Smishing & Vishing: come si evolve lo spam
Con smishing e vishing si intendono due varianti del più noto phishing: un tipo di attacco informatico, il cui scopo è quello di rubare dati sensibili alle vittime. Pur mantenendo il medesimo obiettivo e buona parte delle modalità operative, queste tecniche impiegano mezzi di comunicazione differenti.
Nel caso del phishing, infatti, l’attacco avviene mediante l’invio di una e-mail contente un link o un allegato malevoli. Lo smishing, invece, prevede l’uso di SMS (da qui il nome, abbreviazione di SMS Phishing), mentre il vishing usa le chiamate vocali (Voice Phishing).
Come si strutturano gli attacchi smishing e vishing
Una caratteristica tipica degli attacchi phishing (comune anche alle varianti smishing e vishing) è il tono con cui è scritto (o detto) il messaggio. Il contenuto è realizzato ad hoc per suscitare nell’utente un senso di urgenza, tramite espedienti come il metterlo in guardia da possibili violazioni delle proprie credenziali o l’avvisarlo di interventi da effettuare per sbloccare pagamenti.
Tale interazione suscita nella vittima uno stato psicologico di preoccupazione e la spinge a rivelare informazioni sensibili, al fine di risolvere velocemente la questione. Oltre al messaggio (scritto o vocale), con lo smishing e il phishing tradizionale ci sono sempre anche dei collegamenti ipertestuali (link) oppure degli allegati da scaricare.
Se si clicca sul link, di solito, si viene reindirizzati a una copia fasulla di qualche noto sito di home banking, telefonia, ecc. Qui viene chiesto al malcapitato di inserire le proprie credenziali in un form da compilare, ed è così che dati sensibili tipo password o numeri di carte di credito vengono rubati.
Nella variante in cui si invia un allegato, invece, è specificato nel testo del messaggio come sia necessario installare un’applicazione per poter completare le operazioni richieste. Quando l’utente scarica e installa l’app, però, apre di fatto le porte del proprio smartphone ai cyber criminali, consentendo l’accesso di virus o malware che trafugano informazioni sensibili dal dispositivo, senza che l’utente se ne accorga.
Esiste poi un’altra versione di software malevolo installato con allegato, capace di creare una backdoor nel dispositivo. Ciò garantisce un accesso da remoto ai pirati informatici, i quali possono addirittura arrivare a infiltrarsi nella rete domestica dal WiFi.
Il vishing è caratterizzato anch’esso da un tono urgente nei messaggi, ma è programmato per simulare una telefonata con un interlocutore umano in maniera credibile. In pratica si riceve una chiamata da un registratore automatico, che richiede anche in questo caso di rivelare dati sensibili.
Come difendersi da smishing e vishing
Visto che le modalità di esecuzione di smishing e vishing sono abbastanza analoghe a quelle del più conosciuto phishing, le misure per difendersi restano pressoché le medesime. Per quanto riguarda lo smishing le regole per la sicurezza sono simili a quelle contro le e-mail malevole:
- evitare di installare app, soprattutto se provenienti da mittenti sconosciuti;
- non cliccare mai sui link presenti negli sms;
- prestare attenzione al mittente e alla forma con cui è scritto il testo (errori grammaticali o forme contorte rappresentano un alto indice di possibile truffa);
- proteggere il dispositivo con appositi software certificati anti-malware e anti TimpDoor;
- se si tratta di telefoni aziendali, limitare l’installazione di applicazioni per i dipendenti e creare contenitori virtuali criptati per l’archiviazione di dati sensibili.
Nel caso del vishing è fondamentale tenere a mente che nessuna banca o azienda chiederà mai i dati sensibili per via telefonica, men che meno con un messaggio registrato. L’importante è non fornire alcun tipo di informazione se non si è certi dell’interlocutore. Inoltre, è bene non ricomporre eventuali numeri strani in presenza di chiamate perse.
