Tra le varianti del phishing esiste il cosiddetto smishing ovvero una truffa on line che utilizza falsi messaggi di testo inviati da telefoni cellulari per ottenere informazioni personali o distribuire malware. La diffusione nell’utilizzo dei dispositivi mobili, ha certamente contribuito alla diffusione dello smishing. Essere meno inclini a dubitare della legittimità di un messaggio SMS (nel caso delle e-mail di spam gli utenti sono ormai informati rispetto ai rischi connessi, questo non succede invece nel caso degli SMS) e la rapidità di reazione dell’utente ad una richiesta di risposta immediata solitamente urgente, certamente rappresentano i punti di forza per gli attacchi di smishing.
Anche per questa declinazione del phishing i criminali informatici si affidano alle tecniche di ingegneria sociale per guadagnare la fiducia di una vittima e aumentare la probabilità che questa riveli informazioni o conceda consensi di installazione.
Questi messaggi fraudolenti spesso inserendosi tra i messaggi legittimi ricevuti già in precedenza potrebbero veicolare anche link che reindirizzano verso un sito contraffatto simile a quello ufficiale del presunto mittente o che fanno scaricare delle applicazioni .apk malware.
I testi degli SMS fraudolenti spesso affermano che c’è un problema con utenze, oppure presumono blocchi della carta di credito, adeguamenti a politiche di sicurezza o consegne di pacchi da parte di corrieri, con avvisi di giacenza e attesa.
Smighing, un possibile modus operandi
Solitamente si riceve un messaggio in apparenza proveniente dalla propria banca o da un corriere che invita, con vari espedienti, a visitare una pagina di landing che sembra proprio quella afferente al mittente del messaggio.
La presunta pagina web ufficiale potrebbe invitare a inserire credenziali e codici dispositivi oppure per dare maggiore credito a scaricare un’app. In quest’ultimo caso in seguito al download, è probabile che l’app richieda per un corretto funzionamento l’accesso ai servizi di accessibilità che in realtà servirebbe per ottenere il controllo completo del dispositivo per un attacco overlay o per installare uno spyware. Alcuni di questi messaggi fraudolenti potrebbero tramite tecniche di spoofing visualizzare anche il nome di un’azienda piuttosto che visualizzare un numero di telefono sconosciuto o estero.
Consigli di protezione
Certamente i numeri sospetti meritano attenzione ma non è detto che siano illegittimi, quindi bisogna procedere sempre con cautela in caso di dubbi: una rapida ricerca online potrebbe per esempio svelare l’associazione tra il numero in esame e una truffa. Un buon modo per non lasciarsi ingannare è informarsi quanto più possibile.
Cosa fare quando ormai è troppo tardi?
Qualora sia stato appurato di aver dato seguito alle indicazioni di un sms truffa (click sul link ricevuto e scaricato un file oppure compilato un modulo) conviene quanto prima controllare i movimenti dei propri conto correnti, modificare le proprie password utilizzate per social network, e-mail, applicazioni di home banking e nei casi di infezione malware bonificare il proprio dispositivo, ripristinandolo, nei casi peggiori, alle impostazioni di fabbrica.
