Lo smishing rientra tra le varie ipotesi di c.d. “ingegneria sociale” cioè modalità attraverso le quali i pirati informatici o hacker cercano di appropriarsi di dati personali delle vittime, spesso con finalità economiche.

Di fatto si tratta di attività che possono essere ricondotte agli artifici e raggiri propri della truffa. La particolarità è che questi artifici e raggiri vengono realizzati dai malintenzionati con modalità telematiche o comunque sono collegati all’utilizzo di tecnologie informatiche.

Tuttavia, sebbene l’utilizzo della tecnologia sia fondamentale perché siano portati a termine gli attacchi alle informazioni (ma soprattutto ai conti correnti e/o alle carte di credito) dei malcapitati, si deve evidenziare che i meccanismi sui quali tutte le varie tipologie di queste truffe sono sostanzialmente di natura “umana”.

In effetti ciò su cui viene fatta pressione è una debolezza umana che, attraverso qualche espediente, viene isolata e resa predominante nel breve tempo.

In particolare ciò che il malintenzionato cerca di fare è mettere la vittima sotto pressione e provocare una reazione e/o una sua attività in un ristretto lasso di tempo costringendola a rivelare lei stessa informazioni importanti che potranno essere utilizzate dal truffatore.

Le principali leve su cui gli hakers cercano di spingere sono:

• la paura (ad es. prospettando un male ingiusto che rischia di essere subito a meno che non vengano prese delle iniziative come bloccare una carta di credito – fornendo in realtà proprio al truffatore i dati per utilizzarla);

• l’avidità (ad es. prospettando un vantaggio particolare e/o un regalo che può essere ricevuto nel caso in cui vengano prese delle iniziative come accedere ad un sito e inserire i dati della carta di credito per pagare una somma ridicola a titolo di fondo spese di spedizione per ottenere in regalo oggetti molto costosi – fornendo così i dati della carta di credito al truffatore);

• l’ignoranza (la scarsa conoscenza delle tecnologie informatiche e telematiche è molto diffusa nella popolazione e trasversale nelle varie fasce di età e su tale mancanza di conoscenza è facile indurre l’inesperto in grossolani errori, fornendo password e credenziali di conti correnti on line o carte).

Esistono tuttavia anche altre leve che possono essere utilizzate come ad esempio la compassione (prospettando situazioni difficili in cui vertono bambini o altre categorie di soggetti fragili oppure animali) ed il senso di umanità che spinge ad aiutare altri soggetti in difficoltà oppure anche il timore ingenerato dall’Autorità nel momento in cui richiede un comportamento ai propri cittadini.

Sommario

1. Cosa significa Smishing?
2. Differenze tra Smishing, Phishing e Vishing
3. Che cosa vuole chi fa smishing?
4. Cosa contengono i messaggi di smishing?
5. I suggerimenti del Garante della Privacy

1. Cosa si intende per smishing?

Il termine Smishing deriva dalla contrazione e fusione delle parole inglesi SMS (short message service) e Phishing, cioè quella forma di truffa che viene ricondotta al termine inglese di andare a pesca e che ricorda l’attività del pescatore che getta l’amo ed attende che il pesce abbocchi.

Il Phishing è ormai più tristemente noto a causa della sua diffusione ma, di fatto, si tratta sempre di una truffa realizzata attraverso l’utilizzo della email piuttosto che attraverso l’invio di SMS.

Si deve tuttavia segnalare anche il fatto che recentemente oltre agli SMS sono stati utilizzati anche altre applicazioni per smartphone che permettono l’invio di messaggi, come ad esempio Whatsapp, Signal e Telegram. In questo caso alcuni parlano di smishing 2.0 ma di fatto il meccanismo di ingegneria sociale su cui si basano è identico a quello utilizzato con gli SMS.

2. Differenze tra Smishing, Phishing e Vishing

Come abbiamo già sopra detto lo Smishing, il Phishing ed il Vishing sono tutte forme di ingegneria sociale e sono tutte riconducibili alla forma della truffa realizzata nel Phishing attraverso l’invio di email alla vittima per carpire, attraverso una sua attività, informazioni importanti spesso di natura economica e bancaria (come ad es. codici di accesso e password di conti on line e/o carte di credito).

Di fatto la differenza tra queste forma di truffa si basa sullo strumento utilizzato dal malintenzionato a seconda che si tratti di email (phishing) di telefonata vocale al telefono (vishing) oppure di SMS (smishing).

3. Che cosa vuole chi fa smishing?

I truffatori che operano attraverso la tecnica dello smishing cercano di ottenere informazioni e/o dati al fine di poterli poi utilizzare indebitamente in danno economico della vittima.

4. Cosa contengono i messaggi di smishing?

Spesso i messaggi di Smishing contengono delle richieste rivolte alla vittima di cliccare un link contenuto nel testo inviato ed effettuare le attività richieste nella pagina verso la quale viene effettuato il dirottamento.

Spesso nella pagina di riferimento viene chiesto di inserire delle informazioni riservate e/o dei dati per l’accesso a conti correnti e/o per l’utilizzazione di carte di credito.

In tal modo è proprio la vittima che fornice al truffatore tutti dati per farsi truffare.

Senza l’essenziale intervento della vittima il malintenzionato non potrebbe in alcun modo operare e sottrarre il denaro o fare acquisti attraverso le carte del malcapitato.

Sempre per indurre l’ignara vittima a cadere nella truffa, può essere anche utilizzato lo stratagemma della consegna di pacchi da parte di corrieri oppure della richiesta di informazioni relative ad acquisti online. In questi casi nel contenuto del messaggio si fa riferimento a consegne che devono essere effettuate e che non possono andare a buon fine con il rischio di perdere il contenuto in assenza di interazione da parte del destinatario. Ebbene in realtà ciò che viene richiesto sono informazioni e/o dati per poterle poi utilizzare indebitamente in danno economico del destinatario.

5. I suggerimenti del Garante della Privacy

Il nostro Garante Privacy sul proprio sito istituzionale fornisce indicazioni su come i cittadini possano difendersi dallo Smishing.

L’Autorità segnala innanzitutto che sia la Pubblica Amministrazione sia gli istituti bancari ed assicurativi non chiedono mai ai cittadini e/o propri clienti informazioni riservate a mezzo email, SMS o telefonata. Ricevere una richiesta di questo tipo da parte di un soggetto sconosciuto che si qualifica (rectius auto-qualifica) appartenente ad una amministrazione o società deve di per se far insospettire chi l’ha ricevuta.

Fermo questo avvertimento generale il Garante suggerisce di:

• non comunicare mai dati e informazioni personali o dati come codici di accesso, PIN, password, dati bancari e della carta di credito a sconosciuti;

• non conservare le credenziali (password, PIN, codici) di dati bancari o della carta di credito sullo smartphone;

• controllare spesso le movimentazioni ed eventualmente attivare sistemi di alert automatico che avvisano l’utente di ogni operazione effettuata;

• non cliccare sui link contenuti in email e/o messaggi e non aprire eventuali allegati;

• verificare se il testo presenta anomalie, come errori linguistici, grammaticali, lessicali, ecc., che spesso sono indizi di smishing;

• chiedersi se davvero un nostro conoscente o un soggetto con cui abbiamo rapporti (amministrazione, impresa, ecc.) farebbe certe richieste.