attivato immediatamente un servizio a pagamento. Il vishing o phishing vocale - neologismo anglosassone nato dalla fusione tra voice e phishing - è invece una truffa telefonica in cui i truffatori cercano di indurre la vittima a divulgare informazioni personali, finanziarie, di sicurezza o a trasferire loro del denaro. In questo caso i cybercriminali creano un sistema vocale automatizzato per fare chiamate verso uno o più database di utenze telefoniche; la chiamata innesca un senso di urgenza per l'utente che per questo motivo fornisce le informazioni richieste. I cybercriminali usano il VoIP per realizzare falsi centralini che riproducono quelli delle organizzazioni reali.

Lo smishing è una particolare tecnica di truffa informatica già ampiamente conosciuta tra i professionisti e le varie società che si occupano di sicurezza (il primo caso rilevante di campagna smishing virale risale al 2012 quando l'azienda tedesca REWE Group, operante nei settori della grande distribuzione e del turismo, portò alla luce il fenomeno; in particolare, il portavoce della compagnia riferì che l’attacco fu eseguito mediante finti buoni regalo del valore di 1.000 dollari), ma ultimamente se ne torna a parlare per via delle numerose e continue nuove campagne di infezione segnalate un po' in ogni angolo del mondo.

Uno degli ultimi attacchi smishing è avvenuto proprio durante la pandemia da Coronavirus. Nei primi giorni dello scorso aprile la polizia postale ha segnalato un massiccio invio di sms che contenevano un falso messaggio dell'Inps simile al seguente:

A seguito della sua richiesta accredito domanda COVID-19. Aggiorna i tuoi dati nel inps-ixxxxx.online

Cliccando sul link contenuto nel messaggio viene scaricato un file APK (Android application package) all’interno del quale si nasconde un malware che si installa automaticamente nello smartphone e permette ai criminali di accedere al dispositivo ottenendone il controllo e di impossessarsi dei dati sensibili: password, dati delle carte di credito, PIN, codici OTP, credenziali di accesso all'home banking o altri codici personali entrano a far parte della banca dati dei truffatori. Molti di questi dati sono destinati a finire nel deep web - venduti a pacchetti a pochi dollari - altri usati come merce di scambio tra hacker e altri ancora usati per rubare ciò che si può nell’immediato.

Lo smishing prende di mira soprattutto gli utenti della Posta e della Banca. Di riflesso a questo, Poste Italiane ha sviluppato nel tempo un'ottima ed essenziale comunicazione di sensibilizzazione sull'argomento sul suo sito; e proprio nelle ultime settimane ha inviato una nuova e-mail a tutti i suoi clienti (possessori di carte Potepay, titolari di libretti di risparmio o Bancoposta) nella quale esorta a prestare attenzione alla problematica smishing. Di seguito un estratto*.

Gentile Cliente,

difenditi dallo Smishing, una frode in cui i criminali informatici, spacciandosi per mittenti noti alla vittima, inviano SMS contenenti link che reindirizzano su siti contraffatti, simili a quelli ufficiali, per carpire i dati personali ed operare a danno dei clienti. Purtroppo, tali messaggi sono molto credibili ed è facile essere tratti in inganno, in quanto potrebbero avere come mittente anche “PosteInfo” e “PostePay” e potresti visualizzarlo nella stessa lista dei messaggi effettivamente inviati da Poste Italiane o PostePay.

COME RICONOSCERE GLI SMS FRAUDOLENTI

Poste Italiane e PostePay ti contattano via SMS solo:

• per informazioni sulle caratteristiche dei prodotti/servizi offerti. In tal caso il link ti rimanderà esclusivamente sui siti poste.it e postepay.it (riconoscibili dalla presenza del lucchetto in alto a sinistra della barra di navigazione), e non ti verrà MAI richiesto di inserire i tuoi codici personali;
• per verificare se alcune operazioni sulla tua carta di pagamento siano state da te effettivamente autorizzate. In tal caso l’SMS non ti chiederà di fare click su un link, ma di confermare l’operazione di pagamento rispondendo al messaggio con “SI” o “NO”.

In tutti gli altri casi sei in presenza di SMS fraudolenti, come ad esempio SMS che, con tono d’urgenza, ti invitano a fare clic su un link per "verificare", "riattivare" il tuo conto o la tua carta di pagamento bloccata/sospesa, oppure per "aggiornare" i tuoi dati o le tue password.

Poste Italiane e PostePay non chiedono mai, telefonicamente e attraverso mail, tramite SMS o messaggi sui Social, di fornire password, dati delle carte, codici OTP, PIN, credenziali, chiavi di accesso all'home banking o altri codici personali.

Anche diversi istituti bancari divulgano analoghe comunicazioni. Ad esempio Intesa Sanpaolo nella sua landing page dedicata a queste tipologie di truffe online riporta:

Ricorda che non ti chiederemo mai e per nessun motivo i tuoi dati personali e/o finanziari o le tue credenziali di accesso ai servizi online/mobile banking

[Approfondimento: Phishing, vishing e smishing]

Il vishing è una truffa informatica conosciuta almeno da una decina di anni, usata soprattutto negli USA e nel Regno Unito, ma negli ultimi tempi importata anche nel Vecchio continente, soprattutto nel nostro paese.

Il modus operandi più classico è il seguente: il falso operatore chiama la potenziale vittima - numero fisso o mobile non fa differenza - e si identifica come dipendente o facente parte del call center di un istituto di credito; informa il diretto interessato che la sua carta di credito è stata oggetto di una truffa o di un tentativo di clonazione; da qui segue la richiesta di fornire tutta una serie di informazioni personali - in particolare il PIN - in modo da confermare che i dati della carta siano ancora sicuri. Ciò che contribuisce ad abbassare il livello di difesa della potenziale vittima, è il fatto che il farabutto in effetti conosce il numero della carta che dice di voler controllare: numero arraffato dietro attenti furti informatici, sofisticate pratiche di social engineering, attraverso tecniche di "relay" (un sistema di inoltro nel quale il payload proveniente da un sito e-commerce compromesso viene preso, elaborato e inoltrato verso un’altra infrastruttura), oppure tramite app per copiare i dati della carta a distanza, o ancora, più semplicemente, mediante i più svariati sistemi di furto offline. In alcuni casi il vishing viene utilizzato assieme al pishing: i cybercriminali inviano una e-mail alla vittima, segnalando problemi urgenti (sempre relativi alla carta di credito o conto bancario) da risolvere nel suo account; ad essa viene allegato un numero da chiamare per risolvere "subito" il problema. Al telefono risponderà il truffatore che cercherà di ottenere quante più informazioni possibili (personali, da utilizzare per un furto di identità o di sicurezza per rubare denaro). In origine il vishing prendeva di mira quasi esclusivamente le persone più anziane, ma nel tempo si è evoluto per colpire anche le società più strutturate causando notevoli danni finanziari e reputazionali. 

Se tutto questo può sembrare assurdo e facile da smascherare, ricordo la truffa avvenuta lo scorso anno, dove 6 persone sono state arrestate per aver commesso una frode informatica - con la tecnica del vishing - da oltre un milione di euro.[leggi notizia]

Tutelarsi dalle potenziali ramificazioni di questi attacchi è abbastanza semplice: basta non fare nulla. Questa tipologia di attacco può creare danni solo se si abbocca all’amo. Resta però importante tenere a mente alcune informazioni basilari per proteggersi da queste subdole truffe:

• Non rispondere mai (il più importante)
• Non cliccare su link, allegati o immagini che ricevi via SMS senza prima verificare il mittente
• Non comunicare assolutamente via SMS o Voce i dati delle tue carte o i codici dispositivi. Nessuno Istituto (bancario, assicurativo o di pubblica amministrazione) ti chiederà mai i suddetti dati completi tramite una procedura telefonica.
• Non fornire a terzi alcuna credenziale e/o dati personali. Molti cybercriminali si fingono operatori di Poste Italiane. È fondamentale fare attenzione anche al numero chiamante: potrebbe sembrare il numero autentico di Poste Italiane perché spesso i truffatori riescono a mascherarlo.
• Fai attenzione alle chiamate telefoniche indesiderate, soprattutto se sconosciuto non rispondere mai con un "Sì"*, ma usa la classica espressione "Pronto". Nel primo caso l'operatore telefonico può registrare la tua risposta affermativa e utilizzarla per la stipulazione di un contratto voce (ad esempio per la fornitura di luce e gas). Per verificare la loro identità, cerca il numero di telefono su Google, troverai facilmente informazioni utili.[*truffa del Sì]
• I truffatori possono trovare facilmente le tue informazioni di base online (ad esempio attraverso Facebook o LinkedIn). Non dare per scontato che chi chiama sia autentico solo perché possiede questi dati. Non pubblicare sui social il tuo numero di telefono.
• Non effettuare trasferimento di denaro o pagamento (bolletta scaduta, multa, rata finanziamento, condominio ecc) seguendo le indicazioni ricevute. Chiama e accertati direttamente con l’organizzazione di competenza.
• Controlla ogni comunicazione da parte di Poste Italiane o Istituto di credito solo attraverso le app ufficiali o digitando il link direttamente nella barra del browser.
• Attiva il servizio di SMS Alert (o notifiche push) sul tuo telefono che ti avvisa ogni volta che effettui un pagamento. Anche solo per una determinata soglia di transazione. Sono utili a identificare velocemente eventuali "operazioni non autorizzate".

Se purtroppo hai la certezza di aver fornito informazioni sensibili ai cybercriminali, attivati immediatamente: avvisa il tuo istituto di credito e denuncia il fatto alle forze dell’ordine, specificando quali sono i dati in possesso dei truffatori. In questo modo aiuterai altri cittadini a cautelarsi dalla medesima truffa e farai anche un servizio rivolto alla costruzione di una Rete più pulita e sicura.