Negli ultimi anni, il fenomeno delle truffe digitali ha raggiunto dimensioni epidemiche, trasformandosi in una delle minacce più pervasive sia per i cittadini privati che per le organizzazioni. In Italia, come confermato dalle più recenti rilevazioni del Rapporto Clusit sulla sicurezza informatica e dai report periodici della Polizia Postale, le aggressioni basate sull’ingegneria sociale e in particolare il phishing e lo smishing rappresentano costantemente il primo vettore d’ingresso per il cybercrime, registrando tassi di crescita a doppio zero su scala annuale. L’esposizione quotidiana a messaggi ingannevoli sfrutta la fiducia che gli utenti ripongono nelle istituzioni e nei brand primari, trasformando i dispositivi in bersagli permanenti. Tra i soggetti più frequentemente impersonati, come purtroppo sappiamo bene anche dagli approfondimenti di questo blog, spicca l’Istituto Nazionale della Previdenza Sociale (INPS), un target privilegiato per via della natura critica delle comunicazioni veicolate, quali pensioni, indennità e bonus statali. Questa costante pressione dimostra come i gruppi hacker abbiano progressivamente affinato le proprie strategie, superando la fase delle e-mail sgrammaticate per approdare a campagne mirate e costruite in modo più puntuale.
In questo scenario si inserisce l’allarme recentemente lanciato dal CERT-AgID, il Computer Emergency Response Team dell’AgID, che ha individuato un’ulteriore evoluzione nelle recenti campagne di smishing a tema INPS. Gli analisti di sicurezza hanno infatti osservato una nuova offensiva basata su SMS malevoli concepiti per sottrarre credenziali personali e dati finanziari, caratterizzata tuttavia da un elemento di novità strutturale: la potenziale applicazione di dinamiche di A/B testing. Gli utenti ricevono messaggi di testo contenenti un senso d’urgenza artificioso, come la presunta sospensione di un servizio o l’esigenza di aggiornare i propri dati identificativi per evitare blocchi, accompagnati da un collegamento ipertestuale malevolo. La pagina di destinazione replica accuratamente l’identità visiva del portale istituzionale, ma la vera insidia risiede nelle molteplici declinazioni con cui il messaggio primario viene diffuso e testato sul campo dagli attaccanti.
Per comprendere la gravità di questo approccio, occorre analizzare cosa si intenda con il termine A/B testing, detto anche split testing. Si tratta di una metodologia di sperimentazione scientifica che consiste nel presentare simultaneamente due o più varianti dello stesso elemento — che sia il testo di un messaggio, il layout di una landing page o la formulazione di una Call to Action (CTA) — a campioni differenti di utenti. Attraverso il tracciamento di metriche chiave quali il Click-Through Rate (CTR) e il tasso di conversione, gli analisti individuano quale specifica combinazione visiva o testuale genera la risposta migliore. Chi ad esempio crea campagne di marketing tramite i social network sa benissimo che queste modalità di test si usano proprio per capire quale “versione” di un contenuto sponsorizzato ha più successo e quindi quale utilizzare in futuro per avere potenzialmente maggior seguito. Trasposta nell’ecosistema del cybercrime, questa tecnica consente ai minaccianti di ottimizzare scientificamente la propria campagna di phishing o smishing. Modificando impercettibilmente il registro linguistico, il tipo di pretesto o la struttura del link malevolo, i criminali misurano in tempo reale quale versione riesce a scavalcare con maggior efficacia la diffidenza dell’utente, garantendo il massimo ritorno sull’investimento dell’infrastruttura d’attacco.
Passando più nello specifico, la campagna osservata da CERT-AgID è stata osservata, ai fini del testing, in due declinazioni, poggiate ovviamente su due domini fasulli diversi, in questo caso contenenti sempre la sigla inps ma comunque individuabili. Fermo restando che in entrambi i casi l’utente atterra su un portale graficamente assimilabile a quello dell’istituto di previdenza sociale, in un caso si vede una pagina più composita, con informazioni su ciò che si richiede di fare, ovvero regolarizzare la propria posizione contributiva verificando gli indebiti. Nel secondo caso la pagina è diversa, contiene le stesse informazioni e chiede sempre l’inserimento del codice fiscale. Piccola nota a margine, ai fini del test, è stato modificato anche il testo del pulsante in basso, che da una parte recita “Verifica indebiti” e nell’altra homepage “Consulta indebiti”. In una delle due landing page, poi, viene aggiunta anche la lista dei metodi di autenticazione aggiuntivi, ovviamente inutile, come SPID, CIE e CNS, per aumentare la possibile credibilità del portale.
La campagna prosegue sempre su due binari paralleli, quindi facendo clic sul pulsante in basso si visualizzeranno due pagine in cui viene richiesto il pagamento dell’indebito. Anche in questo caso il test verifica qual è il comportamento maggiormente tenuto dalle possibili vittime, pertanto in un caso viene chiesta una cifra alta e nell’altro caso la cifra è più bassa. Ciononostante, vengono comunque richiesti i dati delle carte di pagamento allo scopo di trafugarli. Anche qui c’è una nota a margine da sottolineare, perché nel caso della cifra più alta non viene fatto leva sull’urgenza, mentre nel caso dell’importo basso vediamo un disclaimer nel quale si sottolinea l’importanza della regolarizzazione della propria posizione.
Comprendere che i criminali informatici utilizzano l’A/B testing è un passaggio fondamentale per innalzare il livello generale di attenzione e prevenzione. Questa consapevolezza spinge a superare il vecchio stereotipo del tentativo di truffa grossolano e facilmente riconoscibile a prima vista. Sapere che dietro a una campagna di smishing esiste un processo iterativo guidato dai dati significa comprendere che il messaggio malevolo non è un’entità statica, ma un artefatto in continua evoluzione, progettato per stimolare specifiche leve emotive come il timore di una sanzione o l’opportunità di un rimborso. Riconoscere questa dinamica aiuta gli utenti a sviluppare una mentalità analitica e a diffidare da qualsiasi sollecitazione via SMS, indipendentemente da quanto il testo appaia formale, coerente o privo di errori grammaticali evidenti, spostando la difesa personale dal semplice riconoscimento visivo a un rigoroso processo di verifica del mittente.
Per estrema chiarezza CERT-AgID, tra le motivazioni possibile per questa doppia campagna ovviamente oltre all’A/B testing, spiega che si può anche banalmente trattare di una sorta di “servizio” preimpostato per hacker chiamato Phishing-as-a-Service oppure che il gruppo che ha lanciato l’offensiva sia lo stesso ma che stia usando due liste diverse di contatti trafugati, ma l’ipotesi iniziale potrebbe essere la più realistica. In conclusione, l’analisi condotta dal CERT sulla campagna di smishing a tema INPS mette in luce una maturazione professionale delle minacce informatiche che non può essere sottovalutata. È chiaro che chi sferra queste offensive non opera più per tentativi casuali, ma mutua gli strumenti più sofisticati per rendere le proprie trappole sempre più infallibili. Fronteggiare questa realtà richiede uno sforzo congiunto che unisca la tempestività del tracciamento e del blocco dei domini fraudolenti da parte degli organismi di sicurezza a una diffusa cultura della diffidenza digitale. Maturare la consapevolezza che ogni nostra reazione a una notifica può essere oggetto di misurazione e ottimizzazione da parte degli attaccanti è la chiave per costruire una postura difensiva solida, dove la verifica attiva attraverso i canali ufficiali diventa la prima e più efficace linea di protezione.
Fonte: 1
