Smishing: gli SMS truffa che imitano Poste Italiane

Continuiamo a parlare di sicurezza informatica e truffe online. In questo articolo vediamo lo smishing e le truffe via SMS a nome di Poste Italiane, che sono tra le più diffuse.

Cos'è lo smishing

Il phishing è la truffa che usa messaggi falsi per rubare dati personali. Quando il messaggio arriva via SMS prende il nome di smishing (da SMS e phishing).

Il meccanismo è sempre lo stesso: l'SMS contiene un link che porta a un sito falso, identico a quello vero, dove si chiede di inserire credenziali, numeri della carta di credito o codici di sicurezza. Una volta inseriti, i dati finiscono nelle mani dei truffatori.

La truffa a nome di Poste Italiane

È uno schema usato da anni. Arriva un SMS che sembra di Poste, a volte con il mittente «PosteInfo» o simili, che parla di un problema sul conto, di un pagamento bloccato o di un pacco in giacenza, e invita a cliccare su un link o a chiamare un numero.

Un esempio tipico: «Gentile cliente, abbiamo rilevato un accesso anomalo sul tuo conto. Verifica subito i tuoi dati qui: …».

Poste Italiane ricorda che non chiede mai, tramite SMS, email o telefonate, di fornire credenziali, codici o dati delle carte. Chi riceve un messaggio sospetto non deve cliccare e può segnalarlo a Poste attraverso i canali indicati sul sito ufficiale.

La stessa tecnica viene usata a nome di banche, corrieri, fornitori di luce e gas, enti pubblici e qualsiasi azienda di cui le persone si fidano.

Come riconoscere un SMS sospetto

• Fretta e allarme: conto bloccato, pacco che torna al mittente, multa da pagare subito.
• Link strani: indirizzi accorciati o con nomi simili a quelli veri ma non uguali.
• Richieste di dati: credenziali, codici ricevuti via SMS, numeri della carta.
• Mittente inatteso: numeri sconosciuti o esteri. Attenzione però: i truffatori riescono anche a falsificare il nome del mittente, e il messaggio falso può comparire nella stessa conversazione di quelli veri.

La regola più sicura: non cliccare. Apri l'app ufficiale o scrivi a mano l'indirizzo del sito per controllare se c'è davvero qualcosa da fare.

Il vishing

Il vishing è la variante telefonica (da «voice» e phishing). Arriva la chiamata di un finto operatore della banca, di Poste o perfino delle forze dell'ordine, che con tono urgente chiede dati e codici o invita a spostare i soldi su un «conto sicuro».

Spesso smishing e vishing si combinano: prima l'SMS, poi la telefonata del finto operatore che «ti aiuta a risolvere». La difesa migliore è riattaccare e richiamare tu la banca o l'azienda al numero ufficiale, quello sul sito o sul retro della carta.

Le app da non installare

Alcuni SMS chiedono di scaricare un'app, per esempio per «ascoltare un messaggio vocale» o «tracciare un pacco». Nel 2018 fu scoperto Android/TimpDoor, un'app malevola diffusa proprio così: una volta installata, trasformava il telefono in un punto di accesso alla rete usato dai criminali.

Installa le app solo dagli store ufficiali (Google Play e App Store) e mai da link ricevuti via SMS.

Se hai già cliccato

Se hai inserito dei dati, cambia subito le password, avvisa la banca o l'ente coinvolto e blocca le carte se necessario. Conserva l'SMS e segnala la truffa alla Polizia Postale.