Che cos’è lo smishing? Come funziona il phishing via SMS e come contrastarlo

Lo “smishing” è una forma di phishing tramite SMS. Anziché inviare un’e-mail, l’autore dell’attacco invia un SMS o un messaggio tramite un’app di chat, sperando che tu clicchi su un link, fornisca le tue credenziali di accesso o autorizzi un pagamento. Il termine è una contrazione di “SMS” e “phishing” e, a parte il canale utilizzato, il trucco è esattamente lo stesso: qualcuno finge di essere una persona di cui ti fidi e conta sul fatto che tu agisca prima di riflettere.

È proprio il canale a renderlo pericoloso. Un SMS arriva sul dispositivo che controlli decine di volte al giorno, di solito mentre stai facendo qualcos’altro. Di seguito vediamo perché il telefono è un terreno così fertile, come riconoscere un tentativo di smishing, cosa fare quando hai già cliccato sul link e come le organizzazioni preparano i propri dipendenti ad affrontarlo.

Perché un SMS è un’esca così efficace

La posta elettronica è stata protetta da un sistema di difese messo a punto nel corso di trent’anni. Filtri antispam, scanner di link, banner che avvisano che un messaggio proviene dall’esterno dell’organizzazione: quando un’e-mail di phishing raggiunge la casella di posta in arrivo, ha già superato diversi punti di controllo. Un SMS, invece, non ne supera quasi nessuno e finisce nella stessa conversazione dei messaggi del tuo dentista e del corriere.

C’è anche un aspetto psicologico. Gli schermi sono piccoli, quindi il mittente è un numero e il link è abbreviato al punto da risultare irriconoscibile. Le persone leggono i messaggi in piedi, in coda o tra una riunione e l’altra, e rispondono velocemente perché è a questo che servono gli SMS. Gli hacker fanno leva su questa stessa rapidità con una variante della chiamata vocale nota come “vishing” e, sempre più spesso, combinano le due cose: un SMS che annuncia una chiamata o una chiamata che chiede di controllare i propri messaggi.

Infine, è proprio nel telefono che risiedono i codici più preziosi. Un codice monouso per l’accesso, una conferma bancaria, una notifica di approvazione: se un malintenzionato riesce a farti leggere ad alta voce uno di questi codici o a farti digitarlo su una pagina fasulla, il secondo fattore di autenticazione che avrebbe dovuto proteggerti diventa la via d’accesso.

Come riconoscere un messaggio di smishing

La maggior parte dei casi di smishing segue un numero limitato di schemi ricorrenti. Una volta che li si riconosce, è difficile non notarli, ed è proprio per questo che insegnare alle persone a riconoscere questi schemi è più efficace che illustrare loro le singole truffe.

• Un’urgenza inaspettata. Un pacco non può essere consegnato, un conto sta per essere chiuso, una multa scade oggi. Il messaggio ti spinge ad agire prima ancora di poter verificare qualsiasi cosa.
• Un link che non corrisponde al mittente. Le organizzazioni reali utilizzano il proprio dominio. Link abbreviati, domini simili con una parola in più o un indirizzo che termina con un codice paese sconosciuto sono tutti motivi per diffidare.
• Una richiesta di qualcosa che nessuna azienda chiederebbe mai tramite SMS. I dati di accesso, il numero completo della carta di credito o il codice monouso che hai appena ricevuto. Una banca non ti chiederà mai di comunicarle queste informazioni, e nemmeno il tuo reparto IT.
• Un piccolo pagamento per sbloccare qualcosa di più grande. Qualche euro di dazi doganali per un pacco, una modesta commissione per riprogrammare una consegna. L’importo è volutamente modesto, perché sembra abbastanza innocuo da spingere a sbrigare la faccenda e chiuderla lì.
• Un numero al posto del nome, oppure un nome leggermente diverso dal solito. Messaggi provenienti da un numero di cellulare casuale che dichiara di appartenere a un’azienda, oppure un marchio noto scritto con ortografia o spaziatura insolite.
• Un codice QR nel messaggio o nella pagina collegata. Si tratta di una tecnica simile al “quishing”, in cui la destinazione dannosa si nasconde all’interno del codice in modo che nessun filtro possa rilevarla.
• Un nuovo collega o un responsabile che va di fretta. Il classico è un messaggio che sembra provenire da un dirigente, inviato da un nuovo numero, in cui si chiedono buoni regalo, un bonifico urgente o un favore che deve rimanere segreto.

Una regola utile per i team: è la richiesta in sé a costituire il segnale, non il mittente. Qualsiasi messaggio in cui si richiedono credenziali, codici o pagamenti va verificato tramite un canale scelto autonomamente, anche quando il mittente sembra attendibile. Altre varianti di questo schema sono raccolte nella nostra panoramica sui tipi di attacchi di phishing.

Cosa fare se hai già cliccato

Cliccare su un link non è la fine del mondo, e considerarlo tale è proprio ciò che induce le persone a tacere. Ciò che conta è ciò che accadrà nei prossimi minuti.

1. Non inserire nient’altro. Se una pagina richiede un nome utente, una password, un codice o i dati della carta, chiudila. Un semplice link è molto meno pericoloso di un modulo che hai compilato.
2. Modifica la password, se ne hai inserita una. Fallo da un dispositivo di cui ti fidi e modificala ovunque l'abbia riutilizzata. Il riutilizzo è solitamente il vero problema.
3. Controlla il tuo secondo fattore di autenticazione. Se hai approvato una richiesta di accesso o hai fornito un codice monouso, qualcuno potrebbe aver già preso accesso al tuo account. Esci da tutte le sessioni e verifica se ci sono nuovi dispositivi o regole di inoltro.
4. Segnalalo immediatamente all’interno dell’azienda. Il tuo team IT o di sicurezza potrà bloccare il dominio, avvisare i colleghi che hanno ricevuto lo stesso messaggio e verificare se qualcosa è stato spostato. Segnalare rapidamente l’accaduto è la cosa più importante che un dipendente possa fare.
5. Conserva il messaggio. Uno screenshot che mostri il mittente e il link è di grande aiuto per capire la portata della campagna. Cancellalo solo dopo averlo inoltrato.

Notate cosa manca in quell’elenco: l’attribuzione di colpa. Le organizzazioni in cui un clic errato porta a una conversazione imbarazzante sono quelle in cui la persona successiva rimane in silenzio, ed è proprio il silenzio a trasformare un semplice clic in un incidente.

In che modo le organizzazioni riducono il rischio

Le misure tecniche sono utili, ma hanno una portata minore rispetto a quelle applicate alla posta elettronica. Gli operatori di telefonia mobile filtrano alcune delle campagne più dannose, mentre l’autenticazione a più fattori (MFA) che utilizza una chiave hardware o una richiesta tramite app collegata al sito riduce notevolmente il valore di un codice rubato. Oltre a ciò, la maggior parte della difesa dipende dall’intervento umano.

L’approccio pratico consiste nel rendere il riconoscimento e la segnalazione un’abitudine piuttosto che una semplice linea guida. In questo caso, esercizi brevi e ricorrenti funzionano meglio di un’unica sessione annuale, poiché le truffe cambiano ogni pochi mesi. Eseguire una simulazione di phishing ti mostra qual è la tua reale situazione invece di quella che presumi di avere, e offre alle persone uno spazio sicuro in cui poter sbagliare. Concordate un unico canale di segnalazione chiaro, rendetelo accessibile con un solo clic e ringraziate chi lo utilizza, comprese le persone che si sono rivelate aver inoltrato qualcosa di innocuo.

In che modo Guardey aiuta il tuo team a riconoscere lo smishing

Il corso di formazione sulla sicurezza informatica di Guardey propone ai vostri colleghi sfide settimanali della durata di circa tre minuti, con contenuti che riflettono le minacce effettivamente in circolazione. Lo smishing, i falsi avvisi di consegna e i codici richiesti tramite chat sono proprio il tipo di scenari che si presentano in queste sfide, e la gamification, con classifiche e serie di risultati positivi consecutivi, fa sì che i partecipanti continuino a partecipare anche dopo la prima settimana.

Poiché i dipendenti seguono la formazione tramite l’app mobile per iOS e Android, si esercitano proprio sullo stesso dispositivo su cui arrivano questi messaggi, il che rende la lezione più concreta. Le simulazioni integrate di phishing consentono di verificare se la consapevolezza si traduce in comportamenti concreti, mentre i report pronti per gli audit trasformano il tutto in prove documentali per standard quali NIS2 e ISO 27001. La configurazione richiede pochi minuti e oltre 500 organizzazioni operano in questo modo, tra cui il Parlamento europeo.

Domande frequenti sullo smishing

Qual è la differenza tra phishing, smishing e vishing?

L'obiettivo è lo stesso, cambia solo il canale di comunicazione. Il phishing avviene tramite e-mail, lo smishing tramite SMS o messaggi di chat e il vishing tramite telefonata. Gli autori degli attacchi spesso combinano queste tecniche in un'unica campagna, poiché un messaggio confermato da una telefonata risulta più credibile rispetto a ciascuno di essi preso singolarmente.

Si può subire un attacco hacker semplicemente aprendo un SMS?

Aprire un messaggio non è quasi mai di per sé sufficiente. Il rischio inizia quando si clicca sul link e poi si digita qualcosa nella pagina che si apre, oppure quando si installa un’app che viene proposta. Ecco perché il consiglio è quello di fermarsi al link, piuttosto che farsi prendere dal panico per il solo fatto di aver letto il messaggio.

I dipendenti dovrebbero segnalare un messaggio di smishing ricevuto sul proprio telefono privato?

Sì, se è in qualche modo legato al lavoro: un messaggio che dichiara di provenire da un collega, da un fornitore o dal reparto IT va segnalato, indipendentemente dal dispositivo su cui è arrivato. È importante chiarire che la segnalazione riguarda il messaggio stesso, non l’ispezione del telefono privato di qualcuno, altrimenti le persone esiteranno a farlo.

L'autenticazione multifattoriale (MFA) protegge dallo smishing?

È utile, ma non tutti i metodi sono uguali. Un codice inviato tramite SMS può essere oggetto di phishing con la stessa facilità di una password, poiché basta che l’autore dell’attacco lo richieda. I metodi legati al sito legittimo, come una chiave hardware o una richiesta tramite app, sono molto più difficili da sfruttare in questo modo.

Lo smishing funziona perché coglie le persone di sorpresa; ciò significa che la difesa non consiste in un filtro più intelligente, ma in un momento di esitazione al momento giusto. I team che si esercitano a fare quella pausa e che rendono la segnalazione facile e priva di rimproveri trasformano il telefono da canale più vulnerabile a canale in cui un messaggio sospetto viene segnalato nel giro di pochi minuti.