Smishing: quando un semplice SMS può compromettere il viaggio

In un precedente articolo abbiamo visto come i cybercriminali sfruttino i disservizi nel settore dei trasporti per rendere più credibili le campagne di phishing. Voli cancellati, ritardi, rimborsi e modifiche alle prenotazioni rappresentano il contesto ideale per spingere le vittime ad abbassare la guardia. Tra tutte le tecniche utilizzate, una delle più efficaci è lo smishing, ovvero il phishing veicolato tramite SMS.

A differenza delle email, gli SMS vengono generalmente percepiti come più affidabili. Gli utenti sono meno abituati a ricevere messaggi fraudolenti sul telefono e tendono ad attribuire maggiore credibilità alle comunicazioni che sembrano provenire dalla propria compagnia aerea, da un hotel o da una piattaforma di prenotazione.

Perché lo smishing funziona così bene

Le campagne di smishing sfruttano una combinazione di fattori psicologici e tecnici. Il messaggio arriva in un momento di forte coinvolgimento emotivo, quando il viaggiatore teme di perdere un volo, un rimborso o una prenotazione. L’SMS contiene quasi sempre tre elementi ricorrenti: un problema urgente, una scadenza ravvicinata e un collegamento da aprire immediatamente. Messaggi come: “Il tuo volo è stato cancellato. Conferma il rimborso entro 30 minuti” oppure “È richiesto un supplemento carburante per mantenere valida la prenotazione” o anche “Conferma i dati del passeggero per completare il cambio di volo” sono progettati per indurre l’utente ad agire d’impulso, senza verificare l’autenticità della richiesta.

Dal punto di vista tecnico, gli attaccanti dispongono oggi di strumenti estremamente sofisticati. Uno dei più diffusi è lo spoofing del mittente. La rete SMS non dispone di sistemi di autenticazione equivalenti a SPF, DKIM o DMARC utilizzati nella posta elettronica. Questo permette, in alcuni casi, di inviare messaggi che sembrano provenire da mittenti alfanumerici come “Ryanair”, “ITA Airways” o “Booking.com”, aumentando notevolmente il livello di fiducia della vittima.

Un’altra tecnica consiste nell’utilizzo di URL accorciati, che nascondono il vero indirizzo del sito di destinazione. Dietro un link apparentemente innocuo può celarsi una pagina perfettamente identica al portale ufficiale della compagnia aerea.

I cybercriminali fanno inoltre largo uso del typosquatting, registrando domini con piccole variazioni rispetto a quelli legittimi, ad esempio ryanair-refund.com oppure booking-verification.com.

Ancora più insidiosi sono gli homograph attack, nei quali vengono impiegati caratteri Unicode quasi indistinguibili dalle lettere latine per creare indirizzi web che appaiono identici agli originali.

Nei casi più sofisticati, documentati da diversi ricercatori di sicurezza, vengono persino utilizzati dispositivi noti come IMSI Catcher o SMS Blaster, in grado di simulare una stazione radio cellulare e trasmettere messaggi direttamente ai telefoni presenti nelle vicinanze, aggirando completamente i controlli dell’operatore telefonico.

L’intelligenza delle campagne moderne

Le campagne di smishing non sono più messaggi inviati casualmente a milioni di utenti. Sempre più spesso fanno parte di operazioni mirate nelle quali vengono utilizzate informazioni reali ricavate da precedenti violazioni di dati, prenotazioni compromesse o informazioni pubblicate sui social network.

Conoscere il nome del passeggero, la destinazione, le date del viaggio o persino il numero della prenotazione rende il messaggio estremamente convincente.

L’obiettivo iniziale non è necessariamente rubare denaro. In molti casi gli aggressori cercano prima di ottenere credenziali di accesso, codici OTP o altri dati che consentano di compromettere successivamente gli account delle vittime.

Come difendersi

La prima regola per difendersi è semplice: “non fidarsi mai del link contenuto in un SMS”. Non fidarsi nemmeno quando il messaggio sembra provenire da un mittente conosciuto

Qualunque comunicazione relativa a cancellazioni, rimborsi o modifiche del viaggio deve essere verificata esclusivamente attraverso l’app ufficiale della compagnia aerea. Oppure attraverso il sito web, il cui URL deve essere digitato manualmente nel browser. Oppure tramite i recapiti riportati nella conferma originale della prenotazione.

È, inoltre, importante diffidare delle richieste di codici OTP, delle credenziali di accesso o dei dati della carta di pagamento. Nessuna compagnia aerea o struttura ricettiva richiederà tali informazioni tramite SMS per autorizzare un rimborso.

Le attuali soluzioni di sicurezza, come evidenzia Avast, integrano motori di rilevamento anti-phishing in grado di analizzare in tempo reale gli URL aperti dall’utente e confrontarli con database costantemente aggiornati dai Threat Labs. Grazie alla telemetria raccolta su centinaia di milioni di dispositivi nel mondo, è possibile anche bloccare molti domini malevoli già nelle prime ore di attività, quando le campagne sono ancora in piena diffusione.

A questo si aggiunge, come accade per Avast Premium Security, la tecnologia Real Site, progettata per impedire il reindirizzamento verso siti contraffatti attraverso manipolazioni del DNS o altre tecniche di intercettazione del traffico.

Durante i periodi di maggiore affluenza turistica, quando ritardi e cancellazioni rappresentano un fatto reale, i cybercriminali non hanno bisogno di inventare nuove storie: è sufficiente sfruttare l’attualità e trasformarla in un’esca credibile. Per questo motivo la migliore difesa resta sempre la stessa: fermarsi qualche secondo prima di toccare un link ricevuto via SMS e verificare la richiesta attraverso i canali ufficiali.

Per i dettagli clicca QUI