Come riconoscere un SMS truffa: i segnali dello smishing e cosa fare
Pacchi in giacenza, conti bloccati, multe da pagare: gli SMS truffa sono sempre più credibili. Ecco i cinque segnali per smascherarli e cosa fare se hai già cliccato.
- Livello
- principiante
- Tempo
- 5 minuti
- Cosa serve
- Niente, solo curiosità
Lo smishing è il phishing via SMS, cioè un messaggio che finge di arrivare da un corriere, dalla banca, dall’INPS o da un ente pubblico e ti spinge a cliccare un link per “sbloccare” qualcosa. I testi sono sempre più curati, e a volte il mittente compare dentro la stessa conversazione dei messaggi autentici, grazie a una tecnica chiamata spoofing. Per questo conviene imparare a riconoscerli dal contenuto.
Phishing (dall'inglese fishing, "pesca"): il messaggio finto che imita un mittente vero per farti consegnare dati o soldi. Smishing (unione di SMS e phishing): lo stesso trucco, ma via SMS. Spoofing (in italiano "falsificazione del mittente"): la tecnica con cui un truffatore fa comparire il proprio SMS dentro la conversazione dei messaggi veri della tua banca. OTP (One Time Password, "password usa e getta"): il codice di sei cifre che arriva per confermare un accesso o un pagamento.
I cinque segnali
L’urgenza. “Il tuo conto verrà bloccato entro 24 ore”, “Il pacco tornerà al mittente oggi”. La fretta serve a impedirti di ragionare. Nessuna banca e nessun corriere chiude un conto o restituisce un pacco per un SMS non letto.
Un link strano. Le banche italiane non inviano link via SMS per operazioni di sicurezza. Se il link contiene il nome del servizio ma con domini insoliti (ad esempio “poste-italiane-verifica.xyz” o abbreviatori tipo bit.ly), è una truffa.
La richiesta di dati o di pagamenti. Un corriere non chiede 1,99 euro per “sdoganare” un pacco via SMS. Una banca non chiede mai PIN, codici OTP o password.
Errori e formulazioni insolite. Non sempre ci sono, però frasi come “Gentile cliente il suo pacco e in attesa” con gli accenti sbagliati sono un indizio forte.
E poi la cosa più semplice di tutte: non aspettavi nulla. Se non hai ordinato niente e non hai un conto in quella banca, cancella il messaggio e passa avanti.
Cosa fare se hai cliccato
Se hai solo aperto il link e chiuso la pagina, nella grande maggioranza dei casi non è successo nulla, perché aprire una pagina web, da solo, quasi mai basta a infettare un telefono aggiornato. Il rischio sale se il telefono ha aggiornamenti arretrati, oppure se dopo aver aperto la pagina hai installato qualcosa o concesso un’autorizzazione.
Se invece hai inserito dei dati, non aspettare. Cambia la password del servizio coinvolto, avvisa la banca per bloccare carte e conto, e attiva l’autenticazione a due fattori. Se hai installato un’app da un link (succede su Android), disinstallala e controlla i movimenti bancari nei giorni successivi.
Come segnalare
Inoltra l’SMS al servizio di segnalazione del tuo operatore, se esiste, e fai una segnalazione al Commissariato online della Polizia Postale. Bloccare il numero serve poco, perché cambia ogni volta, ma segnalare aiuta a far chiudere i siti truffa più in fretta.