Smishing: cosa fare con gli SMS sospetti

Perché l'SMS è così facile da falsificare

Il nome in cima a un messaggio è un'etichetta assegnata dal mittente, non un'identità verificata dal tuo telefono. I servizi di invio massivo consentono di impostare quell'etichetta con quasi qualsiasi testo, e i criminali ci scrivono il nome di una banca, di un corriere o di un ente pubblico.

La conseguenza inganna quasi tutti. I telefoni raggruppano i messaggi in base a quell'etichetta, quindi un messaggio fraudolento può finire nella stessa conversazione degli avvisi di sicurezza autentici che ricevi da anni, subito sotto di essi e sotto la stessa intestazione. È ragionevole concluderne che un messaggio comparso in una conversazione vera sia vero. Non è prova di nulla.

I copioni che riceverai davvero

Il pacco non consegnato

«Il tuo pacco non è stato consegnato a causa di una tassa doganale non pagata di 1,99 €.» L'importo è volutamente irrisorio, perché l'obiettivo non è la tassa: è il numero della tua carta, e spesso un codice di conferma che autorizza un pagamento molto più grande o registra la tua carta in un portafoglio digitale controllato dal criminale. I corrieri a volte applicano davvero dei dazi, ma lo fanno tramite la propria app o il proprio sito, a cui arrivi digitando tu l'indirizzo.

L'avviso di sicurezza della banca

«Hai tentato un pagamento di 850 € verso un nuovo beneficiario? Rispondi NO per annullare.» Rispondere avvia una conversazione con un «funzionario antifrode» cordiale, professionale e comprensivo, che alla fine ti chiede di spostare i tuoi soldi su un «conto sicuro». Nessuna banca ha un conto sicuro. Un bonifico che fai tu stesso, seguendo istruzioni, è molto più difficile da annullare di una frode su carta: ed è proprio per questo che il copione è così diffuso.

Il pedaggio, la multa o il rimborso fiscale

Pedaggi autostradali, multe per sosta e rimborsi fiscali arrivano tutti come importi piccoli e plausibili con una scadenza breve. Nella maggior parte dei paesi gli enti pubblici non avviano rimborsi o sanzioni via SMS con un link di pagamento. Controlla direttamente sul sito ufficiale, usando un indirizzo che cerchi in autonomia.

Il messaggio «numero sbagliato»

«Ciao, sei tu Daniele? Abbiamo pranzato insieme la settimana scorsa.» Il messaggio sembra recapitato per errore, tu rispondi gentilmente per correggere e inizia una conversazione amichevole che nel giro di giorni o settimane scivola verso un'opportunità di investimento. È la porta d'ingresso della truffa lunga descritta nella nostra guida sulle truffe negli investimenti. Non rispondere per correggere uno sconosciuto: la risposta è il prodotto.

Il rinnovo dell'abbonamento

«Il tuo abbonamento antivirus si rinnova oggi per 299 €. Per annullare, chiama questo numero.» Nessuno vuole un addebito inatteso, quindi le persone chiamano — e la chiamata porta a una sessione di accesso remoto. Quel percorso è descritto nella nostra guida sul finto supporto tecnico.

Indizi che sopravvivono allo schermo piccolo

• Un link in un messaggio che non aspettavi. Gli avvisi legittimi evitano sempre più i link proprio per questo motivo. Un link inatteso è il segnale più forte in assoluto.
• Un dominio quasi giusto. Leggi le parole immediatamente prima dell'estensione finale. Tutto il resto dell'indirizzo è stato scelto dal mittente.
• Estensioni di dominio insolite in un messaggio che dice di provenire da un'istituzione nazionale, oppure un accorciatore di link che nasconde del tutto la destinazione.
• La richiesta di un metodo di pagamento senza tutele: criptovalute, buoni regalo o bonifico verso una persona fisica.
• L'invito a non parlarne con nessuno, o la richiesta di restare al telefono mentre vai in banca.
• Una struttura che richiede una risposta. Gli avvisi automatici veri raramente avviano una conversazione; le truffe ne hanno bisogno.

Il messaggio «Ciao mamma» e le impersonificazioni

«Ciao mamma, mi è caduto il telefono nel water, questo è il mio nuovo numero. Mi aiuti con una cosa?» L'approccio è volutamente banale. Appena rispondi arriva la storia: una bolletta da pagare entro oggi, un'app bancaria bloccata, un amico a cui non si può chiedere. Il bonifico finisce su un conto che viene svuotato in pochi minuti.

La difesa richiede trenta secondi e non costa nulla:

• Chiama il numero che hai già in rubrica per quella persona. Non quello nuovo. Se il telefono è davvero rotto riceverà comunque il tuo messaggio, e se è una truffa non hai perso nulla.
• Chiedi qualcosa che solo quella persona può sapere, e che non compaia sui social. Dove era seduta a un certo evento, per cosa avete discusso lo scorso inverno.
• Concordate in anticipo una parola di famiglia, prima di averne bisogno. Semplice, memorabile, mai scritta online.
• Considera una truffa, salvo prova contraria, la combinazione di urgenza e numero nuovo. Quella combinazione è lo schema.

La clonazione vocale ha reso la conferma telefonica meno assoluta di un tempo: bastano pochi secondi di audio per sintetizzare una voce convincente. Se una telefonata è emotiva, urgente e riguarda denaro, usa la parola concordata o un ricordo condiviso, e sii disposto a riattaccare e richiamare il numero salvato.

Codici usa e getta e il trucco della richiamata

Una quota enorme dei furti di account si conclude con un codice vero, inviato da una banca vera, dettato da un cliente vero a un criminale. Il criminale ha già la tua password; il codice è l'ultima porta. Il copione diventa quindi: «Per verificare la sua identità le ho appena inviato un codice a sei cifre. Me lo può leggere?»

Lo stesso vale per le notifiche di approvazione. Se il telefono ti chiede di approvare un accesso che non hai avviato, rifiuta e cambia quella password. Notifiche ripetute significano che un attaccante spera che tu tocchi «sì» per far smettere le vibrazioni.

Cosa fare con un SMS sospetto

1. Non toccare il link. Né per guardare, né per curiosità.
2. Non rispondere — nemmeno «STOP». Una risposta conferma che il numero appartiene a una persona attenta.
3. Verifica per la tua strada se la comunicazione avrebbe importanza: apri l'app della banca, quella del corriere, o digita l'indirizzo ufficiale nel browser. Se è autentica, la troverai lì.
4. Segnalalo. Molti paesi hanno un numero breve gratuito gestito dagli operatori telefonici per le segnalazioni, ed entrambi i sistemi operativi per smartphone hanno l'opzione «segnala come spam». Sono le segnalazioni a far chiudere i siti che ci stanno dietro.
5. Elimina e blocca. Poi dillo a un'altra persona, soprattutto ai familiari meno a loro agio con la tecnologia. Le ondate di truffe colpiscono intere rubriche in una volta.

Se hai cliccato o risposto

Niente panico: la sola visita a una pagina raramente causa danni su un telefono aggiornato. Procedi in ordine:

• Hai inserito i dati della carta? Chiama la banca al numero stampato sulla carta e chiedi blocco e riemissione. Chiedi esplicitamente se sono stati autorizzati registrazioni su portafogli digitali o nuovi beneficiari.
• Hai inserito una password? Cambiala sul sito vero e ovunque l'avessi riutilizzata. Poi controlla email di recupero, numero di telefono e regole di inoltro dell'account.
• Hai dettato un codice usa e getta? Contatta subito il fornitore del servizio e comunica che l'account è compromesso. Qui la velocità conta più di ogni altra cosa.
• Hai installato un'app suggerita dal messaggio? Rimuovila e considera potenzialmente esposto ogni account usato su quel dispositivo. Riavvia il telefono e aggiorna il sistema operativo.
• Hai inviato denaro? Chiama subito la banca e chiedi di tentare il richiamo del bonifico, poi segui la nostra checklist di recupero.

Infine, aspettati un seguito. Chi risponde a una truffa ne riceve altre, a volte nel giro di poche ore, e spesso da qualcuno che si offre di recuperare i soldi appena persi. Quel secondo contatto fa parte dello stesso business.