Il fenomeno del phishing, e in particolare la sua variante veicolata tramite messaggi di testo nota come smishing, continua a rappresentare una delle minacce informatiche più insidiose e pervasive dell’era digitale, registrando una crescita esponenziale che preoccupa esperti e autorità. Sfruttando dinamiche di ingegneria sociale sempre più raffinate, i criminali informatici colpiscono indistintamente privati cittadini e aziende, facendo leva su sentimenti di urgenza, curiosità o timore. I dati globali sulla sicurezza informatica evidenziano che oltre il novanta per cento degli attacchi informatici di successo inizia proprio con una comunicazione ingannevole, e le segnalazioni relative a truffe via SMS sono triplicate negli ultimi anni, complice la massiccia digitalizzazione dei servizi e la nostra costante reperibilità sui dispositivi mobili. In questo scenario di vulnerabilità diffusa, l’attenzione degli utenti viene costantemente messa alla prova da esche progettate per mimetizzarsi perfettamente nella routine quotidiana, rendendo il confine tra una notifica legittima e una trappola digitale estremamente labile.
L’ultimo allarme lanciato dal CSIRT Italia, l’unità operativa dell’Agenzia per la Cybersicurezza Nazionale, ha messo in luce una specifica ed efficace campagna fraudolenta che sfrutta abusivamente il nome del noto corriere espresso Bartolini BRT. L’attacco si innesca attraverso la ricezione di un SMS, a dire il vero da un numero che già di per sé dovrebbe destare sospetti, che riproduce fedelmente il tono e lo stile delle comunicazioni logistiche reali, informando il destinatario che una presunta consegna non è andata a buon fine a causa di un indirizzo impreciso o dell’assenza del destinatario. All’interno del testo è presente un URL sul quale si invita a fare tap tempestivamente per verificare lo stato della spedizione e pianificare un nuovo tentativo di recapito. La scelta del tema non è affatto casuale, poiché l’enorme volume di acquisti online effettuati quotidianamente aumenta drasticamente le probabilità che il messaggio intercetti una persona che sta effettivamente aspettando un pacco, riducendo così la sua soglia di vigilanza.
Nel momento in cui la potenziale vittima seleziona il link, viene indirizzata verso una pagina web che costituisce il secondo livello della trappola, ideata per superare le naturali diffidenze tecniche. La schermata iniziale si presenta infatti con una grafica simile a quella dei sistemi di verifica tramite check-box utilizzati per dimostrare che l’utente non sia un software automatizzato, imitando i comuni controlli di sicurezza della navigazione. Superato questo finto filtro, il portale mostra una schermata ricca di dettagli apparentemente inappuntabili, come un falso numero di tracciamento della spedizione e una data di scadenza tassativa entro la quale confermare i propri dati. Per esercitare una forte pressione psicologica, compare un avviso esplicito che minaccia la restituzione immediata del pacco al mittente o comunque il rilascio ad un fermopoint qualora le informazioni stradali non vengano aggiornate con urgenza attraverso la compilazione di un apposito modulo guidato.
La parte più operativa della truffa si consuma ovviamente nel passaggio successivo, dove la vittima inserisce innanzitutto i propri dati anagrafici e l’indirizzo di residenza e poi viene anche reindirizzata a una finta piattaforma di pagamento sicuro. In questa sezione viene richiesto il versamento di una somma di denaro estremamente esigua, solitamente pochi euro o centesimi, giustificata come tariffa per la gestione del nuovo tentativo di consegna. Questa richiesta minimale rappresenta l’arma vincente dei truffatori, poiché da un lato appare del tutto plausibile per un servizio logistico e dall’altro induce l’utente a sottovalutare il rischio economico dell’operazione. Spinta dalla fretta di sbloccare la spedizione, la vittima inserisce senza esitazione i dettagli sensibili della propria carta di credito, inclusi il nome del titolare, il numero completo, la data di scadenza e soprattutto il codice di sicurezza CVV, consegnando quindi di fatto le chiavi del proprio conto ai criminali.
A margine di tutto, l’inganno viene “guarnito” anche con una schermata di elaborazione della transazione che simula in tutto e per tutto i circuiti bancari internazionali, al termine della quale l’utente viene reindirizzato in modo trasparente sul reale sito ufficiale di Bartolini, azienda ovviamente del tutto estranea alla vicenda, mentre quest’ultimo è ancora ignaro del furto dei dati della sua carta. Questa sofisticata campagna dimostra come l’efficacia del crimine informatico moderno non risieda necessariamente in complessi algoritmi di violazione tecnologica, quanto piuttosto nella capacità di manipolare il comportamento umano e sfruttare l’automazione dei nostri gesti quotidiani. Diventa quindi fondamentale sviluppare una radicata cultura della diffidenza digitale, imparando a verificare manualmente il dominio di atterraggio (in questo caso molto simile all’originale di BRT) dei link ricevuti o comunque a saper filtrare i numeri di telefono, in questo specifico caso. Inoltre, è sempre corretto evitare l’interazione con link ricevuti in modalità non richiesta e a monitorare costantemente i movimenti bancari, ricordando che la tempestività della difesa e la consapevolezza individuale rimangono i baluardi più solidi contro le insidie di questo genere.
Fonte: 1
