Oggi parliamo di… SMiShing!

Gli attacchi di smishing utilizzano gli SMS, più comunemente noti come messaggi di testo. Questa forma di attacco è diventata sempre più popolare a causa del fatto che le persone sono più propense a fidarsi di un messaggio che arriva sul loro telefono attraverso un’app di messaggistica piuttosto che da un messaggio consegnato tramite email.

Anche se molte vittime non associano le truffe di phishing ai messaggi di testo personali, la verità è che è più facile per i malintenzionati trovare il numero di telefono che l’email di una vittima. Nel caso dei numeri di telefono esiste un numero finito di opzioni: negli Stati Uniti un numero di telefono è composto da 10 cifre.

Al contrario, un indirizzo email non è limitato nelle dimensioni, anche se è previsto un numero ragionevole di caratteri. Le email possono includere numeri, lettere e simboli come !, #, %, ad esempio. È molto più facile mettere insieme dieci cifre a caso per raggiungere una vittima che entrare in contatto con una persona tramite un indirizzo email.

L’hacker può semplicemente inviare messaggi a tutte le combinazioni di cifre della stessa lunghezza di un numero di telefono. Possono provare tutte le combinazioni di cifre senza pericolo e senza sbagliare.. Gartner riferisce che il 98% dei messaggi di testo viene letto e il 45% riceve risposta. Questo rende estremamente logico per gli hacker utilizzare i messaggi di testo come vettore di attacco, soprattutto quando, come riportato da Gartner, solo il 6% delle email riceve risposte.

Che cos’è lo SMiShing?
Lo SMiShing è un attacco informatico molto comune che sfrutta i messaggi di testo (SMS, acronimo che sta per Short Message Service) per ingannare gli utenti inducendoli a fornire informazioni personali o finanziarie.

Perché si chiama SMiShing?
SMiShing è un termine che deriva dalla combinazione delle parole “SMS”, che viene dal sistema di messaggistica tramite telefonia cellulare, e “phishing”. Lo SMiShing è semplicemente un tipo di phishing che utilizza gli SMS!

Come funziona lo SMiShing?
I truffatori, tramite la tecnica dello spoofing, riescono ad utilizzare numeri noti alla potenziale vittima – come ad esempio quelli da cui ricevono normalmente messaggi dalla propria banca – ed inviano messaggi di testo fraudolenti che sembrano provenire da fonti affidabili, come banche o aziende.

I messaggi segnalano, ad esempio, la presenza di anomalie sul conto corrente, l’utilizzo della carta di pagamento o del conto online all’estero, etc. ed invitano gli utenti a fornire informazioni personali o a cliccare su link dannosi.

I link in questione possono indirizzare le potenziali vittime a pagine web che sembrano quelle originali, ma che in realtà sono siti clone creati ad hoc al solo fine di raccogliere informazioni personali o di installare malware sul dispositivo del malcapitato. In certi casi i messaggi anticipano la telefonata di sedicenti operatori del servizio clienti, in questo caso allo SMiShing si somma il Vishing la truffa che utilizza il contatto telefonico che tratteremo nel prossimo articolo.

Come riconoscere lo SMiShing?
Per riconoscere un caso di SMiShing quando si riceve un messaggio sospetto, ci sono alcuni accorgimenti che puoi adottare:

• Verifica la fonte del messaggio: se il messaggio si dice proveniente da un’azienda o da una banca nota, controlla il numero di telefono verificando ad esempio sul sito che sia quello ufficiale della società o banca e contatta il servizio clienti per chiedere conferma dell’invio del messaggio.
• Analizza il contenuto del messaggio: se il messaggio chiede informazioni personali o finanziarie (come ad esempio il numero della carta di pagamento o il codice fiscale), è molto probabile che si tratti di un attacco di SMiShing.
• Presta particolare attenzione alle richieste urgenti o minacciose: i truffatori utilizzano spesso un tono minaccioso al fine di creare un senso di urgenza e di paura nella potenziale vittima per indurla ad agire rapidamente e senza riflettere.
• Controlla il link: se il messaggio contiene un link, evita di cliccare su di esso e controllalo attentamente, ad esempio trascinandolo e verificando la sua estensione completa.

Cosa fare se si riceve un messaggio di SMiShing?
Se ricevi un messaggio che ti sembra essere un caso SMiShing, evita di rispondere e non fornire informazioni, sia di carattere personale che finanziario. Inoltre, verifica attentamente l’origine del messaggio ed evita di cliccare su link in esso contenuti. Il miglior suggerimento, se si hanno dubbi sulla legittimità del messaggio, è comunque quello di contattare direttamente l’azienda o la banca tramite il servizio clienti o il sito web ufficiale.